Gilt für
Beschreibung
Wenn ein Active-Directory-Authentifizierungsserver auf der Firebox konfiguriert ist, schlagen Authentifizierungen fehl, wobei eine Protokollmeldung wie die folgende ausgegeben wird:
Jan 7 11:17:06 2025 IVF-T25 local3.info admd[2929]: admLdapSessBindingChkResult: binding error:Strong(er) authentication requiredJan 7 11:17:06 2025 IVF-T25 local3.info admd[2929]: admLdapSessBindingChkResult: more binding error:00002028: LdapErr: DSID-0C090343, comment: The server requires binds to turn on integrity checking if SSL\TLS are not already active on the connection, data 0, v65f4Jan 7 11:17:06 2025 IVF-T25 local3.info admd[2929]: Auth for test@example.local result=3 ec=11(Ldap binding not successful) msg=search binding error, check your searching username or passwordJan 7 11:17:06 2025 IVF-T25 local2.warn admd[2929]: msg_id="1100-0005" Authentication of Firewall user [test@example.local] from console was rejected, search binding error, check your searching username or passwordJan 7 11:17:06 2025 IVF-T25 local3.info admd[2929]: admLdapSessFSM: failed to parse binding result, rc=11Dieses Problem kann auftreten, wenn die LDAP-Clientverschlüsselung in Ihrer Standard-Domänenrichtlinie aktiviert ist. Unter Windows Server 2025 ist diese Einstellung standardmäßig aktiviert.
So deaktivieren Sie die LDAP-Clientverschlüsselung:
- Öffnen Sie auf dem Windows Server den Gruppenrichtlinienverwaltungs-Editor.
- Navigieren Sie zu „Default Domain Controller Policy“ > Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen.
- Legen Sie für „Domänencontroller: Anforderungen für LDAP-Serverkanalbindungstoken“ die Einstellung „Wenn unterstützt“ fest.
- Legen Sie für „Domänencontroller: Anforderungen für LDAP-Serversignierung“ die Einstellung „Keine“ fest.
- Legen Sie für „Domänencontroller: LDAP-Serversignierungsanforderungen erzwingen“ die Einstellung „Deaktiviert“ fest.
- Legen Sie für „Netzwerksicherheit: Anforderungen für LDAP-Clientverschlüsselung“ die Einstellung „Sealing aushandeln“ fest.
- Legen Sie für „Netzwerksicherheit: Anforderungen für LDAP-Clientsignierung“ die Einstellung „Signierung aushandeln“ fest.
Alternativ können Sie LDAPS auf dem Server einrichten, wenn Sie die Einstellungen für LDAP-Signierung, -Bindung und -Clientverschlüsselung beibehalten, aber dennoch Bindungsanforderungen vom AuthPoint Gateway oder einer Firebox zulassen möchten.
Unterstützung nötig? Wir prüfen per Fernwartung, ob Ihr Gerät betroffen ist, sichern vorher die Konfiguration und setzen die Lösung um – als WatchGuard Gold Partner mit direktem Hersteller-Eskalationsweg.