Was ist LDAP?

Das Lightweight Directory Access Protocol (LDAP) ist ein Client-Server-Protokoll zum Abfragen und Durchsuchen von Verzeichnisdiensten wie Microsoft Active Directory. Es übermittelt Abfragen zu Benutzernamen, Gruppenzugehörigkeiten und anderen Attributen und ermöglicht es Netzwerkgeräten so, Benutzer zu authentifizieren und rollen- oder gruppenbasierte Richtlinien durchzusetzen, ohne eine eigene Benutzerdatenbank führen zu müssen.

Die wichtigsten Erkenntnisse

• LDAP fragt Verzeichnisserver wie Active Directory nach Benutzern und Gruppen ab.
• Bei einem Bind-Vorgang wird der Client authentifiziert, bevor eine Suche durchgeführt werden kann.
• Distinguished Names (DNs) bezeichnen einzelne Einträge im Verzeichnisbaum.
• Versa Geräte verwenden LDAP-Serverprofile, um Benutzer zu authentifizieren und Rollen abzurufen.
• LDAPS und StartTLS verschlüsseln LDAP-Sitzungen, sodass Anmeldedaten nicht unverschlüsselt übertragen werden.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · LDAP & Versa · Häufig gestellte Fragen

Warum ist LDAP wichtig?

Nahezu jedes Unternehmensnetzwerk verfügt bereits über ein Verzeichnis – meist Active Directory –, in dem der Benutzername, der Passwort-Hash und die Gruppenzugehörigkeiten jedes Mitarbeiters gespeichert sind. LDAP ist wichtig, da es Netzwerk- und Sicherheitsgeräten ermöglicht, dieses Verzeichnis zu nutzen, anstatt eine separate, doppelte Benutzerliste zu führen. Eine Firewall oder ein Gateway, das LDAP unterstützt, kann eine Person anhand desselben Kontos authentifizieren, mit dem sie sich an ihrem Laptop anmeldet, und Richtlinien auf der Grundlage der Gruppen anwenden, denen dieses Konto bereits angehört.

Das ist sowohl aus betrieblicher als auch aus Sicherheitssicht von Bedeutung. Ohne LDAP müssten Administratoren Benutzer auf jedem Gerät einzeln ein- und ausschalten; mit LDAP reicht es aus, jemanden zu einer Active-Directory-Gruppe hinzuzufügen, um den Zugriff überall dort zu gewähren oder zu widerrufen, wo diese Gruppe in den Richtlinien referenziert wird. Da LDAP ein offener, herstellerneutraler Standard ist, ermöglicht es auch Geräten verschiedener Hersteller, dasselbe Verzeichnis auf dieselbe Weise abzufragen – weshalb es nach wie vor der Standard-Integrationspunkt zwischen Netzwerkinfrastruktur und Unternehmensidentität bleibt, auch wenn neuere Protokolle wie SAML und RADIUS andere Aspekte der Authentifizierung abdecken.

Was ist LDAP?

LDAP organisiert Verzeichnisdaten in Form eines Baums aus Einträgen, der als „Directory Information Tree“ (DIT) bezeichnet wird. Jeder Eintrag wird durch einen „Distinguished Name“ (DN) adressiert – einen Pfad, der sich aus Komponenten wie dem „Common Name“ (CN), der „Organizational Unit“ (OU) und der „Domain Component“ (DC) zusammensetzt – und enthält Attribute, die durch eine Objektklasse definiert sind, wie beispielsweise die E-Mail-Adresse eines Benutzers oder die Mitgliederliste einer Gruppe.

Ein Client kommuniziert mit dem Verzeichnis über eine kleine Anzahl von Operationen. Binden authentifiziert den Client anhand des DN und des Passworts eines Dienstkontos (des Bind-DN und des Bind-Passworts); erst nach einem erfolgreichen Bind kann der Client weitere Vorgänge ausführen. Suche ruft Einträge ab, die einem Filter entsprechen, dessen Geltungsbereich unterhalb eines als „Base DN“ bezeichneten Startpunkts liegt – zum Beispiel jeden Benutzer, dessen memberOf Das Attribut listet eine bestimmte Gruppe auf. LDAP läuft in der Regel über den TCP-Port 389 oder, wenn von Anfang an TLS verwendet wird, über Port 636.

Arten von LDAP

Es gibt drei Bind-Typen, die einen LDAP-Client mit unterschiedlicher Sicherheitsstärke authentifizieren. Beim anonymen Bind werden keine Anmeldedaten gesendet; dieser Modus ist in Produktionsverzeichnissen deaktiviert. Beim einfachen Bind – dem von den meisten Netzwerkgeräten verwendeten Modus – werden ein DN und ein Passwort im Klartext gesendet, weshalb dieser Modus über eine verschlüsselte Sitzung laufen muss. Beim SASL-Bind wird die Authentifizierung an einen Mechanismus wie Kerberos delegiert, wodurch die Identität nachgewiesen wird, ohne dass das Passwort überhaupt übertragen wird.

Die Transportsicherheit ist eine separate Option, die zusätzlich eingebunden wird. Bei einfachem LDAP wird alles, einschließlich der Anmeldedaten für den Simple-Bind, unverschlüsselt übertragen. LDAPS verschlüsselt die gesamte Sitzung vom ersten Paket an mit SSL/TLS über einen dedizierten Port. StartTLS beginnt als einfache Verbindung über den Standard-LDAP-Port und stellt während der Sitzung auf TLS um, wodurch ein zweiter Listening-Port vermieden wird. Nahezu jedes Verzeichnis in diesem Bereich ist Microsoft Active Directory, obwohl standardkonforme Alternativen wie OpenLDAP und 389 Directory Server dasselbe Protokoll implementieren und an dessen Stelle als LDAP-Ziel dienen können.

Auch LDAP hat sich im Laufe der Zeit durch verschiedene Protokollversionen weiterentwickelt. LDAPv2, das Anfang der 1990er Jahre definiert wurde, ist veraltet und wird von modernen Verzeichnissen nicht mehr unterstützt. LDAPv3, das in den RFCs 4510–4519 standardisiert ist, ist die aktuelle Version – sie umfasst SASL-Binds, Weiterleitungen und erweiterte Operationen – und ist heute das Ziel jeder Produktionsintegration, einschließlich der von Versa.

LDAP & Versa

Versa Die Geräte authentifizieren Benutzer gegenüber Active Directory über ein LDAP-Serverprofil, das den Domänennamen, den Basis-DN, den Bind-DN sowie das Passwort, die Zeitlimits für Bind und Suche und den SSL-Modus (LDAPS oder Start TLS mit einem CA-Zertifikat) definiert. Wenn der Director-Knoten den LDAP-Server nicht direkt erreichen kann, kann ein VOS-Gerät als Appliance-Proxy konfiguriert werden, um die Benutzer- und Gruppenliste in seinem Auftrag abzurufen.

Ein separates Benutzer-/Gruppen-Zuordnungsprofil teilt dem Gerät mit, wie das Schema dieses Verzeichnisses zu interpretieren ist – seine Gruppen- und Benutzerobjektklassen, das Attribut für die Gruppenzugehörigkeit, das Format des Benutzernamens und ein Aktualisierungsintervall (standardmäßig 60 Sekunden) – und Director speichert die resultierende Liste im Cache und aktualisiert sie etwa alle 60 Minuten, sodass bei der Abfrage von Richtlinien der LDAP-Server nicht direkt angesprochen wird. Der NGFW-spezifische Konfigurationsablauf spiegelt dies für Firewall-Richtlinien wider, während Einstellungen auf Organisationsebene es Administratoren ermöglichen, den LDAP-Zugriff mit benutzerdefinierten Filtern einzugrenzen und so zu beschränken, welche Active-Directory-Benutzer oder -Gruppen auf einen „ SASE “-Client, ein Multitenant-Gateway oder ein Fernzugriffs-VPN zugreifen können. Ein LDAP-Profil ist eine von mehreren Methoden – neben SAML, Kerberos, RADIUS, Zertifikaten und lokalen Datenbanken –, auf die ein Authentifizierungsprofil für benutzer- und gruppenbasierte NGFW-, SD-WAN-, CoS- und UTM-Richtlinien verweisen kann.

Häufig gestellte Fragen

Was ist der Unterschied zwischen LDAP und Active Directory?

LDAP ist das offene Protokoll, das zur Abfrage und Authentifizierung in einem Verzeichnis verwendet wird; Active Directory ist der Verzeichnisdienst von Microsoft, eines von mehreren Produkten, die Daten über LDAP bereitstellen. Geräte „authentifizieren sich über LDAP“ bei einem Active-Directory-Server – das Protokoll und das Produkt sind dabei unterschiedliche Ebenen.

Welchen Port verwendet LDAP?

Sowohl „Plain LDAP“ als auch „StartTLS“ verwenden standardmäßig den TCP-Port 389; „StartTLS“ wandelt diese Klartextverbindung im Verlauf der Sitzung, nach dem anfänglichen Handshake, in eine verschlüsselte Verbindung um. „LDAPS“, das die gesamte Sitzung vom ersten Paket an mit SSL/TLS umhüllt, anstatt die Verbindung erst während der Sitzung zu verschlüsseln, verwendet einen separaten, dedizierten Port, nämlich 636.

Was ist ein Distinguished Name in LDAP?

Ein Distinguished Name (DN) ist der eindeutige Pfad zu einem Eintrag im Verzeichnisbaum, der sich aus Komponenten wie dem Common Name, der Organisationseinheit und der Domänenkomponente zusammensetzt, die von innen nach außen bis zur Wurzel gelesen werden – zum Beispiel: cn=jsmith,ou=Users,dc=versa,dc=com bezeichnet einen bestimmten Benutzereintrag innerhalb eines „Users“-Containers.

Inwiefern unterscheidet sich LDAP von RADIUS?

LDAP ist ein Verzeichnisabfrageprotokoll, das zum Lesen und Durchsuchen strukturierter Benutzer- und Gruppendaten entwickelt wurde. RADIUS ist ein Authentifizierungs-, Autorisierungs- und Abrechnungsprotokoll, das dazu dient, den Netzwerkzugang zu gewähren oder zu verweigern und die Entscheidung zu protokollieren. In vielen Implementierungen werden beide Protokolle verwendet: RADIUS für Zugriffsentscheidungen, gestützt durch eine LDAP-Verzeichnisabfrage.

Ist der LDAP-Datenverkehr verschlüsselt?

Nicht standardmäßig. Bei einem einfachen LDAP-Verbindungsaufbau über Port 389 werden die Anmeldedaten für den „Simple-Bind“ sowie die Suchergebnisse unverschlüsselt übertragen und sind somit für jeden lesbar, der sich auf dem Netzwerkpfad befindet. In Produktionsumgebungen sollten stattdessen LDAPS oder StartTLS aktiviert werden, da beide Protokolle die Sitzung mit SSL/TLS verschlüsseln, sodass Anmeldedaten und Verzeichnisdaten während der Übertragung geschützt bleiben.

Mehr zum Thema LDAP

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit LDAP beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.