Создание доверительных отношений между доменами Active Directory и ALD Pro

Алгоритм действий собственной разработки, достаточен для создания лаборатории (экспериментального стенда) или для использования в небольшой локальной сети. Уровень сложности действий — низкий, уровень образования автора — такой же.

Актуальность мануала достаточно высока: сроки перехода на отечественное ПО поджимают, а объем предстоящих работ для многих учреждений колоссален. В таких условиях могут пригодиться любые крупицы информации, если они представляют собой сколько‑нибудь работающие решения.

Цель алгоритма — создать возможность авторизации пользователей домена Active Directory на машинах домена ALD Pro. Используется самое доступное и простое решение — синхронизация каталогов LDAP. Такой способ проще в конфигурации, чем создание траста на основе билетов Kerberos.

Примечания перед началом работы:

• своим алгоритмом не пытаюсь превзойти инструкции разработчиков ГК «Астра» — лишь собираю воедино разбросанные по уголкам ИТС «Интернет» рекомендации по донастройке тех или иных нюансов;

• если какие‑либо параметры указаны в квадратных скобочках, это не значит, что их реально нужно писать в таких скобочках — это означает, что это пример (к сожалению, по опыту знаю, что лучше «на берегу» уточнять такие мелочи);

• не рекомендуется указывать «.local» в качестве домена первого уровня: этот домен зарезервирован под отдельный протокол «семейства» DNS, который в нашем случае не используется и сеть под него не конфигурируется.

Содержание:

1. Настройка машин Windows

   • предустановочная информация

   • общая конфигурация

   • конфигурация контроллера домена

   • конфигурация клиента домена

2. Настройка машин Linux

   • предустановочная информация

   • общая конфигурация

     • настройка сети на контроллере

     • настройка сети на клиенте

   • создание контроллера домена

   • создание клиента

3. Конфигурация доверительных отношений

   • донастройка ALD Pro

   • донастройка Active Directory

   • инициирование соединения со стороны ALD Pro

   • проверка принятия соединения со стороны Active Directory

   • выполнение перекрестного входа в домен

Схема сети

Чтобы не выходить за рамки тематики туториала, настроек Mikrotik здесь приведено не будет: все, что от него требуется — настроенный DHCP‑сервер. Если возникнут сложности, в сокровищнице Хабра наверняка найдется пара гайдов и на эту железяку 🙂

Тестирование алгоритма проводилось в средах виртуализации VMWare ESXI и VirtualBox.

---

Настройка машин Windows

Предустановочная информация

Контроллер: ISO Windows Server 2016, 4 CPU, 8 Гб RAM, 40 Гб места на ЖД

Клиент: ISO Windows 10, 4 CPU, 4 Гб RAM, 30 Гб места на ЖД

Тип установки: сервер — «Standard Evaluation (возможности рабочего стола)», клиент — «Pro»

По окончании установки обеих машин желательно сохранить снапшоты «CLEAR» для возможности отката неверных настроек.

Общая конфигурация

1. назначить интерфейсам машин IP‑адреса в соответствии с выбранной схемой сети;

2. запретить брандмауэру блокировать подключения, а также включить правило для входящих подключений «Наблюдение за виртуальной машиной (эхо‑запрос ICMPv4)» (рис. 1, 2);

3. задать имя компьютера, временно оставить его в WORKGROUP.

Примечание. Во избежание возможных ошибок, следует отказаться от «dc» в качестве имени контроллера — его лучше оставить для контроллера ALD Pro.

Конфигурация контроллера домена

1. добавить роли «DNS‑сервер» и «Доменные службы Active Directory»;

2. «повысить роль сервера до уровня контроллера домена», создать новый лес‑домен;

3. создать пользователей (эти учетные записи будут нужны для создания и проверки создания доверительных отношений):

   • пользователь‑администратор: добавить его в «Администраторы домена», задать эту группу основной;

   • пользователь‑клиент: просто убедиться, что он находится в группе «Пользователи домена»;

4. убедиться в наличии DNS‑зоны прямого просмотра, одноименной с созданным доменом Active Directory.

Конфигурация клиента домена

1. Ввести клиента в домен с помощью ранее использовавшегося меню смены имени;

2. проверить корректность регистрации, обновив список компьютеров домена и убедившись, что отображается верное имя клиента.

После перезагрузки на компьютере-клиенте можно авторизоваться под учетной записью доменного пользователя.

---

Настройка машин Linux

Предустановочная информация

Контроллер: ISO Astra Linux Special Edition 1.7.3, 4 CPU, 8 Гб RAM, 40 Гб места на ЖД

Клиент: ISO Astra Linux Special Edition 1.7.3, 4 CPU, 4 Гб RAM, 25 Гб места на ЖД

Тип установки: сервер — без графической оболочки, клиент — с графической оболочкой

По окончании установки обеих машин желательно сохранить снапшоты «CLEAR» для возможности отката неверных настроек.

Общая конфигурация

1. Как уже было указано ранее, рекомендуется задать контроллеру имя «dc», во избежание возникновения ошибок обнаружения его клиентом/другим контроллером;

2. при установке выбрать ядро «5.4 generic»;

3. для контроллера выполнить минимальную установку: оставить лишь пакеты «Утилиты консоли» и «Средства ufw»;

4. для клиента выполнить минимальную установку с графической оболочкой: оставить пакеты «Утилиты консоли», «Средства ufw», «Графический интерфейс Fly»;

5. уровень защищенности — «Смоленск».

6. установить дату и время, последовательно выполнив следующие команды:

sudo date [123123592077.00] #формат даты-времени - MonthDayHourMinuteYear.Seconds # т.о., в примере задано 31 декабря 2077 23:59:00 date #вывод-проверка корректности даты и времени sudo hwclock --systohc #запись даты в память машины (иначе потеряется при перезагрузке)

7. задать полное имя машины:

sudo hostnamectl set-hostname [имя.aldpro.lab]

8. привести /etc/hosts к виду:

127.0.0.1 localhost.localdomain localhost [172.16.10.X] [имя.aldpro.lab] [имя] 127.0.1.1 [имя] # + закомментировать строки, относящиеся к конфигурации IPv6

9. в файл /etc/sysctl.d/999-astra.conf дописать строку:

net.ipv6.conf.all.disable_ipv6 = 1

---

Здесь ветви конфигурации ненадолго разделяются, т. к. методы настройки сети у контроллера и клиента различаются. Общий алгоритм продолжится после такого же блока‑разделителя.

Настройка сети на контроллере

1. в файл /etc/network/interfaces ввести подобные сетевые настройки.

   Для схемы сети с выделенным роутером:

   auto eth0 iface eth0 inet dhcp

   Для схемы сети с виртуальными коммутаторами:

   # интерфейс к глобальной сети auto eth0 iface eth0 inet dhcp dns-nameservers [192.168.0.13]  # интерфейс к локальной сети auto eth1 iface eth1 inet static address [172.16.10.1] netmask [255.255.255.0] dns-search [aldpro.lab] dns-nameservers [172.16.10.1] 127.0.0.1

2. установить и активировать утилиту для автообновления файла резолвинга:

sudo apt install resolvconf #установка пакетов sudo systemctl status resolvconf #проверка состояния sudo systemctl enable resolvconf #добавление службы в автозапуск sudo systemctl start resolvconf #активация службы

3. выполнить создание и обновление файла резолвинга:

sudo resolvconf -u #команда обновления файла резолвинга; в данном случае просто создаст этот файл sudo ifdown -a #выключение всех сетевых интерфейсов для безопасной их перезагрузки sudo ifup -a #включение всех сетевых интерфейсов #в этот момент resolvconf автоматически отследит и добавит актуальные сетевые настройки в /etc/resolv.conf cat /etc/resolv.conf # на данный момент файл резолвинга должен содержать: #  строку вида "Do not edit this file by hand" #  адреса DNS-серверов глобальной и локальной сетей #  имена поисковых доменов-суффиксов

Настройка сети на клиенте

1. с помощью графической утилиты NetworkManager задать подобные сетевые настройки:

   • для схемы сети с выделенным роутером:

     • параметры сети=»автоматически (DHCP)»

   • для схемы сети с виртуальными коммутаторами:

     • интерфейс LAN: параметры сети=»вручную»; IP=[172.16.10.10], mask=[24], DNS-сервер=[172.16.10.1], поисковый домен=[aldpro.lab];

     • интерфейс WAN: параметры сети=»автоматически (DHCP)».

2. выключить-включить поддержку сети (безопасная перезагрузка сетевых интерфейсов);

3. вывести для проверки содержимое файла резолвинга:

cat /etc/resolv.conf # на данный момент файл резолвинга должен содержать: #  строку вида "Do not edit this file by hand" #  адреса DNS-серверов глобальной и локальной сетей #  имена поисковых доменов-суффиксов

---

10. проверить связь в сетях:

ping ya.ru ping [172.16.20.1] #если с AD нет связи, может помочь перепроверка корректности настроек его брандмауэра, # в особенности категории "Защита в доменной сети"

11. в файле /etc/apt/sources.list закомментировать репозиторий диска (cdrom:///…) и раскомментировать 4 сетевых репозитория;

12. выполнить обновление списка репозиториев и затем обновление системы:

sudo apt update sudo apt upgrade -y

Примечание.В процессе установки пакетов система задаст несколько вопросов, заменить ли отдельные пакеты новыми версиями – для всех отвечать Y.

13. перезагрузить машину;

14. проверить версию системы:

cat /etc/astra_version #должна обновиться до 1.7.5

15. в файл /etc/apt/sources.list из Приложения Б в Мануале администратора ALD Pro скопировать два репозитория «для Astra Linux с обновлением 1.7.4».

    ВАЖНО: в адресе заменить 1.7.4 на 1.7.5 (рис. 4)

16. обновить список репозиториев, но не выполнять обновление системы!;

17. из Приложения Б в Мануале администратора ALD Pro скопировать две echo‑команды «для добавления сетевого репозитория aldpro» (крайне нежелательно вписывать указанные в этих командах репозитории в необходимый файл вручную — высока вероятность возникновения ошибок);

18. привести /etc/apt/preferences.d/aldpro к виду:

Package: * Pin: release n=generic Pin-Priority: 900

19. выполнить обновление списка репозиториев и затем обновление системы:

sudo apt update sudo apt dist-upgrade #начиная с версии 1.7.5, требуется использовать команду "связного" обновления системы: # так не только подтягиваются новые версии уже установленных в системе пакетов, # но и учитывается необходимость обновить пакеты зависимостей

20. перезагрузить машину;

21. сохранить снапшот «before install», для возможности отката неверно/неудачно установленных пакетов

Создание контроллера домена

1. установить пакеты FreeIPA и других компонентов контроллера домена:

sudo DEBIAN_FRONTEND=noninteractive apt-get install -q -y aldpro-mp aldpro-gc aldpro-syncer 

Примечание. Не рекомендуется использовать CapsLock при вводе прописных букв – по какой-то причине процесс ввода символов после этого ломается, и все пишется неровным зАбоРЧиКоМ.

2. перезагрузить машину;

3. инициализировать контроллер:

sudo aldpro-server-install -d [aldpro.lab] -n [dc] -p [желаемый пароль администратора домена] --ip [172.16.10.1] --setup_syncer --setup_gc --no-reboot

Примечание. В качестве адреса рекомендуется указывать локальный IP‑адрес машины ‑при указании глобального (и особенно при его дальнейшей смене) могут возникнуть ошибки.

Создание всех необходимых компонентов долгое, не менее 15 минут. В конце могут появиться 2–3 «failed units» — на работоспособность контроллера это не повлияет.

4. перезагрузить машину;

5. с любой машины с графическим интерфейсом (можно даже с хостовой) проверить работоспособность контроллера — зайти в его веб‑морду (вход по учетным данным admin/[указанный при инициализации пароль администратора домена]:

https://[172.16.10.1]/ad/ui

6. для полноценного введения в домен клиентской машины создать доменного пользователя: Веб‑консоль управления → Пользователи и компьютеры → Пользователи → «новый» → заполнить обязательные поля → малозаметная кнопка «Сохранить» в верхнем правом углу.

Создание клиента домена

1. установить пакеты клиента домена:

sudo DEBIAN_FRONTEND=noninteractive apt-get install -q -y aldpro-client

Примечание. Не рекомендуется использовать CapsLock при вводе прописных букв — по какой-то причине процесс ввода символов после этого ломается, и все пишется неровным зАбоРЧиКоМ.

2. установить пакеты браузера Firefox (понадобится для дальнейшей работы):

sudo apt install firefox

3. если используется схема сети с виртуальными коммутаторами, в NetworkManager отключить соединение с глобальной сетью и перезагрузить сетевые интерфейсы;

   Примечание. Если оставить машине прямой выход в глобальную сеть, при инициализации клиента она найдет и «запомнит» контроллер по его глобальному адресу, что в дальнейшем (при, например, смене адреса у контроллера) приведет к ошибкам и отвалам.

4. инициализировать клиента:

sudo /opt/rbta/aldpro/client/bin/aldpro-client-installer -c [aldpro.lab] -u admin -p [пароль администратора домена] -d [astracli] -i -f

5. на контроллере проверить корректность введения машины‑клиента в домен: Веб‑консоль управления → Пользователи и компьютеры → Компьютеры → сверить FQDN и IP клиента (рис. 5);

6. перезагрузить машину;

7. войти в домен с учетными данными ранее созданного доменного пользователя; при первом входе сработает встроенная политика безопасности и попросит сменить пароль пользователя — можно ввести старый под видом нового (рис. 6).

---

Конфигурация доверительных отношений

Рекомендуется сохранить снапшоты обоих контроллеров перед началом работы над этой задачей.

Донастройка ALD Pro

1. в файл /etc/hosts добавить записи об адресе, имени и домене контроллера AD в следующем формате:

[172.16.20.1] [windc.activedir.lab] [windc] # + снова закомментировать строки, относящиеся к конфигурации IPv6

2. в файле /etc/sysctl.d/999-astra.conf снова привести строку с IPv6 к указанному виду:

net.ipv6.conf.all.disable_ipv6 = 1

3. добавить сервер пересылки DNS: Веб‑консоль управления → Роли и службы сайта → Службы разрешения имен → Перенаправление запросов → Новая зона → заполнить поля «Имя зоны» ([activedir.lab]), «Глобальные перенаправители» ([172.16.20.1]), «Тип зоны» (прямой), «Политика перенаправления» (только перенаправлять) → малозаметная кнопка «Сохранить» в верхнем правом углу (рис. 7).

4. в файле /etc/sssd/sssd.conf в секции с заголовком «[domain/aldpro.lab]» дописать следующее:

subdomain_inherit = ignore_group_members, ldap_purge_cache_timeout ignore_group_members = True ldap_purge_cache_timeout = 0

Примечание. Будьте внимательны и на месте перепроверьте синтаксис: следующая секция файла с заголовком «[sssd]» начинается очень незаметно — можно совершенно случайно написать указанные строки уже в этой секции, потом придется долго‑долго искать ошибку (горький опыт).

5. перезапустить сервис sssd:

sudo systemctl restart sssd

6. в файле /etc/bind/ipa-options-ext.conf отредактировать и дописать строки:

dnssec-validation no; allow-query-cache { any; };

Примечание. Опять же, внимательно перечитайте написанное: легко ошибиться в количестве пробелов/скобок/знаков пунктуации, ошибка может быть мелкой и незаметной, но сильно помешать дальнейшей работе.

7. перезапустить сервис FreeIPA:

sudo ipactl restart

Донастройка Active Directory

1. проверить видимость контроллера ALD Pro — выполнить ping по его доменному имени;

2. создать сервер условной пересылки: Оснастка DNS → Серверы условной пересылки → «Добавить» → заполнить поля «DNS‑домен» ([aldpro.lab]), «IP‑адрес» ([172.16.10.1]) (рис. 8).

Примечание. Здесь вначале будет отображаться предупреждение о «неавторитетности сервера» — это нормально и валидируется просто дополнительной проверкой: Серверы условной пересылки → выделить нужный, открыть Свойства → «Изменить»; в графе «Проверка выполнена» будет отображаться статус «ОК».

Инициирование соединения со стороны ALD Pro

1. с любого компьютера в локальной сети зайти в веб-консоль управления FreeIPA, не самого ALD:

https://dc/ipa/ui

2. указать сервер для создания доверительных отношений: IPA‑сервер → Отношения доверия → Отношения доверия → «Добавить» → установить галочки «двусторонее отношение» и «тип диапазона — Домен AD», заполнить поля «домен» ([activedir.lab]), «установить с помощью » (указать учетные данные пользователя‑администратора, создавали ранее при настройке контроллера Active Directory) → «Добавить».

В случае успешного создания траста будет выведено сообщение «Успешно добавлено Отношение доверия. Установлено и проверено», а в списке Отношений доверия FreeIPA появится домен Active Directory.

Проверка принятия соединения со стороны Active Directory

1. проверить корректность создания доверительных отношений: оснастка «Домены и доверие» → локальный домен → «Свойства»» → «Отношения доверия»; здесь уже должен быть вписан домен ALD Pro;

2. проверить корректность применения настроек пересылки DNS: (путь выше) → «Свойства» → «Маршрутизация суффиксов имен»; здесь должен автоматически настроиться редирект суффикса «*.[aldpro.lab]».

Выполнение перекрестного входа в домен

1. перезагрузить оба контроллера и машину-клиент ALD;

2. на клиенте ALD Pro совершить вход в домен Active Directory с учетными данными пользователя-клиента (создавали ранее при настройке контроллера Active Directory) (рис. 9).

Примечание. В списке доступных доменов Active Directory может появиться не сразу после перезагрузки контроллеров — есть смысл подождать около пяти минут, прежде чем считать недоступность ошибкой.