Cách bật LDAP signing trên Windows Server và Client Machines

LDAP signing là phương pháp xác thực trong Windows Server tăng cường bảo mật directory server. Khi bật, nó từ chối request không yêu cầu signing hoặc request dùng non-SSL/TLS. Bài này hướng dẫn bật LDAP signing trên Windows Server và máy client. LDAP là Lightweight Directory Access Protocol.

Cách bật LDAP signing trên máy Windows

Để ngăn kẻ tấn công dùng LDAP client giả mạo thay đổi cấu hình/dữ liệu server, bật LDAP signing là bắt buộc. Quan trọng không kém trên máy client.

1. Thiết lập yêu cầu LDAP signing server
2. Thiết lập yêu cầu LDAP signing client bằng Local computer policy
3. Thiết lập yêu cầu LDAP signing client bằng Domain Group Policy Object
4. Thiết lập yêu cầu LDAP signing client bằng Registry keys
5. Cách xác minh thay đổi cấu hình
6. Cách tìm client không dùng tùy chọn "Require signing"

Phần cuối giúp IT admin tìm máy client KHÔNG bật Require signing, cô lập và bật cài đặt bảo mật.

1] Thiết lập yêu cầu LDAP signing server

1. Mở Microsoft Management Console (mmc.exe)
2. File > Add/Remove Snap-in > chọn Group Policy Object Editor > Add.
3. Group Policy Wizard mở. Browse, chọn Default Domain Policy thay vì Local Computer
4. OK > Finish > Close.
5. Chọn Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options.
6. Chuột phải Domain controller: LDAP server signing requirements > Properties.
7. Dialog Properties, Enable Define this policy setting, chọn Require signing trong danh sách, OK.
8. Kiểm tra lại cài đặt và Apply.

2] Thiết lập yêu cầu LDAP signing client bằng local computer policy

1. Mở Run, gõ gpedit.msc, Enter.
2. Group Policy Editor, điều hướng Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options.
3. Chuột phải Network security: LDAP client signing requirements > Properties.
4. Dialog Properties, chọn Require signing trong danh sách, OK.
5. Xác nhận và Apply.

3] Thiết lập yêu cầu LDAP signing client bằng Domain Group Policy Object

1. Mở Microsoft Management Console (mmc.exe)
2. File > Add/Remove Snap-in > chọn Group Policy Object Editor > Add.
3. Group Policy Wizard. Browse, chọn Default Domain Policy thay vì Local Computer
4. OK > Finish > Close.
5. Chọn Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options.
6. Dialog Network security: LDAP client signing requirements Properties, chọn Require signing, OK.
7. Xác nhận và Apply.

4] Thiết lập yêu cầu LDAP signing client bằng registry keys

Đầu tiên: backup registry

• Mở Registry Editor
• Đến HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Chuột phải bên phải, tạo DWORD mới tên LDAPServerIntegrity
• Để giá trị mặc định.

<InstanceName>: Tên instance AD LDS muốn thay đổi.

5] Cách xác minh cấu hình đã yêu cầu sign-in

Kiểm tra chính sách bảo mật hoạt động:

1. Đăng nhập máy có AD DS Admin Tools.
2. Run, gõ ldp.exe, Enter. UI điều hướng Active Directory namespace
3. Connection > Connect.
4. Server and Port: nhập tên server và port non-SSL/TLS của directory server, OK.
5. Sau kết nối, Connection > Bind.
6. Bind type: chọn Simple bind.
7. Nhập user/pass, OK.

Nếu nhận lỗi Ldap_simple_bind_s() failed: Strong Authentication Required, nghĩa là đã cấu hình thành công directory server.

6] Cách tìm client không dùng "Require signing"

Mỗi khi client kết nối server bằng giao thức không an toàn, tạo Event ID 2889. Log entry chứa IP client. Cần bật bằng cách đặt 16 LDAP Interface Events diagnostic setting thành 2 (Basic). Xem cách cấu hình AD và LDS diagnostic event logging tại Microsoft.

LDAP Signing quan trọng, hy vọng bài viết giúp bạn hiểu rõ cách bật LDAP signing trên Windows Server và máy client.