🔒 OpenVPN Auth - Integração Active Directory

O OpenVPN Auth é o Addon responsável por autenticar as conexões do servidor OpenVPN do OpenFW UTM Community diretamente em uma base de usuários do Active Directory (AD).

📝 Visão Geral

Por padrão, o OpenFW UTM Community realiza a autenticação de forma local. Para centralizar a gestão de identidades e permitir que os colaboradores utilizem as mesmas credenciais corporativas do Windows para estabelecer conexões seguras de VPN, este Addon realiza o vínculo estrutural via protocolo LDAP.

O gerenciamento deste recurso pode ser feito de forma simples através da Interface Web, ou em modo avançado via Linha de Comando (CLI).

📥 1. Instalação do Addon

🌐 Método Padrão: Via Interface Web

A maneira mais rápida e recomendada para instalar o módulo de autenticação é utilizando a loja de módulos integrada:

⏱️ Acesse o menu superior e navegue até System > Addons and Packages.
🔍 Localize o addon auth-openvpn-ldap na lista de módulos disponíveis. Se não estiver visível, clique em Update Repo.
🚀 Clique em instalar e aguarde o processo automatizado ser concluído pelo painel.

💻 Método Avançado: Via Linha de Comando (CLI / SSH)

Caso prefira realizar a auditoria da instalação em tempo real pelo terminal, conecte-se via SSH com o usuário root e execute:

📥 Atualiza a lista de pacotes do repositório
```
smart update
```
💻 Método Avançado: Via Linha de Comando (CLI / SSH)
```
smart install auth-openvpn-ldap -y
```

Confirmação

Após o término da instalação por qualquer um dos métodos, um novo menu de gerenciamento será liberado em: VPN > Autenticação (LDAP/AD).

⚙️ 2. Preparação no Active Directory (AD)

Para que a integração opere em conformidade com as boas práticas de segurança, realize o provisionamento dos seguintes objetos dentro do seu Windows Server:

📁 Criar uma OU: Crie uma Unidade Organizacional dedicada (Exemplo: OpenVPN) para centralizar os objetos do serviço.
👤 Criar Usuário de Bind: Crie um usuário comum dentro desta OU (Exemplo: openvpn_auth).
⚠️ Aviso de Segurança: Este usuário não deve possuir privilégios administrativos de domínio (Domain Admins). Ele necessita apenas de permissão padrão de leitura para consultas na árvore LDAP.
👥 Criar Grupo de Acesso: Crie um grupo de segurança do tipo Global/Segurança (Exemplo: OpenVPN_Users). Apenas as contas de usuários associadas a este grupo terão permissão concedida para fechar o túnel VPN.

🖥️ 3. Configuração na Interface Web (GUI)

Acesse o menu VPN > Autenticação (LDAP/AD), mude o status para Ativado e preencha os parâmetros de conexão de acordo com a tabela estrutural abaixo:

Campo	Exemplo de Preenchimento / Descrição
Endereço IP	`192.168.5.200` (IP do seu Controlador de Domínio / Active Directory)
BindDN	`cn=openvpn_auth,ou=OpenVPN,dc=dominio,dc=local` (Caminho completo do usuário de consulta)
Senha	`senha_do_usuario_acima` (Senha definida para a conta de consulta LDAP)
BaseDN	`dc=dominio,dc=local` (Raiz de busca onde se encontram as contas de usuários)
Grupos de Acesso	`OpenVPN_Users` (Nome exato do grupo que contém os usuários permitidos)

🔍 4. Diagnóstico e Homologação

Após salvar e aplicar as diretivas, você pode monitorar e validar o comportamento das requisições de autenticação em tempo real através do terminal SSH.

Monitorando os Logs de Conexão

Para acompanhar o fluxo de conexões externas e validar se a integração está comunicando com o AD de forma transparente, execute:

tail -f /var/log/openvpn/openvpn.log

Análise de Resultados:

✅ Sucesso: A exibição de flags como Auth Success ou Peer Refreshed para o login consultado indica que as credenciais foram mapeadas e aceitas pelo Active Directory.
❌ Falha de Comunicação: Caso receba alertas de LDAP Bind Error ou timeouts, certifique-se de que não existem firewalls intermediários ou regras de tráfego bloqueando as portas de catálogo global/LDAP (389 ou 636) entre o OpenFW e o servidor Windows.