Предварительная настройка

Требования к Active Directory

Минимальная версия контроллера Active Directory: Windows Server 2008 R2.
Использование протокола NTLM контроллером Active Directory, на котором выполняется авторизация пользователей, должна быть разрешена.
Допускается работа с использованием протокола NTLMv2, когда в параметрах политики безопасности сервера Active Directory "Сетевая безопасность: уровень проверки подлинности LAN Manager" установлено значение "Отправлять только NTLMv2-ответ. Отказывать LM и NTLM"

Требования к хосту, на котором разворачивается NAICE

DNS-сервер, который будет использоваться хостом с установленным NAICE, должен обеспечивать:

разрешение полного имени домена (например test.loc), в котором будет работать NAICE;
разрешение полного имени контроллеров AD (например srv1.test.loc), обслуживающих домен;
возвращать ответ на DNS-запрос типа SRV со списком контроллеров обслуживающих домен.

Как правило используется DNS-сервер, входящий в состав домена.

Все IP-адреса, которые могут возвращаться как адреса домена или контроллеров домена, должны быть доступны с хоста, на котором установлен NAICE.

Список портов для взаимодействия с Active Directory:

Протокол	Порт	Назначение	Примечания
UDP	53	DNS	Сервер, отвечающий за разрешение доменных имен.
TCP	389	LDAP	Для выполнения поиска данных о пользователях и группах в домене.
TCP	3268	LDAP	Можно использовать вместо порта 389, если нет леса деревьев.
TCP	49152-65535	RPC Dynamic Port Range	Для выполнения аутентификации пользователей по протоколу netlogon (MS-NRPC).

Требования к учетным данным Active Directory, которые будут использоваться NAICE для взаимодействия с доменом

Требуется создать учетную запись пользователя, который будет использоваться NIACE для взаимодействия с Active Directory. Данная учетная запись должна обеспечивать:

Возможность поиска в Active Directory.

Возможность получать информацию о всех атрибутах пользователей и группах домена.

В настройках пользователя необходимо отключить опцию "Требовать смену пароля при первом подключении" (включена по умолчанию).

Требуется создать учетную запись компьютера, которая будет использоваться для взаимодействия с Active Directory. Данная учетная запись должна иметь пароль. Задать пароль компьютера на сервере с MS Active Directory можно командой в оболочке PowerShell, входящей в состав Active Directory, запущенной с правами администратора:

Set-ADAccountPassword -Identity Computer-Name$ -Reset

и два раза ввести пароль в окне терминала. Если требуется указать пароль явно в команде:

Set-ADAccountPassword -Identity Computer-name$ -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "password" -Force)

Имя компьютера необходимо указывать без доменной части, с окончанием на "$".
Пароль должен отвечать требованиям сложности, настроенным в MS AD.

Настройка NAICE

Подробная информация о настройках для каждого раздела содержится во встроенной документации, которую можно просмотреть, нажав кнопку в нижней части навигационного меню.

Добавление сетевого устройства

Необходимо:

Настроить сетевое устройство для взаимодействие с NAICE по протоколу RADIUS в соответствии с инструкцией производителя.
Добавить сетевое устройство и его профиль в NAICE.

Открыть раздел Администрирование → Сетевые ресурсы → Устройства и нажать (слева в верхней части страницы). Откроется окно добавления сетевого устройства:

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_10-3-19.png

Нажать Добавить после заполнения настроек.

Создание источника идентификации

Открыть раздел Администрирование → Управление идентификацией → Внешние источники идентификации и нажать . Откроется окно добавления внешнего источника идентификаций:

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_10-17-26.png

Настройка структурно разделена на блоки.

Имя - произвольное наименование источника идентификаций.

Блок "Схема"

Схема - "ACTIVE_DIRECTORY".

Схема "ACTIVE_DIRECTORY" имеет предустановленную структуру, которая не может быть изменена.

Блок "Подключение"

Имя домена - короткое имя домена, в котором будет выполняться аутентификация. Без "." и конечной части. Поле доступно только при выборе схемы "ACTIVE_DIRECTORY".
Имя компьютера - имя компьютера для, без доменной части. Компьютер должен быть предварительно добавлен администратором в Active Directory. Поле доступно только при выборе схемы "ACTIVE_DIRECTORY".

Пароль компьютера - пароль, который был задан компьютеру администратором после добавления компьютера. Поле доступно только при выборе схемы "ACTIVE_DIRECTORY".

Пароль компьютера в Active Directory задается администратором после создания компьютера с использованием PowerShell. Подробнее "как задать пароль компьютера".

Admin dn - имя пользователя, который будет использоваться для обращения в Active Directory. Пользователь должен быть предварительно добавлен администратором в Active Directory. Имя пользователя можно задавать в форматах:
Admin password - пароль пользователя.
FQDN - полное имя домена, в котором будет выполняться аутентификация пользователей, например test.loc. Так же можно указать предпочтительный контроллер домена, который будет использоваться для обращений, например srv1.test.loc.
Port - порт подключения к контроллеру домена по протоколу LDAP. Как правило используется порт 389.

Блок "Структура каталога"

Subject search base - строка поиска атрибутов пользователей в Active Directory по протоколу LDAP, например dc=test,dc=loc.
Group search base - строка поиска групп в Active Directory по протоколу LDAP, например dc=test,dc=loc.

При необходимости ограничить поиск определенными подразделениями можно указать их в строке поиска, например: ou=naice,dc=example,dc=org . Если подразделения является вложенным для другого подразделения необходимо перечислить их все до корня домена, начиная с требуемого подразделения, например: ou=test,ou=naice,dc=example,dc=org .

После заполнения настроек необходимо нажать кнопку "Проверить связь с сервером". Если настройки корректны, появится сообщение:

Нажать кнопку Добавить.

Добавить источник идентификаций можно независимо от успешности проверки связи с сервером.

Более подробно о настраиваемых параметрах можно узнать во встроенной документации .

Добавление групп

Добавление групп не является обязательным и требуется только если планируется использовать их в условиях политик авторизации.

После добавления источника идентификаций кнопка Добавить смениться на кнопку Далее. Можно нажать её, чтобы перейти в раздел Группы или нажать наверху страницы на Группы и добавить группы, которые предполагается использовать в политиках авторизации:

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_14-59-12.png

Нажать кнопку Получить данные и выбрать группы, которые требуется добавить. В данном примере добавлена группа Гости домена.

При необходимости найти определенную группу необходимо в поле Фильтр ввести имя группы. При необходимости можно добавить "*" в начале или конце названия группы, что позволит выполнить поиск по частичному совпадению.

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > Скриншот сделанный 2025-11-11 в 12.57.59.png

После выбора необходимых групп нажать кнопку Сохранить.

Добавление атрибутов пользователей

Добавление атрибутов пользователей не является обязательным и требуется только если планируется использовать их в профилях авторизации или в условиях политик авторизации.

Атрибуты пользователей можно использовать для выдачи значении определенных параметров получая их значения из Active Directory. Далее рассматривается добавление атрибута Active Directory physicalDeliveryOfficeName который содержит значение, которое будут использоваться в качестве cVLAN. Следует иметь ввиду, что можно использовать любые атрибуты, которые содержат требуемые значения, но сам атрибут должен быть один и тот же для всех пользователей.

Перейти в раздел Атрибуты и добавить атрибут, значение которого будет использоваться для выдачи cVLAN. Следует иметь ввиду, что атрибуты, которые не имеют значений, при поиске в Active Dirtectory не возвращаются. При получении списка доступных атрибутов требуется обязательно задать фильтр с указанием имени пользователя, атрибуты которого точно содержат требуемые значения. Рекомендуется использовать фильтры: userPrincipalName=<UPN имя пользователя> или sAMAccountName=<логин пользователя>. Для пользователя в приведенном ниже примере в атрибуте Active Directory Комната (physicalDeliveryOfficeName) задано значение 1000, которое будет использоваться в качестве cVLAN:

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_10-50-52.png

После выбора необходимых атрибутов нажать кнопку Сохранить.

Нажав справа от добавленного атрибута кнопку , можно изменить поле Имя на другое более понятное, так как именно оно будет отображаться при работе с LDAP-словарем. В поле Значение по умолчанию указать номер VLAN, который будет использоваться для выдачи в случае, если он не задан в атрибутах пользователя в Active Directory. Значение полей Тип и Внутреннее наименование не меняются:

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_10-55-2.png

После этого сохранить новое значение, нажав кнопку справа от атрибута строки с параметрами атрибута.

Создание цепочки идентификаций с использованием ранее созданного источника идентификации

Открыть раздел Администрирование → Управление идентификацией → Цепочки идентификации и нажать кнопку :

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_10-43-55.png

После создания цепочки идентификации с использованием ранее созданного источника нажать кнопку Добавить.

Создание профиля авторизации с использованием ранее созданного атрибута

Открыть раздел Политики → Элементы → Профили авторизации и нажать кнопку . Откроется окно создания профиля авторизации:

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_11-0-44.png Необходимо ввести:

Имя - название профиля
Профиль устройства - крайне важно выбрать профиль сетевого устройства тот же, что используется в настройках сетевого устройства, с которого будет выполняться авторизация клиента.

В блоке "Общие задачи" необходимо включить галочку настройки VLAN, после этого нажать на кнопку выбора атрибута справа . В раскрывшемся окне выбрать ранее созданный атрибут cVLAN:

Если выбор VLAN не активен, значит либо не выбран профиль сетевого устройства, либо в выбранном профиле сетевого устройства в блоке "Разрешения" не включена настройка Настроить VLAN.

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_11-5-15.png

И сохранить профиль авторизации, нажав кнопку Добавить:

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_11-10-48.png

Настройка политик

В разделе Политики доступа → Наборы политик из коробки настроено два набора политик: Test policy set, служащий для демонстрации как могут быть настроены наборы политик, и Default, определяющий поведение в случае если входящий RADIUS-запрос не подходит ни под одно условие вышестоящих наборов политик. Таким образом набор политик Test policy set может быть удален или отредактирован.

Необходимо изменить Условие набора политик на подходящее (например, по равенству RADIUS-атрибута NAS-IP-address в запросе адресу ранее добавленного сетевого устройства), а затем перейти в детальное редактирование набора политик, нажав справа от него:

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_11-25-19.png

Если в наборах политик не выполнялись настройки, то все RADIUS-запросы будут обрабатываться в политике по умолчанию Default, которая всегда будет последней и не может быть удалена. Данный набор политик предполагает отказ в авторизации, но данное поведение также можно изменить.

Провалившись в набор политик, в блоке "Политика аутентификации" изменить настройку Цепочки идентификации для правила по умолчанию Default на ранее созданную цепочку Active Directory 1:

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_11-32-9.png

Далее, в блоке "Политика авторизации" нажать кнопку в шапке таблицы и в появившейся новом правиле политики авторизации в колонке Условия нажать кнопку . После этого:

В модальном окне "Редактор условий" нажать в поле Атрибут.
В открывшемся окне "Выбор атрибута для условия" нажать на для отображения только атрибутов словарей типа LDAP,
Выбрать атрибут ExternalGroups из словаря AD. Окно закроется, в поле Атрибут будет выбрано "AD·ExternalGroups".
Выбрать Оператор "Равно".
Нажать на поле Атрибут/значение и выбрать ранее импортированную из Active Directory группу.
Нажать кнопку Использовать внизу справа редактора условий.

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_15-0-50.png

В настройке Профили авторизации выбрать ранее созданный профиль:

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > Скриншот сделанный 2025-11-11 в 15.01.33.png

После этого станет активна кнопка Сохранить. Нажать на неё и сохранить настройки политики.

На этом минимальная настройка, необходимая для авторизации клиентов с использованием источника идентификации Active Directory, выполнена. Для успешной авторизации клиенту потребуется находиться в указанной группе Active Directory.

Проверка подключения

Подробнее настройка клиентского конечного устройства для подключения описана в v1.0_8. Настройка подключения клиента.

Выполнение аутентификации пользователя в Active Directory возможна только по протоколам MSCHAPv2, EAP-PEAP-MSCHAPv2 и EAP-TLS. Аутентификация с использованием других протоколов, в том числе EAP-PEAP-GTC, не поддерживается!

Машинная аутентификация поддержана только по протоколу EAP-TLS, см. v1.0_4.7.1 Настройка "машинной" авторизации EAP-TLS (по сертификату компьютера) при интеграции с Active Directory.

Подключить клиентское устройство и после авторизации перейти в раздел Мониторинг → RADIUS → Пользовательские сессии:

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_14-28-37.png

Для подробного просмотра информации о сессии необходимо в колонке "Подробнее" нажать кнопку :

Eltex Documentation > v1.0_4.1 Настройка интеграции с Active Directory > image-2025-11-11_15-3-59.png