Убедитесь в сетевой доступности контроллера домена для устройства с Сервером администрирования KSCL:

1. Узнайте IP-адреса контроллера домена с помощью команд:
   nslookup <домен Active Directory>
   nslookup <зона домена Active Directory>
2. Убедитесь, что контроллер домена доступен по каждому из IP-адресов с устройства с Сервером администрирования:
   • Если в домене применяется протокол LDAP, используйте утилиту nc:
     nc -zv <IP-адрес> 389

     Если проверка прошла успешно, вы увидите сообщение:

     Connection to 192.168.0.1 389 port [tcp/ldap] succeeded!
   • Если в домене применяется протокол LDAPS, используйте утилиту openssl:
     openssl s_client -connect <IP-адрес>:636

     Если проверка прошла успешно, вы увидите версию и метод шифрования в блоке SSL-Session, например:

     SSL-Session:
         Protocol  : TLSv1.2
         Cipher    : ECDHE-RSA-AES256-GCM-SHA384
     

     Если проверка не пройдена, вы увидите ошибку:

     • errno=111 может означать, что контроллер домена недоступен;
     • errno=104 может означать, что контроллер домена не поддерживает соединение по LDAPS по TCP-порту 636.

Настройте флаги Агента администрирования с помощью утилиты klscflag для того способа подключения, который подходит для вашей инфраструктуры.

Способ 1. Подключение с шифрованием по LDAPS по TCP-порту 636 со строгой проверкой сертификата

Это способ рекомендуется Руководством по усилению защиты.

1. Настройте сначала подключение с шифрованием без проверки сертификата, и убедитесь, что аутентификация проходит успешно:
   1. Установите значение 2 для флага KLNAG_LDAP_CONN_HRDN_SCAN, чтобы запретить использование методов LDAP Simple и SASL при сканировании домена:

      /opt/kaspersky/ksc64/sbin/klscflag -fset -pv klnagent -n KLNAG_LDAP_CONN_HRDN_SCAN -t d -v 2
      

   2. Установите значение 2 для флага KLNAG_LDAP_CONN_HRDN_AUTH, чтобы запретить использование методов LDAP Simple и SASL при доменной аутентификации:

      /opt/kaspersky/ksc64/sbin/klscflag -fset -pv klnagent -n KLNAG_LDAP_CONN_HRDN_AUTH -t d -v 2
      

   3. Установите значение 0 для флага KLNAG_LDAP_TLS_REQCERT, чтобы запрашивать, но не проверять сертификат LDAP-сервера при сканировании домена:

      /opt/kaspersky/ksc64/sbin/klscflag -fset -pv klnagent -n KLNAG_LDAP_TLS_REQCERT -t d -v 0
      

   4. Установите значение 0 для флага KLNAG_LDAP_TLS_REQCERT_AUTH, чтобы запрашивать, но не проверять сертификат LDAP-сервера при доменной аутентификации:

      /opt/kaspersky/ksc64/sbin/klscflag -fset -pv klnagent -n KLNAG_LDAP_TLS_REQCERT_AUTH -t d -v 0
      

2. Получите корневой сертификат в формате PEM у администратора домена или получите его с помощью команд:
   1. Найдите сертификат:

      openssl s_client -connect <имя LDAP-сервера>:636 -showcerts | openssl x509 -text | grep Issuers
      

   2. Скачайте сертификат:

      curl http://<имя файла корневого сертификата>.crt --output /tmp/ldap_ca.crt
      

   3. Убедитесь, что это корневой сертификат:

      openssl x509 -in /tmp/ldap_ca.crt -text
      

      У корневого сертификата параметр Issuers будет пустым.

      Если параметр Issuers не пустой, выполните следующие команды, а затем проверьте новый сертификат:

      openssl x509 -in /tmp/ldap_ca.crt -text | grep Issuers
      curl http://<имя файла корневого сертификата>.crt --output /tmp/ldap_ca.crt
      

   4. Конвертируйте сертификат в формат PEM, сохраняя расширение .crt:

      openssl x509 -in /tmp/ldap_ca.crt -out /var/opt/kaspersky/ldap_ca_pem.crt -outform PEM
      

3. Добавьте сертификат в системное хранилище корневых сертификатов по инструкции от производителя ОС или укажите путь до сертификата с помощью флага KLNAG_LDAP_SSL_CACERT:

   /opt/kaspersky/ksc64/sbin/klscflag -fset -pv klnagent -n KLNAG_LDAP_SSL_CACERT -t s -v "/var/opt/kaspersky/ldap_ca_pem.crt"
   

4. Настройте проверку сертификата:
   1. Установите значение 1 для флага KLNAG_LDAP_TLS_REQCERT, чтобы запрашивать и проверять сертификат LDAP-сервера при сканировании домена:

      /opt/kaspersky/ksc64/sbin/klscflag -fset -pv klnagent -n KLNAG_LDAP_TLS_REQCERT -t d -v 1
      

   2. Установите значение 1 для флага KLNAG_LDAP_TLS_REQCERT_AUTH, чтобы запрашивать и проверять сертификат LDAP-сервера при доменной аутентификации:

      /opt/kaspersky/ksc64/sbin/klscflag -fset -pv klnagent -n KLNAG_LDAP_TLS_REQCERT_AUTH -t d -v 1
      

Способ 2. Подключение с шифрованием по LDAPS по TCP-порту 636 без проверки сертификата

Вы можете использовать этот способ, если в вашей инфраструктуре нет требований проверки сертификата.

Настройте подключение с шифрованием без проверки сертификата с помощью команд из шага 1 способа 1.

Способ 3. Подключение без шифрования по LDAP Simple или SASL по TCP-порту 389

Это наименее безопасный метод, который подходит только для случаев, когда контроллер домена не поддерживает LDAPS или поддерживает только устаревшие протоколы шифрования.

1. Установите значение 0 для флага KLNAG_LDAP_CONN_HRDN_SCAN, чтобы разрешить использование методов LDAP Simple и SASL при сканировании домена:

   /opt/kaspersky/ksc64/sbin/klscflag -fset -pv klnagent -n KLNAG_LDAP_CONN_HRDN_SCAN -t d -v 0
   

2. Установите значение 0 для флага KLNAG_LDAP_CONN_HRDN_AUTH, чтобы разрешить использование методов LDAP Simple и SASL при доменной аутентификации:

   /opt/kaspersky/ksc64/sbin/klscflag -fset -pv klnagent -n KLNAG_LDAP_CONN_HRDN_AUTH -t d -v 0
   

Если проблема сохраняется, создайте запрос в техническую поддержку «Лаборатории Касперского» через Kaspersky CompanyAccount. Приложите к запросу диагностическую информацию:

• Файлы трассировки Сервера администрирования:
  1. Включите запись трассировки по инструкции.
  2. Откройте Web Console, укажите имя пользователя в формате Username@dns.domain или NTDOMAIN\Имя пользователя и сделайте скриншот.
  3. Нажмите Войти и сделайте скриншот ошибки с временем воспроизведения.
  4. Выключите запись трассировки.
• Отчет, собранный на устройстве с Сервером администрирования с помощью скрипта collect.sh по инструкции.
• Вывод команд:

  nslookup <домен Active Directory>
  

  nslookup <зона домена Active Directory>
  

  openssl s_client -connect <IP-адрес>:636