LDAP साइनिंग विंडोज सर्वर में एक प्रमाणीकरण विधि है जो डायरेक्टरी सर्वर की सुरक्षा में सुधार कर सकती है। एक बार सक्षम होने पर, यह किसी भी अनुरोध को अस्वीकार कर देगा जो साइनिंग नहीं मांगता या यदि अनुरोध नॉन-SSL/TLS-एन्क्रिप्टेड का उपयोग कर रहा है। इस पोस्ट में, हम साझा करेंगे कि आप विंडोज सर्वर और क्लाइंट मशीनों में LDAP साइनिंग कैसे सक्षम कर सकते हैं। LDAP का अर्थ है लाइटवेट डायरेक्टरी एक्सेस प्रोटोकॉल (LDAP)।
विंडोज कंप्यूटर में LDAP साइनिंग कैसे सक्षम करें
यह सुनिश्चित करने के लिए कि हमलावर जाली LDAP क्लाइंट का उपयोग करके सर्वर कॉन्फिगरेशन और डेटा को न बदल सके, LDAP साइनिंग सक्षम करना आवश्यक है। क्लाइंट मशीनों पर भी इसे सक्षम करना उतना ही महत्वपूर्ण है।
- सर्वर LDAP साइनिंग आवश्यकता सेट करें
- लोकल कंप्यूटर पॉलिसी का उपयोग करके क्लाइंट LDAP साइनिंग आवश्यकता सेट करें
- डोमेन ग्रुप पॉलिसी ऑब्जेक्ट का उपयोग करके क्लाइंट LDAP साइनिंग आवश्यकता सेट करें
- रजिस्ट्री कुंजियों का उपयोग करके क्लाइंट LDAP साइनिंग आवश्यकता सेट करें
- कॉन्फिगरेशन परिवर्तनों को कैसे सत्यापित करें
- उन क्लाइंट्स को कैसे ढूंढें जो "आवश्यकता साइनिंग" विकल्प का उपयोग नहीं करते
अंतिम खंड आपको उन कंप्यूटरों का पता लगाने में मदद करता है जिन पर कंप्यूटर पर आवश्यकता साइनिंग सक्षम नहीं है। यह IT एडमिन्स के लिए उन कंप्यूटरों को अलग करने और उन पर सुरक्षा सेटिंग्स सक्षम करने के लिए एक उपयोगी टूल है।
1] सर्वर LDAP साइनिंग आवश्यकता सेट करें
- माइक्रोसॉफ्ट मैनेजमेंट कंसोल (mmc.exe) खोलें
- फाइल > ऐड/रिमूव स्नैप-इन > ग्रुप पॉलिसी ऑब्जेक्ट एडिटर चुनें, और फिर ऐड चुनें।
- यह ग्रुप पॉलिसी विज़ार्ड खोलेगा। ब्राउज़ बटन पर क्लिक करें, और लोकल कंप्यूटर के बजाय डिफ़ॉल्ट डोमेन पॉलिसी चुनें
- OK बटन पर क्लिक करें, फिर फिनिश बटन पर क्लिक करें, और इसे बंद करें।
- डिफ़ॉल्ट डोमेन पॉलिसी > कंप्यूटर कॉन्फिगरेशन > विंडोज सेटिंग्स > सुरक्षा सेटिंग्स > लोकल पॉलिसीज़ चुनें, और फिर सिक्योरिटी ऑप्शन्स चुनें।
- डोमेन कंट्रोलर: LDAP सर्वर साइनिंग आवश्यकताएं पर राइट-क्लिक करें, और फिर गुण चुनें।
- डोमेन कंट्रोलर: LDAP सर्वर साइनिंग आवश्यकताएं गुण संवाद बॉक्स में, "इस नीति सेटिंग को परिभाषित करें" सक्षम करें, सूची में आवश्यकता साइनिंग चुनें, और फिर OK चुनें।
- सेटिंग्स की पुनः जांच करें और उन्हें लागू करें।
2] लोकल कंप्यूटर पॉलिसी का उपयोग करके क्लाइंट LDAP साइनिंग आवश्यकता सेट करें
- रन प्रॉम्प्ट खोलें, gpedit.msc टाइप करें, और एंटर कुंजी दबाएं।
- ग्रुप पॉलिसी एडिटर में, लोकल कंप्यूटर पॉलिसी > कंप्यूटर कॉन्फिगरेशन > पॉलिसीज़ > विंडोज सेटिंग्स > सुरक्षा सेटिंग्स > लोकल पॉलिसीज़ पर जाएं, और फिर सिक्योरिटी ऑप्शन्स चुनें।
- नेटवर्क सुरक्षा: LDAP क्लाइंट साइनिंग आवश्यकताएं पर राइट-क्लिक करें, और फिर गुण चुनें।
- नेटवर्क सुरक्षा: LDAP क्लाइंट साइनिंग आवश्यकताएं गुण संवाद बॉक्स में, सूची में आवश्यकता साइनिंग चुनें और फिर OK चुनें।
- परिवर्तनों की पुष्टि करें और उन्हें लागू करें।
3] डोमेन ग्रुप पॉलिसी ऑब्जेक्ट का उपयोग करके क्लाइंट LDAP साइनिंग आवश्यकता सेट करें
- माइक्रोसॉफ्ट मैनेजमेंट कंसोल (mmc.exe) खोलें
- फाइल > ऐड/रिमूव स्नैप-इन > ग्रुप पॉलिसी ऑब्जेक्ट एडिटर चुनें, और फिर ऐड चुनें।
- यह ग्रुप पॉलिसी विज़ार्ड खोलेगा। ब्राउज़ बटन पर क्लिक करें, और लोकल कंप्यूटर के बजाय डिफ़ॉल्ट डोमेन पॉलिसी चुनें
- OK बटन पर क्लिक करें, फिर फिनिश बटन पर क्लिक करें, और इसे बंद करें।
- डिफ़ॉल्ट डोमेन पॉलिसी > कंप्यूटर कॉन्फिगरेशन > विंडोज सेटिंग्स > सुरक्षा सेटिंग्स > लोकल पॉलिसीज़ चुनें, और फिर सिक्योरिटी ऑप्शन्स चुनें।
- नेटवर्क सुरक्षा: LDAP क्लाइंट साइनिंग आवश्यकताएं गुण संवाद बॉक्स में, सूची में आवश्यकता साइनिंग चुनें और फिर OK चुनें।
- परिवर्तनों की पुष्टि करें और सेटिंग्स लागू करें।
4] रजिस्ट्री कुंजियों का उपयोग करके क्लाइंट LDAP साइनिंग आवश्यकता सेट करें
पहली और सबसे महत्वपूर्ण बात यह है कि अपनी रजिस्ट्री का बैकअप लें
- रजिस्ट्री एडिटर खोलें
- HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters पर जाएं
- दाएं पैन पर राइट-क्लिक करें, और LDAPServerIntegrity नाम से एक नया DWORD बनाएं
- इसे इसके डिफ़ॉल्ट मान पर छोड़ दें।
<InstanceName>: AD LDS इंस्टेंस का नाम जिसे आप बदलना चाहते हैं।
5] कैसे सत्यापित करें कि कॉन्फिगरेशन परिवर्तनों में अब साइन-इन आवश्यक है
यह सुनिश्चित करने के लिए कि सुरक्षा नीति काम कर रही है, यहां बताया गया है कि इसकी अखंडता कैसे जांचें।
- AD DS एडमिन टूल्स इंस्टॉल किए गए कंप्यूटर पर साइन इन करें।
- रन प्रॉम्प्ट खोलें, ldp.exe टाइप करें, और एंटर कुंजी दबाएं। यह एक्टिव डायरेक्टरी नेमस्पेस के माध्यम से नेविगेट करने के लिए उपयोग किया जाने वाला UI है
- कनेक्शन > कनेक्ट चुनें।
- सर्वर और पोर्ट में, सर्वर नाम और अपने डायरेक्टरी सर्वर का नॉन-SSL/TLS पोर्ट टाइप करें, और फिर OK चुनें।
- कनेक्शन स्थापित होने के बाद, कनेक्शन > बाइंड चुनें।
- बाइंड प्रकार के तहत, सिंपल बाइंड चुनें।
- उपयोगकर्ता नाम और पासवर्ड टाइप करें, और फिर OK चुनें।
यदि आपको Ldap_simple_bind_s() failed: Strong Authentication Required त्रुटि संदेश प्राप्त होता है, तो आपने अपने डायरेक्टरी सर्वर को सफलतापूर्वक कॉन्फिगर कर लिया है।
6] उन क्लाइंट्स को कैसे ढूंढें जो "आवश्यकता साइनिंग" विकल्प का उपयोग नहीं करते
हर बार जब कोई क्लाइंट मशीन असुरक्षित कनेक्शन प्रोटोकॉल का उपयोग करके सर्वर से कनेक्ट होती है, तो यह इवेंट ID 2889 उत्पन्न करती है। लॉग एंट्री में क्लाइंट्स के IP पते भी होंगे। आपको इसे 16 LDAP इंटरफेस इवेंट्स डायग्नोस्टिक सेटिंग को 2 (बेसिक) पर सेट करके सक्षम करना होगा। Microsoft पर AD और LDS डायग्नोस्टिक इवेंट लॉगिंग कॉन्फिगर करना सीखें।
LDAP साइनिंग महत्वपूर्ण है, और मुझे आशा है कि यह पोस्ट आपको स्पष्ट रूप से समझने में मदद कर पाई होगी कि आप विंडोज सर्वर में और क्लाइंट मशीनों पर LDAP साइनिंग कैसे सक्षम कर सकते हैं।
