NetExtender يسجّل الدخول لكن لا وصول: SonicWall محلي + LDAP

تنجح عملية تسجيل الدخول، ويقوم النفق، ولا يستجيب أي شيء خلف الجدار الناري. هذا النمط على SonicWall SSL VPN يعني عادةً أن الحساب اجتاز المصادقة وتوقف عند أحد التصريحين اللاحقين: القبول في خدمة SSL VPN، أو الإذن بالوصول إلى مورد. الحسابات المحلية وحسابات LDAP المختلطة تزيد الأمر سوءًا، لأن المخزنَين يصلان إلى هذين التصريحين عبر مسارين مختلفين. العَرَض متطابق من جهة العميل، ولهذا يجب فصل الطبقات عن قصد.

العَرَض والتصاريح الثلاثة خلفه

ثلاثة قرارات مستقلة تفصل بين اسم المستخدم وخادم يمكن الوصول إليه. تحدد طريقة المصادقة ما إذا كانت بيانات الاعتماد مقبولة وأي مخزن يقبلها. تحدد العضوية في خدمة SSL VPN ما إذا كان هذا الهوية يستطيع استخدام SSL VPN أصلًا. تحدد قائمة الوصول إلى VPN الوجهات الخاصة التي يمكن للجلسة الوصول إليها. اجتياز أحدها لا يقول شيئًا عن الاثنين التاليين.

المستخدم الذي تتم مصادقته لكنه ليس في مجموعة خدمة SSL VPN يرى اتصالًا يُنشأ ثم لا ينقل شيئًا، ويُظهر سجل الجدار الناري تسجيل دخول مقبولًا بدلًا من فشل. هذه هي الحالة التي يستحق التعرف عليها بسرعة، لأن الحل هو عضوية في مجموعة وليس إعادة تعيين كلمة المرور.

المستخدم الذي يُقبل لكن ليس لديه موارد يرى جلسة تتصل ولا توجه إلى أي مكان مفيد. يبدوان معًا من مكتب الدعم كنفق معطل، وكلاهما مشكلة إعداد وليس اتصالًا.

حقل النطاق ليس الدليل

يطلب NetExtender نطاقًا، وهذا الحقل ليس قاعدة بحث لـ Active Directory. في الترتيب الافتراضي يجب أن يساوي الحقل نطاق مستخدم SSL VPN الذي ضبطه الجدار الناري، والقيمة الافتراضية الموثقة له هي LocalDomain. المقارنة حساسة لحالة الأحرف، لذا تفشل القيمة المكتوبة بحالة أحرف مختلفة حتى عندما يكون الحساب صحيحًا.

عند تكوين تقسيم المصادقة، تختار أسماء التقسيمات سياق المصادقة الخارجي بدلًا من ذلك، ويحتفظ الافتراضي المضبوط بدوره الخاص. في كلتا الحالتين لا تُمرَّر تسمية النطاق من جهة العميل إلى LDAP أو RADIUS كجزء من اسم المستخدم، لذا لا يمكن استخدامها لتوجيه بحث الدليل.

أبقِ السلاسل الثلاث منفصلة في ملاحظاتك: لاحقة DNS للشركة، وقاعدة بحث LDAP، وتسمية نطاق NetExtender. تبدو متشابهة ولا يحل أي منها محل الآخر. انسخ قيمة المشغّل لهذا التنصيب وليس قيمة من منشور منتدى عن إصدار برنامج ثابت آخر.

القبول والوصول إلى الموارد تصريحان منفصلان

تحتاج الحسابات المحلية إلى عضوية في مجموعة خدمة SSL VPN قبل أن تقبلها الخدمة. تصل حسابات الدليل إلى المجموعة نفسها عبر سير عمل تعيين المجموعات المدعوم، ما يعني أنه يجب تكوين علاقة مجموعة LDAP ثم التحقق منها كعضوية فعّالة بدلًا من افتراضها من جهة الدليل.

يأتي الوصول إلى الموارد بعد ذلك، ضمن الوصول إلى VPN على المستخدم أو المجموعة. امنح الشبكات الفرعية والخدمات المحددة التي يحتاجها الدور، وقاوم اختصار منح الشبكة المحلية بأكملها لأن تطبيقًا واحدًا مطلوب. يجب أن تتوافق مسارات الجلسة وقواعد الوصول وأذونات خدمة الوجهة جميعها مع هذا النطاق.

المسار على العميل يجعل الوجهة قابلة للاختيار ولا يمنحها تصريحًا. كما أن العضوية في مجموعة SSL VPN لا تجعل الحساب مسؤولًا عن الجدار الناري، ولا ينبغي التعامل معها كمنح صلاحيات عام.

هويتان، أربع فحوص لكل منهما

اختبر بحساب محلي وحساب دليل، كلاهما مصرح به بشكل ضيق وكلاهما موثق كحساب اختبار. لكل منهما، سجّل مصدر المصادقة الذي قبِل تسجيل الدخول، والمجموعات الفعلية، والوصول إلى الموارد المخصص، وعملية تطبيق واحدة مسموحة. أربعة فحوص، ومخزنان، ونتيجة مكتوبة لكل تركيبة.

ثم اختبر الحالات السلبية: مورد لا ينبغي أن يصل إليه الحساب، وحساب ينبغي رفضه فورًا. التصميم الذي يثبت المسار الإيجابي فقط يميل إلى إبقاء مدخل ثانٍ مفتوحًا، خاصة عندما يوجد اسم المستخدم القصير نفسه في المخزنين. عطّل حساب الدليل وتأكد من أن الحساب المحلي لا يستمر في العمل بهدوء.

راجع الأسماء المكررة كجزء من النشر وليس بعد حادث. الشخص نفسه في مخزنين هو في الوقت نفسه تسهيل للدعم ومشكلة تدقيق، وسيقوم الجدار الناري بمصادقة الحساب الذي ضبطته عن طيب خاطر.

أبقِ مسار الاستعادة ضيقًا

حافظ على سياسة MFA لكل فئة حسابات بدلًا من إعفاء الحسابات المحلية منها. إذا كانت الحسابات المحلية توفر مسار استعادة معتمدًا لانقطاع الدليل، فقصر ذلك المسار على مسؤولين بالاسم وشغّله عن قصد، لأن حساب طوارئ محليًا لكل موظف هو نظام مصادقة ثانٍ بإشراف أضعف.

اكتب نطاق العميل ومصدر المصادقة والوصول الفعّال في السجل نفسه. عندئذ يمكن للمسؤول التالي إعادة إنتاج تصميم حسابات مختلطة يعمل بدلًا من تجربة سلاسل النطاق حتى ينجح تسجيل الدخول.