NetExtender daxil olur, amma giriş yoxdur: SonicWall yerli + LDAP

Giriş uğurla tamamlanır, tunel qalxır və firewall-un arxasındakı heç nə cavab vermir. SonicWall SSL VPN üzərində bu əlamət adətən hesabın autentifikasiyadan keçdiyini və sonrakı iki icazədən birində dayandığını göstərir: SSL VPN xidmətinə qəbul və ya resursa çatma icazəsi. Qarışıq yerli və LDAP hesabları vəziyyəti pisləşdirir, çünki iki anbar bu icazələrə fərqli yollarla çatır. Müştəri tərəfdən simptom eynidir, buna görə də təbəqələr qəsdən ayrılmalıdır.

Simptom və onun arxasındakı üç icazə

İstifadəçi adı ilə əlçatan server arasında üç müstəqil qərar dayanır. Autentifikasiya üsulu etimadın qəbul edilib-edilmədiyini və hansı anbar tərəfindən qəbul edildiyini müəyyən edir. SSL VPN xidmətinə üzvlük həmin şəxsiyyətin ümumiyyətlə SSL VPN-dən istifadə edə biləcəyini müəyyən edir. VPN Girişi siyahısı sessiyanın hansı özəl təyinat nöqtələrinə çata biləcəyini müəyyən edir. Birinin keçməsi növbəti ikisi haqqında heç nə demir.

Autentifikasiyadan keçən, lakin SSL VPN xidmət qrupunda olmayan istifadəçi qurulan və sonra heç nə daşımayan bir bağlantı görür, firewall jurnalı isə uğursuzluq əvəzinə qəbul edilmiş giriş göstərir. Bu, tez tanınmalı olan haldır, çünki həll şifrənin sıfırlanması deyil, qrup üzvlüyüdür.

Qəbul edilən, lakin resursları olmayan istifadəçi qoşulan və faydalı heç yerə marşrutlaşdırmayan bir sessiya görür. Hər ikisi dəstək masasından baxanda xarab tunel kimi görünür və hər ikisi qoşulma deyil, konfiqurasiya məsələsidir.

Domen sahəsi kataloq deyil

NetExtender domen soruşur və bu sahə Active Directory üçün axtarış bazası deyil. Standart quruluşda sahə firewall-un konfiqurasiya etdiyi SSL VPN istifadəçi domeninə bərabər olmalıdır və bu dəyər üçün sənədləşdirilmiş standart LocalDomain. Müqayisə böyük-kiçik hərfə həssasdır, buna görə fərqli hərf böyüklüyü ilə yazılmış dəyər hesab düzgün olsa belə uğursuz olur.

Autentifikasiya bölmələnməsi konfiqurasiya edildikdə, bölmə adları əvəzinə xarici autentifikasiya kontekstini seçir və konfiqurasiya edilmiş standart öz rolunu saxlayır. Hər iki quruluşda müştəri tərəfindəki domen etiketi istifadəçi adının bir hissəsi kimi LDAP və ya RADIUS-a ötürülmür, buna görə kataloq axtarışını istiqamətləndirmək üçün istifadə edilə bilməz.

Qeydlərinizdə üç sətri ayrı saxlayın: şirkətin DNS şəkilçisi, LDAP axtarış bazası və NetExtender domen etiketi. Onlar bir-birinə bənzəyir və heç biri digərini əvəz etmir. Bu quraşdırma üçün operatorun dəyərini köçürün, başqa bir firmware buraxılışı haqqında forum yazısındakı dəyəri deyil.

Qəbul və resurs girişi ayrı icazələrdir

Yerli hesablar xidmətin onları qəbul etməsindən əvvəl SSL VPN xidmət qrupuna üzvlük tələb edir. Kataloq hesabları dəstəklənən qrup xəritələşdirmə iş axını ilə eyni qrupa çatır, yəni LDAP qrup əlaqəsi konfiqurasiya edilməli və sonra kataloq tərəfindən ehtimal edilmək əvəzinə effektiv üzvlük kimi yoxlanmalıdır.

Resurs girişi bundan sonra gəlir, istifadəçi və ya qrup üzərindəki VPN Girişi altında. Rolun ehtiyac duyduğu konkret alt şəbəkələri və xidmətləri verin və bir tətbiq tələb olunduğu üçün bütün LAN-ı vermək qısa yoluna müqavimət göstərin. Sessiyanın marşrutları, giriş qaydaları və təyinat xidmətinin icazələri hamısı bu əhatə dairəsi ilə uyğun olmalıdır.

Müştəridəki marşrut təyinatı seçilə bilən edir və ona icazə vermir. SSL VPN qrupuna üzvlük hesabı firewall administratoru da etmir və ümumi imtiyaz verilməsi kimi qəbul edilməməlidir.

İki şəxsiyyət, hər birinə dörd yoxlama

Biri yerli, biri kataloq hesabı olmaqla iki hesabla sınaqdan keçirin; hər ikisi dar səlahiyyətli və hər ikisi sınaq hesabı kimi sənədləşdirilmiş olsun. Hər biri üçün girişi qəbul edən autentifikasiya mənbəyini, effektiv qrupları, təyin edilmiş resurs girişini və bir icazəli tətbiq əməliyyatını qeyd edin. Dörd yoxlama, iki anbar və hər kombinasiya üçün yazılı nəticə.

Sonra mənfi halları sınayın: hesabın çatmamalı olduğu resurs və tamamilə rədd edilməli olan hesab. Yalnız müsbət yolu sübut edən dizayn, xüsusən eyni qısa istifadəçi adı hər iki anbarda olduqda, ikinci bir girişi açıq qoymağa meyllidir. Kataloq hesabını deaktiv edin və yerli hesabın səssizcə işləməyə davam etmədiyini təsdiqləyin.

Dublikat adları hadisədən sonra deyil, tətbiqin bir hissəsi kimi nəzərdən keçirin. Eyni şəxsin iki anbarda olması eyni zamanda həm dəstək rahatlığı, həm də audit problemidir və firewall konfiqurasiya etdiyiniz hansısa variantı məmnuniyyətlə autentifikasiya edəcək.

Bərpa yolunu dar saxlayın

Yerli hesabları MFA siyasətindən azad etmək əvəzinə hər hesab sinfi üçün onu qoruyun. Əgər yerli hesablar kataloq kəsilməsi üçün təsdiqlənmiş bərpa yolu təmin edirsə, bu yolu adlı administratorlarla məhdudlaşdırın və qəsdən idarə edin, çünki hər işçi üçün yerli fövqəladə hesab daha zəif nəzarəti olan ikinci autentifikasiya sistemidir.

Müştəri domenini, autentifikasiya mənbəyini və effektiv girişi eyni qeydə yazın. Növbəti administrator beləliklə giriş uğurlu olana qədər domen sətirlərini dəyişmək əvəzinə işlək qarışıq hesab dizaynını təkrar yarada bilər.