1. Introdução

A integração do Active Directory com o Filtro de Conteúdo via Kerberos permite a autenticação transparente (SSO) dos utilizadores na rede corporativa. Com esta configuração, o Netdeep Secure identifica automaticamente o utilizador ligado ao domínio Windows e aplica as suas respetivas políticas de acesso à internet, sem que seja necessário digitar credenciais no navegador.

2. Preparando o Netdeep Secure

O DNS primário do firewall precisa ser o IP do servidor do Active Directory. Para isso, conecte no firewall via interface Web, logo em seguida, acesse Rede – Conexões, e edite a conexão da internet, no nosso exemplo abaixo é a conexão wan1.

Agora selecione a aba Servidores de DNS, no campo Servidor de DNS, digite o IP de seu servidor Active Directory, no exemplo abaixo é o 192.168.100.10  e clique em Adicionar .

Pronto, o servidor Active Directory foi adicionado como servidor de DNS no Netdeep Secure, clique em Salvar.

Para que as alterações realizadas na interface wan1 entrem em vigor, é necessário reiniciar a conexão desabilitando e habilitando-a novamente.

Atenção: Risco de Perda de Acesso ao Firewall

Se você estiver acessando a interface Web do firewall remotamente através da interface WAN (wan1), ao desabilitá-la, a conexão será encerrada imediatamente e você perderá o acesso ao firewall, ficando impossibilitado de reabilitá-la remotamente.

Recomendação: Certifique-se de realizar esta etapa conectado localmente através da rede interna (LAN / lan1)

3. Preparando o Active Directory

Utilizando o snap-in “Usuários e computadores do Active Directory”, crie um usuário comum (por exemplo: na chave <domínio> > Users, crie o usuário netdeep) para conexão com o Active Directory. Ele não precisa estar em nenhum grupo especial.

Em “Gerenciador DNS”, navegue até Zonas de pesquisa direta e clique com o botão direito em cima do seu domínio (no meu exemplo empresa.local) e escolha a opção Novo Host(A ou AAAA)…

Em “Host”, digite firewall e em “Endereço IP”, digite o endereço IP da interface LAN do firewall, em seguida clique em OK.

Agora é necessário que você gere o arquivo Keytab que iremos utilizar na configuração do Netdeep Secure.

O arquivo Keytab deve ser criado com o seguinte comando no prompt do AD:

ktpass -princ HTTP/<fqdn do firewall>@<DOMINIO> -mapuser <DOMINIO\usuario> -crypto all -mapop set -pass <Senha do usuario de bind> -ptype KRB5_NT_PRINCIPAL -out HTTP.keytab

Parâmetros do comando:

 

• FQDN do firewall: é o DNS que configuramos para o firewall + o domínio (firewall.empresa.local)
• DOMÍNIO: é o seu domínio em letras MAIÚSCULAS (EMPRESA)
• usuário: é o usuário criado anteriormente (netdeep)
• Senha do usuário de bind: é a senha do usuário (netdeep) que foi criada (no exemplo: Net2015#)

Feita a alteração, o comando ficaria da seguinte maneira:

ktpass -princ HTTP/firewall.empresa.local@EMPRESA -mapuser EMPRESA\netdeep -crypto all -mapop set -pass Net2015# -ptype KRB5_NT_PRINCIPAL -out HTTP.keytab

 

 

 

O arquivo HTTP.keytab será criado no diretório onde o comando foi executado. No exemplo acima, o arquivo foi criado em C:\Users\Administrador.SRVTESTE\.

4. Configurando o Netdeep Secure

Abra a interface gráfica do firewall utilizando um navegador de internet. Em seguida, no menu esquerdo, clique em Segurança e no menu que é exibido escolha a opção Filtro de Conteúdo, logo após clique para editar a instância que irá configurar o método de autenticação, no exemplo abaixo possui somente a instância criada da conexão lan1.

Após o carregamento da página, desça a barra de rolagem até o final da página. Em “Método de autenticação”, selecione a opção KERBEROS e irá carregar a tela exibindo a configuração do Kerberos.

Para visualizar as configurações, desça novamente a barra de rolagem até o final da página e preencha os campos mencionados abaixo para realizar as configurações de autenticação:

• Domínio do Active Directory: você deve colocar o seu domínio (Exemplo: empresa.local)
• FQDN do servidor de AD: é o nome do servidor do AD + domínio (Exemplo: srvteste.empresa.local)
• FQDN do firewall do domínio: é o nome do DNS configurado anteriormente no AD para o firewall + domínio (Exemplo: firewall.empresa.local)
• Usuário para bind do AD (usuário@dominio): é o nome de usuário criado anteriormente + domínio (Exemplo: netdeep@empresa.local)
• Senha: é a senha criada para o usuário.
• Arquivo Keytab: é o arquivo que foi gerado através do comando executado no prompt do AD.

Após o preenchimento de todos os campos e importado o arquivo Keytab, clique em Salvar.

IMPORTANTE: Nas configurações de Proxy de cada estação que irá ser autenticada de forma transparente, o endereço do servidor Proxy deverá ser o DNS que foi criado + domínio, e a porta é a que está configurada no firewall. No nosso exemplo, o endereço seria: firewall.empresa.local

5. Configuração Adicional: Aplicando Regras no Filtro de Conteúdo por Grupos do Active Directory (Opcional)

Nota: Esta etapa é opcional. Caso você deseje aplicar a mesma política de navegação para todos os usuários da empresa, a configuração dos passos anteriores já é suficiente. Siga este passo apenas se precisar aplicar regras de filtro diferenciadas (bloqueios e liberações específicas) para diferentes grupos ou departamentos do Active Directory.

5.1. Definindo o Escopo de Busca no Active Directory (DN dos Usuários e Grupos)

Para deixar a consulta do firewall mais rápida e organizada ao utilizar grupos, você pode indicar em quais Unidades Organizacionais (OUs) do Active Directory estão salvos os usuários e os grupos. Na tela de configuração da autenticação KERBEROS, preencha os campos: 

• • DN dos usuários: Caminho da OU onde estão armazenadas as contas de usuários (Exemplo: OU=Usuarios,OU=EMPRESA,DC=empresa,DC=local).
  • DN dos grupos: Caminho da OU onde estão salvos os grupos de acesso (Exemplo: OU=Grupos,OU=EMPRESA,DC=empresa,DC=local).

5.1.1: Obter o Distinguished Name (DN) do Grupo no AD

1. 1. 1. No Active Directory (AD), abra o Usuários e Computadores do Active Directory.
      2. No menu superior, clique em Exibir e marque a opção Recursos Avançados.
      3. Localize e abra o grupo do AD que deseja utilizar (exemplo: Grupo1 ou  Grupo2).
      4. Acesse a aba Editor de Atributos, selecione o atributo distinguishedName e clique em Exibir.
      5. Copie o valor completo do DN (Exemplo: OU=Grupos,OU=EMPRESA,DC=empresa,DC=local).

Nota: Se estes dois campos ficarem em branco, o Netdeep Secure fará a busca em todo o domínio. Preenchê-los é recomendado em redes maiores para otimizar a velocidade de resposta.

5.2. Como Associar o Grupo do AD ao Grupo de acesso do Filtro de Conteúdo

Para vincular o grupo do domínio à regra de filtro:

1. 1. Acesse Segurança > Filtro de Conteúdo e edite a instância desejada, logo após, clique na aba GRUPOS e clique para editar o grupo desejado ou em  ADICIONAR para criar um novo grupo de acesso.

2. Ao clicar para editar um grupo existente ou adicionar um novo grupo no Filtro de Conteúdo, na aba ACL, clique no campo GRUPO para visualizar os grupos do Active Directory carregados de acordo com o DN configurado na integração Kerberos  (exemplo: Grupo1 ou Grupo2) e clique em ADICIONAR.

3. Ao clicar em ADICIONAR, clique em SALVAR para aplicar a configuração realizada.

5.3. Regras Importantes dos Grupos do AD ao Filtro de Conteúdo

Para evitar conflitos de acesso entre usuários e perfis, fique atento a estas regras de funcionamento:

• • Vários Grupos por Regra: Você pode colocar mais de um grupo do Active Directory dentro de um mesmo perfil do Filtro de Conteúdo.
  • Processamento por Usuário: O filtro analisa as permissões focando no usuário. Portanto, cada usuário do AD só será associado a um único grupo dentro do Filtro de Conteúdo.
  • Ordem de Prioridade: Se um mesmo usuário pertencer a vários grupos no Active Directory, o firewall aplicará as regras do primeiro grupo que encontrar durante a validação.

Segue abaixo a árvore do AD de acordo com a configuração do exemplo que foi informado:

6. Conclusão

A configuração da autenticação transparente via Kerberos no Netdeep Secure representa uma solução eficiente para a gestão de acessos à internet no ambiente corporativo. Ao integrar o firewall diretamente ao Active Directory, elimina-se a necessidade de digitação repetitiva de credenciais pelos usuários (Single Sign-On / SSO), garantindo uma experiência de navegação fluida e sem interrupções.

Além de simplificar a rotina das equipes de trabalho, essa arquitetura oferece controle total à equipe de TI. A possibilidade de otimizar o escopo de busca via Unidades Organizacionais (OUs) e aplicar políticas de filtro personalizadas por grupos do AD permite estruturar regras alinhadas à hierarquia da empresa com facilidade e segurança.