fgt2-fssov通过域认证用户可利用现有事件来进行防火墙无需

FortiGate©CopyrightFortinetInc.AllrightsFortinetSingleSignOn 如WindowsActiveDirectoryAD)Novell2 AD有两种方式 Controller(DC)agentPollingmodeAgent-based或无 »eDirectoryAgentRADIUS(也被称为»RADIUS使用记账消息来通 用户登录登出信3DCAgent Controller(DC) 用户登录»接收DCAgents发来的登录事件日志并转发给44

登录登录信息用户用户在DC上认withDC

CollectorDCDCagent转发日志到Collector5Agent-basedPolling装agent–thecollectoragent直接抓取DC的日志Collectoragent每隔几秒抓取每台DCport445 6Agent-basedPollingMode4

用户用户在DC上认DC上用户登录的日7Agent-basedPollingModeNetAPIWindowsnetsessionenum»可能会因为DC的高负荷而会丢失一部分登录事运行SecurityEventLog(WinSecLog)»抓取DC安全»不会丢失登录»运行较慢–如果网络很庞大或延迟很高，则登录事件可能会延迟8AgentlessPollingFortiGate直接获取数会消 9AgentlessPollingMode3 FortiGate频FortiGate频繁抓取DC用户在DC上认FSSOADCollectoragent使用DNS服务器来解析每个IP»DNS能解析所有workstation的主机Collectoragent/FortiGatepoll»通知FSSO用户是否还保持登录在collector/FortiGate和所有workstations之间TCPports139和445必»在每个workstation上必须运 服DCagentPolling安复杂–多次安装(每DC一次).需要重启简单—一次或无需装.无需重启是否需要DC资有自己的资扩展高低冗可靠可确保获取所有的登如果polling间隔时间信长，可能会丢失部分录信NTLM在Windows网络中FSSO也可使用NTLM»当从一个不活跃的FSSO用户收 浏览器初始化NTLM»对客户不»用户浏览器必须»用户登录DCs没有被collector监测»Collector和DC的通信被阻FortiGate确FortiGate确和/username1根据用户组根据用户组来允35 CollectorNTLM认证Internet只有InternetExplorer可以配置SSOGuestUser 如 »用户输入用户ActiveDirectoryAccessStandardAccess»用户名符合windows域格式 AdvancedAccess»用户 »保护的profile可以针对用户组或单独的»支持嵌套和继必须配置FortiGate的LDAPCollectorAgentDCagent的 默认端口是udp

FortiGate端口，默认是在FortiGate和collectoragentADAccessModeAgentlesspolling»FortiGate使用LDAP从ActiveDirectory获取用户组信Agent-basedpollingDCagentTroubleshooting连接到#diagnosedebugauthdfssoserver-Server Connection

»FSSO标准模#diagnosedebugauthdfssoIP:192.168.1.1User:ANNAH2TRAININGAD/USERSWorkstation:WIN-INTERNALIP:10.0.1.10User:STUDENTTRAININGAD/USERSWorkstation:WIN-INTERNALTotalnumberoflogonslisted:2,f