Búsqueda de sitios web

Cómo habilitar el inicio de sesión LDAP en Windows Server & Client Machines

La firma LDAP es un método de autenticación en Windows Server que puede mejorar la seguridad de un servidor de directorio. Una vez habilitado, rechazará cualquier solicitud que no solicite la firma o si la solicitud no utiliza cifrado SSL/TLS. En esta publicación, compartiremos cómo puede habilitar el inicio de sesión LDAP en Windows Server y máquinas cliente. LDAP significa Protocolo ligero de acceso a directorios (LDAP).

Cómo habilitar el inicio de sesión LDAP en computadoras con Windows

Para asegurarse de que el atacante no use un cliente LDAP falsificado para cambiar la configuración y los datos del servidor, es esencial habilitar la firma LDAP. Es igualmente importante habilitarlo en las máquinas cliente.

  1. Establecer el requisito de firma LDAP del servidor

  2. Establezca el requisito de firma LDAP del cliente mediante la política de equipo local

  3. Establezca el requisito de firma LDAP del cliente mediante el objeto de política de grupo de dominio

  4. Establezca el requisito de firma LDAP del cliente mediante claves de registro

  5. Cómo verificar los cambios de configuración

  6. Cómo encontrar clientes que no utilizan la opción “Requerir firma”

La última sección lo ayuda a descubrir clientes que no tienen habilitado Requerir firma en la computadora. Es una herramienta útil para que los administradores de TI aíslen esas computadoras y habiliten la configuración de seguridad en las computadoras.

1. Establecer el requisito de firma LDAP del servidor

  1. Abra la consola de administración de Microsoft (mmc.exe)

  2. Seleccione Archivo > Agregar o quitar complemento > seleccione Editor de objetos de directiva de grupo y luego seleccione Agregar.

  3. Se abrirá el Asistente para directivas de grupo. Haga clic en el botón Examinar y seleccione Política de dominio predeterminada en lugar de Equipo local.

  4. Haga clic en el botón Aceptar y luego en el botón Finalizar y ciérrelo.

  5. Seleccione Política de dominio predeterminada > Configuración del equipo > Configuración de Windows > Configuración de seguridad > Políticas locales y luego seleccione Opciones de seguridad.

  6. Haga clic con el botón derecho en Controlador de dominio: requisitos de firma del servidor LDAP y luego seleccione Propiedades.

  7. En el cuadro de diálogo Controlador de dominio: requisitos de firma del servidor LDAP Propiedades, habilite Definir esta configuración de política, seleccione Requerir inicio de sesión en la lista Definir esta configuración de política y luego seleccione Aceptar.

  8. Vuelva a comprobar los ajustes y aplíquelos.

2. Establezca el requisito de firma LDAP del cliente mediante la política de la computadora local

  1. Abra el mensaje Ejecutar, escriba gpedit.msc y presione la tecla Intro.

  2. En el editor de políticas de grupo, vaya a Política informática local > Configuración del equipo > Políticas > Configuración de Windows > Configuración de seguridad > Políticas locales y luego seleccione Opciones de seguridad.

  3. Haga clic con el botón derecho en Seguridad de la red: requisitos de firma del cliente LDAP y luego seleccione Propiedades.

  4. En el cuadro de diálogo Seguridad de la red: requisitos de firma del cliente LDAP Propiedades , seleccione Requerir firma en la lista y, a continuación, elija Aceptar.

  5. Confirme los cambios y aplíquelos.

3. Establezca el requisito de firma de LDAP del cliente mediante un objeto de directiva de grupo de dominio

  1. Abrir Microsoft Management Console (mmc.exe)

  2. Seleccione class=uiterm>Archivo > class=uiterm>Agregar o quitar complemento > seleccione class=uiterm>Editor de objetos de directiva de grupo y luego seleccione < strong class=uiterm>Agregar.

  3. Se abrirá el Asistente para directivas de grupo. Haga clic en el botón Examinar y seleccione class=uiterm>Política de dominio predeterminada en lugar de Equipo local.

  4. Haga clic en el botón Aceptar y luego en el botón Finalizar y ciérrelo.

  5. Seleccione class=uiterm>Política de dominio predeterminada > class=uiterm>Configuración del equipo > class=uiterm>Configuración de Windows > class=uiterm>Configuración de seguridad< > class=uiterm>Políticas locales y luego seleccione class=uiterm>Opciones de seguridad.

  6. En el cuadro de diálogo class=uiterm>Seguridad de la red: Requisitos de firma del cliente LDAP Propiedades , seleccione class=uiterm>Requerir firma en la lista y luego elija class=uiterm>Aceptar .

  7. Confirme los cambios y aplique la configuración.

4. Establezca el requisito de firma LDAP del cliente mediante claves de registro

Lo primero y más importante que debe hacer es hacer una copia de seguridad de su registro

  • Abrir el Editor del Registro

  • Vaya a HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ \Parameters

  • Haga clic derecho en el panel derecho y cree un nuevo DWORD con el nombre LDAPServerIntegrity

  • Déjelo en su valor predeterminado.

>: nombre de la instancia de AD LDS que desea cambiar.

5. Cómo verificar si los cambios de configuración ahora requieren inicio de sesión

Para asegurarse de que la política de seguridad funcione, aquí se explica cómo verificar su integridad.

  1. Inicie sesión en una computadora que tenga instaladas las herramientas de administración de AD DS.

  2. Abra el mensaje Ejecutar, escriba ldp.exe y presione la tecla Intro. Es una interfaz de usuario utilizada para navegar a través del espacio de nombres de Active Directory.

  3. Seleccione Conexión > Conectar.

  4. En Servidor y Puerto, escriba el nombre del servidor y el puerto no SSL/TLS de su servidor de directorio y luego seleccione Aceptar.

  5. Después de establecer una conexión, seleccione Conexión > Enlazar.

  6. En Tipo de encuadernación, seleccione Encuadernación simple.

  7. Escriba el nombre de usuario y la contraseña y, a continuación, seleccione Aceptar.

Si recibe un mensaje de error que dice Ldap_simple_bind_s() falló: Se requiere autenticación fuerte, entonces ha configurado correctamente su servidor de directorio.

6. Cómo encontrar clientes que no utilicen la opción “Requerir firma”

Cada vez que una máquina cliente se conecta al servidor mediante un protocolo de conexión no seguro, genera el ID de evento 2889. La entrada de registro también contendrá las direcciones IP de los clientes. Tendrá que habilitar esto configurando la configuración de diagnóstico de 16 class=uiterm>Eventos de interfaz LDAP en class=uiterm>2 (Básico). Aprenda a configurar el registro de eventos de diagnóstico de AD y LDS aquí en Microsoft.

La firma LDAP es crucial, y espero que haya podido ayudarlo a comprender claramente cómo puede habilitar la firma LDAP en Windows Server y en las máquinas cliente.

Artículos relacionados