Gruppen werden bei LDAP nicht erkannt

[ziede0815]

Moin,

ich habe eine OPNsense Firewall die unterschiedliche VPN-Einwahen zur verfuegung stellen soll.
Meint: Es gibt eine Gruppe fuer Einwahlrecht bei der per VPN auf alle Netze der Firewall zugefriffen werdenen darf und eine Gruppe bei der der Zugriff auf definierte Netzwerke beschraenkt ist.
Die user sind Zentral in einem Univention Server verwaltet welche LDAP anbietet.
Den LDAP-Servre habe ich eingestellt bekommen und die Benutzer werden auch authentifiziert.
Was leider nicht geht ist das die Gruppen (This user is member of these groups) nicht erkannt werden.
Die Benoetigten Gruppen habe ich sowohl in Univention als auch in der Firewall angelegt (z.B. "GRP-VPN-IT").
Hat von euch jemand einen heissen Tip, wie ich die Firewall dazu bringe die Gruppen zu erkennen?

--> Schnipp <--
System: Access: Tester

User: it authenticated successfully.
This user is a member of these groups:


Attributes received from server:
dn => uid=IT,cn=users,dc=DRK-KV-WEM,dc=de
memberof => cn=Administrators,cn=Builtin,dc=DRK-KV-WEM,dc=de
cn=Domain Guests,cn=groups,dc=DRK-KV-WEM,dc=de
cn=Domain Users,cn=groups,dc=DRK-KV-WEM,dc=de
cn=GRP-IT,cn=groups,dc=DRK-KV-WEM,dc=de
cn=GRP-RDP,cn=groups,dc=DRK-KV-WEM,dc=de
cn=Guests,cn=Builtin,dc=DRK-KV-WEM,dc=de
cn=Domain Admins,cn=groups,dc=DRK-KV-WEM,dc=de
cn=GRP-VPN-IT,cn=groups,dc=DRK-KV-WEM,dc=de
...
--> Schnapp <--

[Patrick M. Hausen]

Ich benutze da im Authentication Server einen extended query, der auf "memberOf=cn=GRP-VPN-IT" filtert.

[ziede0815]

Moin,

mit dem Eintrag "memberOf=cn=GRP-VPN-IT" konnte keine authentifizierung mehr durchgefuehrt werden,
mit dem Eintrag "memberOf=cn=GRP-VPN-IT,cn=Groups,dc=drk-kv-wem,dc=de" koennen User in der Gruppe autentifiziert werden.
Leider wird dennoch keine Gruppenzugehoerigkeit angezeigt. Auch ein Eintrag bei "Default groups" brachte an der Stelle keine Besserung.
Allerdings muss ich zwei Gruppen unterscheiden da die Berechtigungen fuer unterschiedliche VPN-Zugaenge Gruppenabhaengig sein sollen.

Wenn ich "automatic user creation" anhacke wird bei der ersten Anmeldung zwar ein user mit der Passenden Gruppe erstellt jedoch behaelt er die Gruppe auch wenn ich sie im LDAP bei dem user herausnehme...

[Patrick M. Hausen]

Leg zwei VPN-Server mit jeweils einem passenden LDAP-Filter an, dann kannst du getrennt Firewall-Regeln einrichten. Regeln per Gruppe existieren m.W. sowieso nicht.