Настройка доверительных отношений между двумя доменами Avanpost DS

ВНИМАНИЕ:

В инструкции приведены команды для операционных систем:

RedOSAstraAlt

МСВСфера

AlterOS

Для шагов с отличающимися в зависимости от ОС действиями указаны команды для всех ОС. Необходимо выполнять команды только для используемой вами ОС.

Для настройки доверительных отношений между двумя доменами Avanpost DS требуется подготовить как минимум одну рабочую станцию в домене на одной из поддерживаемых ОС.

Для настройки необходимо выполнить шаги:

Примечание:

Доверительные отношения в Avanpost DS работают по протоколу LDAPS.

В конфигурационном файле Avanpost DS "/opt/avanpost/ads/config/config.yaml" доступны для настройки параметры доверительных отношений в секции "trusts":

Пример /opt/avanpost/ads/config/config.yaml
trusts:
  timeout: 5 # Ограничение по времени на установку соединения, по умолчанию 5 сек.
  skip_cert_verify: true # При значении "true" Avanpost DS доверяет любому сертификату, на котором работает LDAPS.
  allow_bare_ldap: true # При значении "true" Avanpost DS будет пытаться подключиться к доверенному домену по LDAP, если не удалось установить подключение по LDAPS.

Шаг 1. В настройках рекурсивного DNS сервера указать доверенную зону DNS для каждого контроллера домена.

Для этого требуется добавить доверенную зону DNS в конфигурационный файл DNS сервера для каждого контроллера домена в обоих доменах.

BIND 9

  1. Если включено автоматическое управление конфигурацией, для добавления зоны требуется: 
    1. Нажать в правом верхнем углу раздела "DNS" веб-интерфейса администратора.
    2. Добавить блок в секцию "Настройки рекурсивного DNS сервера (recursor.conf)" по шаблону:
      Шаблон блока для добавления
      zone "[ДОМЕН]" {
    type forward;
    forward first;
    forwarders { [IP-АДРЕС КД]; };
};
    3. Нажать .
  2. Если автоматическое управление конфигурацией отключено, для добавления строки требуется на каждом контроллере домена добавить блок в конфигурационный файл вручную. Для этого необходимо:
    1. Открыть для редактирования конфигурационный файл "named.conf".
      RedOS
      sudo nano /etc/named.conf



      МСВСфера

      AlterOS

      Astra
      sudo nano /etc/bind/named.conf
      Alt
      sudo nano /etc/bind/named.conf
    2. Добавить блок для каждого доверенного домена MS AD в конфигурационный файл "named.conf" по шаблону:
      Шаблон блока для добавления
      zone "[ДОМЕН]" {
    type forward;
    forward first;
    forwarders { [IP-АДРЕС КД]; };
};
    3. Перезапустить сервис BIND 9 с помощью команды:
      RedOS
      sudo systemctl restart named



      МСВСфера

      AlterOS

      Astra
      sudo systemctl restart bind9
      Alt
      sudo systemctl restart bind.service
Пример заполненного "named.conf" для домена avanpost.local
options {
    directory "/var/named";
    listen-on port 53 { 127.0.0.1; 192.168.1.11; };
    listen-on-v6 { none; };
    allow-query { any; };
    recursion yes;
    allow-recursion { any; };
    forward only;
    forwarders { 77.88.8.8; };
    dnssec-validation no;
    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";
};

controls { };

dyndb "avanpost_local_ldap" "/usr/lib64/bind/ldap.so" {
    uri "ldap://192.168.1.11:389";
    base "ou=dyndb,ou=dns,dc=system";
    auth_method "sasl";
    sasl_mech "GSSAPI";
    krb5_keytab "FILE:/etc/krb5.keytab";
    krb5_principal "host/ds01.avanpost.local@AVANPOST.LOCAL";
    ldap_hostname "ds01.avanpost.local";
    dyn_update no;
    sync_ptr no;
    connections 2;
    timeout 20;
    reconnect_interval 5;
    verbose_checks yes;
    directory "dyndb-ldap/avanpost_local_ldap";
};

zone "avanpost.test" {
    type forward;
    forward first;
    forwarders { 192.168.1.20; };
};
Пример заполненного "named.conf" для домена avanpost.test
options {
    directory "/var/named";
    listen-on port 53 { 127.0.0.1; 192.168.1.20; };
    listen-on-v6 { none; };
    allow-query { any; };
    recursion yes;
    allow-recursion { any; };
    forward only;
    forwarders { 77.88.8.8; };
    dnssec-validation no;
    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";
};

controls { };

dyndb "avanpost_local_ldap" "/usr/lib64/bind/ldap.so" {
    uri "ldap://192.168.1.20:389";
    base "ou=dyndb,ou=dns,dc=system";
    auth_method "sasl";
    sasl_mech "GSSAPI";
    krb5_keytab "FILE:/etc/krb5.keytab";
    krb5_principal "host/ds01.avanpost.test@AVANPOST.TEST";
    ldap_hostname "ds01.avanpost.test";
    dyn_update no;
    sync_ptr no;
    connections 2;
    timeout 20;
    reconnect_interval 5;
    verbose_checks yes;
    directory "dyndb-ldap/avanpost_local_ldap";
};

zone "avanpost.local" {
    type forward;
    forward first;
    forwarders { 192.168.1.11; };
};

PowerDNS

  1. Если включено автоматическое управление конфигурацией, для добавления зоны требуется:
    1. Нажать в правом верхнем углу раздела "DNS" веб-интерфейса администратора.
    2. Добавить строку в секцию "Настройки рекурсивного DNS сервера (recursor.conf)" по шаблону:
      Шаблон строки для добавления
      forward-zones+=[ДОМЕН]=[IP-АДРЕС КД]
    3. Нажать .
  2. Если автоматическое управление конфигурацией отключено, для добавления зоны требуется на каждом контроллере домена добавить строку в конфигурационный файл вручную. Для этого необходимо:

    1. Открыть для редактирования конфигурационный файл "recursor.conf".

      RedOS
      sudo nano /etc/pdns-recursor/recursor.conf



      МСВСфера

      AlterOS

      Astra
      sudo nano /etc/powerdns/recursor.conf
      Alt
      sudo nano /etc/pdns-recursor/recursor.conf

    2. Добавить строку в конфигурационный файл "recursor.conf" по шаблону:

      Шаблон строки для добавления
      forward-zones+=[ДОМЕН]=[IP-АДРЕС КД]
    3. Перезапустить сервис "pdns-recursor" с помощью команды:
      sudo systemctl restart pdns-recursor
Пример заполненного "recursor.conf" для домена avanpost.local
forward-zones=avanpost.local=127.0.0.1:5300,in-addr.arpa=127.0.0.1:5300
forward-zones+=avanpost.test=192.168.1.20
local-address=0.0.0.0:53
serve-rfc1918=no
dnssec=off # No RRSIG, current state is Bogus
Пример заполненного "recursor.conf" для домена avanpost.test
forward-zones=avanpost.test=127.0.0.1:5300,in-addr.arpa=127.0.0.1:5300
forward-zones+=avanpost.local=192.168.1.11
local-address=0.0.0.0:53
serve-rfc1918=no
dnssec=off # No RRSIG, current state is Bogus

Шаг 2. В каждом домене создать учетную запись с правами администратора.

Для этого требуется добавить учетную запись в группу "Administrators" в каждом домене.

Примечание:

Подробнее о создании и управлении учетными записями см. статью "6.2. Управление Пользователями" руководства по администрированию Avanpost DS. 

Шаг 3. Создать новые доверительные отношения для каждого домена.

Для этого требуется:

  1. Нажать в разделе "Доверительные отношения" веб-интерфейса администратора Avanpost DS.
  2. В открывшейся форме заполнить поля:
    ПолеЗначение
    ТипВыбрать из выпадающего списка значение "DS".
    Направление

    Выбрать из выпадающего списка значение:

    • "INCOMING" – для настройки доступа пользователей из домена Avanpost DS к ресурсам доверенного домена.
    • "OUTGOING" – для настройки доступа пользователей из доверенного домена к ресурсам домена Avanpost DS 
    • "BIDIRECTIONAL" – для настройки доступа в обоих направлениях.
    Домен

    Указать название доверенного домена в верхнем регистре. 

    Системный аккаунт для LDAP-запросовУказать имя пользователя с правами администратора из доверенного домена.
    Пароль системного аккаунтаУказать пароль от указанной учетной записи с правами администратора из доверенного домена.
    Пароль для создания доверительных отношений

    Указать произвольный пароль для создаваемых доверительных отношений.

    Внимание!

    При настройке доверительных отношений на обоих доменах пароль для создания доверительных отношений должен совпадать.

  3. Нажать.
  4. Повторить действия 1-3 для второго домена.


Рисунок — Пример создания доверительных отношений в домене avanpost.test


Рисунок — Пример создания доверительных отношений в домене avanpost.local

Шаг 4. Проверить создание доверительных отношений.

Для этого требуется:

  1. Проверить наличие записи доверительных отношений в разделе "Доверительные отношения" веб-интерфейса администратора Avanpost DS в обоих доменах.



    Рисунок — пример записи доверительных отношений в домене avanpost.test


    Рисунок — Пример записи доверительных отношений в домене avanpost.local

  2. На рабочей станции в домене проверить резолв DNS записей доверенного домена. Для этого необходимо выполнить команду по шаблону:
    Шаблон команды
    dig [FQDN КД из доверенного домена]
    Пример команды
    dig ds01.avanpost.local

;; ANSWER SECTION:
ds01.avanpost.local.    339     IN      A       192.168.1.11
    Пример команды
    dig ds01.avanpost.test

;; ANSWER SECTION:
ds01.avanpost.test.     1500    IN      A       192.168.1.20

Шаг 5. Проверить работу доверительных отношений.

Для этого требуется на рабочей станции, введенной в домен, авторизоваться под пользователем из доверенного домена с помощью команды:

Шаблон команды
su - [Имя пользователя]
Пример команды
su - admin1


Рисунок — Пример успешной авторизации

Обсуждение