GlobalProtect Kennwortablaufmeldung wird nicht auf dem Clientgerät angezeigt

18126

Created On 07/13/20 21:52 PM - Last Modified 04/19/21 16:51 PM

Symptom

Benutzer, die die GP Kennwortablaufnachricht auf den Clientgeräten nicht empfangen
Beispiel für die erwartete Password Expiry-Meldung unten:

Environment

PAN Firewall (beeinen Fall)
PAN-OS 8.1.13
GP Client versucht, eine Verbindung mit Gateway herzustellen GP
Globaler AD Katalogserver im LDAP Serverprofil zur Authentifizierung bei Global Protect

NOTE:
Konfigurieren Sie das LDAP Serverprofil mit einem Global AD Catalog-Serverport 3268 (oder 3269 für SSL ).
Anweisungen finden Sie unter folgendem Link: So konfigurieren Sie das LDAP Serverprofil

Cause

Beim Konfigurieren der Clientauthentifizierung für das Authentifizierungsprofil während der Global Protect-Konfiguration werden die folgenden Attribute (standardmäßig) nicht für die Replikation in den globalen Katalog markiert:

MaxPwdAge
pwdLastSet

Wenn Sie die datei authd.log überprüfen, können wir unten in der hervorgehobenen Zeile den Beweis für dieses Verhalten sehen:

> less mp-log authd.log

debug: pan_authd_ldap_authenticate(pan_authd_shared_ldap.c:1203): User "test4" is ACCEPTED(msgid = 12, LDAPp=0x10c5400)
debug: _get_AD_passwd_exp_in_days(pan_authd_shared_ldap.c:86): userAccountControl = 512 (not never expire)
ldap attr value for 'maxPwdAge' or 'pwdLastSet' not found
debug: pan_authd_ldap_authenticate(pan_authd_shared_ldap.c:1235): Got user expire-in-days: -1 
(-1 means no expiration), passwd_exp in auth profile: 200

Resolution

Überprüfen Sie bei der Anmeldung eines Administrators im MMC Active Directory-Schema-Snap-In die Attribute maxPwdAge und pwdLastSet für die Replikation in den globalen Katalog.

Siehe unten für Schritte:

Registrieren Sie das Schema.DLL Snap-In im Active Directory.

Öffnen Sie nach erfolgreicher Registrierung eine neue MMC Konsole.

Wechseln Sie zu Datei >> Snap-In hinzufügen/entfernen, und fügen Sie das Active Directory-Schema zu den ausgewählten Snap-Ins hinzu.

Führen Sie nach dem Zusatz einen Drilldown in Klassen >> Attribute nieren sie aus, und wählen Sie maxPwdAge aus.
Aktivieren Sie das Kontrollkästchen "DiesesAttribut in den globalen Katalog replizieren" und klicken Sie auf OK .

Wiederholen Sie Schritt 4 und Schritt 5 für das pwdLastSet-Attribut.

Wenn sie nun entsprechend festgelegt sind, sollte der GP Client das Ablaufdatum des Kennworts sehen, nachdem er sich erfolgreich beim Gateway angemeldet hat.

Additional Information

Hinweis:
A GP Client mit der erfolgreichen Kennwortablaufwarnung sollte authd.log Protokolle haben, die wie folgt aussehen: