Cómo habilitar la firma LDAP en Windows Server y máquinas cliente

Firma LDAP es un método de autenticación en Windows Server que puede mejorar la seguridad de un servidor de directorio. Una vez habilitado, rechazará cualquier solicitud que no solicite la firma o si la solicitud no está cifrada con SSL / TLS. En esta publicación, compartiremos cómo puede habilitar la firma LDAP en Windows Server y máquinas cliente. LDAP significa Protocolo ligero de acceso a directorios (LDAP).

Cómo habilitar la firma LDAP en computadoras con Windows

Para asegurarse de que el atacante no utilice un cliente LDAP falsificado para cambiar la configuración y los datos del servidor, es esencial habilitar la firma LDAP. Es igualmente importante habilitarlo en las máquinas cliente.

  1. Establecer el requisito de firma LDAP del servidor
  2. Establezca el requisito de firma LDAP del cliente mediante la política de equipo local
  3. Establezca el requisito de firma LDAP del cliente mediante el objeto de directiva de grupo de dominio
  4. Establecer el requisito de firma LDAP del cliente mediante claves de registro
  5. Cómo verificar los cambios de configuración
  6. Cómo encontrar clientes que no utilicen la opción «Requerir firma»

La última sección le ayuda a descubrir clientes que no tiene habilitado Requerir firma en la computadora. Es una herramienta útil para que los administradores de TI aíslen esas computadoras y habiliten la configuración de seguridad en las computadoras.

1]Establecer el requisito de firma LDAP del servidor

Cómo habilitar la firma LDAP en Windows Server y máquinas cliente

  1. Abra Microsoft Management Console (mmc.exe)
  2. Seleccione Archivo> Agregar o quitar complemento> seleccione Editor de objetos de directiva de grupo y luego seleccione Agregar.
  3. Abrirá el Asistente para políticas de grupo. Haga clic en el botón Examinar y seleccione Política de dominio predeterminada en lugar de la computadora local
  4. Haga clic en el botón Aceptar, luego en el botón Finalizar y ciérrelo.
  5. Seleccione Política de dominio predeterminada> Configuración del equipo> Configuración de Windows> Configuración de seguridad> Políticas locales y luego seleccione Opciones de seguridad.
  6. Botón derecho del ratón Controlador de dominio: requisitos de firma del servidor LDAPy luego seleccione Propiedades.
  7. En el cuadro de diálogo Propiedades del controlador de dominio: requisitos de firma del servidor LDAP, habilite Definir esta configuración de directiva, seleccione Requerir firma en la lista Definir esta configuración de directiva, y luego seleccione Aceptar.
  8. Vuelva a verificar la configuración y aplíquela.

2]Establezca el requisito de firma LDAP del cliente mediante la política de equipo local.

Cómo habilitar la firma LDAP en Windows Server y máquinas cliente

  1. Abra el indicador Ejecutar, escriba gpedit.msc y presione la tecla Intro.
  2. En el editor de políticas de grupo, vaya a Política de equipo local> Configuración de equipo> Políticas> Configuración de Windows> Configuración de seguridad> Políticas locales y luego seleccione Opciones de seguridad.
  3. Haga clic derecho en Seguridad de la red: requisitos de firma del cliente LDAPy luego seleccione Propiedades.
  4. En el cuadro de diálogo Propiedades de seguridad de red: requisitos de firma del cliente LDAP, seleccione Requerir firma en la lista y luego elija Aceptar.
  5. Confirme los cambios y aplíquelos.

3]Establezca el requisito de firma LDAP del cliente mediante un objeto de política de grupo de dominio

  1. Abra Microsoft Management Console (mmc.exe)
  2. Seleccione Archivo > Agregar o quitar complemento> Seleccione Editor de objetos de directiva de grupoy luego seleccione Añadir.
  3. Abrirá el Asistente para políticas de grupo. Haga clic en el botón Examinar y seleccione Política de dominio predeterminada en lugar de la computadora local
  4. Haga clic en el botón Aceptar, luego en el botón Finalizar y ciérrelo.
  5. Seleccione Política de dominio predeterminada > Configuracion de Computadora > Configuración de Windows > Configuraciones de seguridad > Políticas localesy luego seleccione Opciones de seguridad.
  6. En el Seguridad de red: requisitos de firma del cliente LDAP Propiedades cuadro de diálogo, seleccione Requerir firma en la lista y luego elija Okay.
  7. Confirme los cambios y aplique la configuración.

4]Establezca el requisito de firma LDAP del cliente mediante claves de registro

Lo primero y más importante que debe hacer es realizar una copia de seguridad de su registro

  • Abrir el editor del registro
  • Vaya a HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services Parameters
  • Haga clic derecho en el panel derecho y cree un nuevo DWORD con nombre LDAPServerIntegrity
  • Déjelo en su valor predeterminado.

: nombre de la instancia de AD LDS que desea cambiar.

5]Cómo verificar si los cambios de configuración ahora requieren iniciar sesión

Para asegurarse de que la política de seguridad funcione, aquí se explica cómo verificar su integridad.

  1. Inicie sesión en una computadora que tenga instaladas las herramientas de administración de AD DS.
  2. Abra el indicador de ejecución, escriba ldp.exe y presione la tecla Intro. Es una interfaz de usuario que se utiliza para navegar por el espacio de nombres de Active Directory.
  3. Seleccione Conexión> Conectar.
  4. En Servidor y puerto, escriba el nombre del servidor y el puerto no SSL / TLS de su servidor de directorio, y luego seleccione Aceptar.
  5. Una vez establecida la conexión, seleccione Conexión> Vincular.
  6. En Tipo de enlace, seleccione Enlace simple.
  7. Escriba el nombre de usuario y la contraseña y luego seleccione Aceptar.

Si recibe un mensaje de error que dice Ldap_simple_bind_s () falló: se requiere autenticación fuerte, entonces ha configurado correctamente su servidor de directorio.

6]Cómo encontrar clientes que no utilicen la opción «Requerir firma»

Cada vez que una máquina cliente se conecta al servidor mediante un protocolo de conexión inseguro, genera el Id. De evento 2889. La entrada de registro también contendrá las direcciones IP de los clientes. Deberá habilitar esto configurando el dieciséis Eventos de la interfaz LDAP ajuste de diagnóstico a 2 (básico). Aprenda a configurar el registro de eventos de diagnóstico de AD y LDS aquí en Microsoft.

La firma LDAP es crucial y espero que haya podido ayudarlo a comprender claramente cómo puede habilitar la firma LDAP en Windows Server y en las máquinas cliente.

Cómo habilitar la firma LDAP en Windows Server y máquinas cliente

Te puede interesar

Deja un comentario