cabele/opnsense-portal
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions

feat(auth): konfigurierbare TLS-Mindestversion fuer den Verzeichnisdienst

Browse source 
Domain Controller auf Windows Server 2012 R2 koennen TLS 1.2 per Registry
deaktiviert haben. ad.min_tls_version (Default 1.2) erlaubt es, fuer solche
Altsysteme auf 1.0/1.1 herunterzugehen; das Portal warnt dann bei jedem Start.

Die Zertifikatspruefung bleibt in jedem Fall aktiv — fuer LDAP gibt es
weiterhin keine Insecure-Option. Im Legacy-Modus kommen lediglich die
CBC-SHA256-Suiten hinzu, die Go als unsicher einstuft; RC4, 3DES und Suiten
ohne Forward Secrecy werden nie angeboten.

README dokumentiert zusaetzlich die beiden anderen 2012-R2-Stolpersteine:
SHA-1-signierte DC-Zertifikate (seit Go 1.24 nicht mehr umgehbar) und
RSA-Schluesselaustausch (nur ueber GODEBUG=tlsrsakex=1).

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01NBHF4R9EAejDJUMdwr6C68
This commit is contained in:
Carsten Abele 2026-08-14 13:18:24 +02:00
parent a2bce25424
commit 0fc2d8808b
10 changed files with 299 additions and 25 deletions
Download patch file Download diff file Expand all files Collapse all files

21
internal/config/config.go
View file

@ -59,11 +59,15 @@ type OPNsenseConfig struct {
}
type ADConfig struct {
Domain string `yaml:"domain"`
BaseDN string `yaml:"base_dn"`
Servers []string `yaml:"servers"`
Port int `yaml:"port"`
TLSMode string `yaml:"tls_mode"` // "ldaps" (Default) oder "starttls"
Domain string `yaml:"domain"`
BaseDN string `yaml:"base_dn"`
Servers []string `yaml:"servers"`
Port int `yaml:"port"`
TLSMode string `yaml:"tls_mode"` // "ldaps" (Default) oder "starttls"
// MinTLSVersion ist die niedrigste akzeptierte TLS-Version zum
// Verzeichnisdienst: "1.0", "1.1", "1.2" (Default) oder "1.3".
// Unter 1.2 nur für Altsysteme, die nichts Besseres können.
MinTLSVersion string `yaml:"min_tls_version"`
BindUser string `yaml:"bind_user"`
BindPassword string `yaml:"bind_password"`
BindPasswordFile string `yaml:"bind_password_file"`
@ -94,9 +98,10 @@ func Defaults() *Config {
Title: "VPN-Portal",
},
AD: ADConfig{
Port: 636,
TLSMode: "ldaps",
Timeout: Duration(8 * time.Second),
Port: 636,
TLSMode: "ldaps",
MinTLSVersion: "1.2",
Timeout: Duration(8 * time.Second),
},
Matching: MatchingConfig{CNPattern: "{username}"},
Logging: LoggingConfig{