Cómo resolver la falla en la autenticación de usuarios de Active Directory en Fortinet

En este artículo, abordamos un problema común que puede surgir al utilizar FortiGate para la autenticación LDAP (Protocolo Ligero de Acceso a Directorios) en un entorno de Active Directory. Es crucial resolver esto, ya que puede resultar en credenciales de usuario incorrectas, lo que afecta el acceso y la seguridad en tu red. A través de este documento, aprenderás a diagnosticar y solucionar este inconveniente.

Descripción del problema

El error se presenta cuando FortiGate intenta autenticar un usuario de Active Directory a través de LDAP, pero el cliente recibe credenciales incorrectas. Esto puede deberse a varias razones, como un usuario contraseña incorrecta o ajustes de configuración desactivados en el Active Directory.

Alcance

Este artículo se centra en la resolución de problemas relacionados con la autenticación LDAP en FortiGate.

Diagnóstico paso a paso

Al probar un usuario de Active Directory, aparece el siguiente error:

En una captura de paquetes para el puerto 389 en FortiGate, se recibe la siguiente respuesta para la solicitud de búsqueda LDAP del usuario User1:

El código de error 0x4DC puede aparecer por dos razones principales: la primera, una contraseña incorrecta del usuario; la segunda, que el modo de simple bind esté desactivado en el Active Directory. Este último puede reactivarse añadiendo `pwdssp.dll` en la clave SecurityProviders en el registro del servidor.

Solución recomendada

Para solucionar este problema, verifica primero la contraseña del usuario. Si la contraseña es correcta, asegúrate de que el simple bind esté habilitado. Esto se puede hacer a través del registro del servidor, editando el siguiente camino clave:

HKLM/SYSTEM/ControlSet/Control/SecurityProviders

En algunos casos, también puede necesitar cambios en:

HKLM/SYSTEM/ControlSet001/Control/SecurityProviders

HKLM/SYSTEM/ControlSet002/Control/SecurityProviders

Comandos CLI utilizados

Dentro de FortiGate, pueden utilizarse los siguientes comandos CLI para verificar la configuración LDAP y realizar pruebas de conexión:

diagnose debug enable
diagnose debug application ldap -1

Buenas prácticas y recomendaciones

Asegúrate de seguir estas recomendaciones para evitar problemas en el futuro:

• Revisa y valida las credenciales de usuario y su configuración en Active Directory regularmente.
• Documenta los cambios realizados en la configuración del registro del servidor.
• Realiza pruebas de autenticación LDAP periódicas para garantizar que todo esté funcionando correctamente.

Notas adicionales

Es fundamental estar al tanto de cualquier cambio en las políticas de seguridad y administración de los servidores de Active Directory, ya que esto puede afectar la autenticación. Mantén FortiGate y el Active Directory actualizados para garantizar la compatibilidad y la seguridad en la autenticación de usuarios.