NetExtender লগ ইন হয় কিন্তু প্রবেশ নেই: SonicWall স্থানীয় + LDAP
NetExtender সংযুক্ত হয় কিন্তু কিছুই সাড়া দেয় না: SonicWall প্রমাণীকরণ, SSL VPN পরিষেবার সদস্যপদ এবং স্থানীয় ও LDAP ব্যবহারকারীদের জন্য VPN প্রবেশের অনুমতি আলাদাভাবে যাচাই করুন।
লগ ইন সফল হয়, টানেল ওঠে এবং ফায়ারওয়ালের পেছনে কিছুই সাড়া দেয় না। SonicWall SSL VPN এ এমন ধাঁচ সাধারণত বোঝায় যে অ্যাকাউন্ট প্রমাণীকরণ পেরিয়ে পরের দুটি অনুমতির একটিতে থেমেছে: SSL VPN পরিষেবায় গ্রহণ, অথবা কোনো সম্পদে পৌঁছানোর অনুমতি। স্থানীয় ও LDAP অ্যাকাউন্ট মিশ্রিত হলে অবস্থা আরও খারাপ হয়, কারণ দুটি ভাণ্ডার এই অনুমতিতে ভিন্ন পথে পৌঁছায়। ক্লায়েন্টের দিক থেকে লক্ষণ একই, তাই স্তরগুলো ইচ্ছাকৃতভাবে আলাদা করতে হয়।
লক্ষণ এবং তার পেছনের তিনটি অনুমতি
ব্যবহারকারীর নাম আর পৌঁছানো যায় এমন সার্ভারের মধ্যে তিনটি স্বাধীন সিদ্ধান্ত থাকে। প্রমাণীকরণ পদ্ধতি ঠিক করে শংসাপত্র গ্রহণ করা হয় কি না এবং কোন ভাণ্ডার তা গ্রহণ করে। SSL VPN পরিষেবার সদস্যপদ ঠিক করে এই পরিচয়টি আদৌ SSL VPN ব্যবহার করতে পারে কি না। VPN প্রবেশ তালিকা ঠিক করে সেশন কোন ব্যক্তিগত গন্তব্যে পৌঁছাতে পারে। একটি পেরোলে পরের দুটি সম্পর্কে কিছুই বলা যায় না।
যে ব্যবহারকারী প্রমাণিত হয় কিন্তু SSL VPN পরিষেবা দলে নেই, তিনি এমন সংযোগ দেখেন যা তৈরি হয় এবং পরে কিছু বহন করে না, আর ফায়ারওয়াল লগ ব্যর্থতার বদলে গৃহীত লগ ইন দেখায়। এটাই দ্রুত চেনার মতো ঘটনা, কারণ সমাধান দলের সদস্যপদ, পাসওয়ার্ড রিসেট নয়।
যে ব্যবহারকারী গৃহীত হয় কিন্তু সম্পদ নেই, তিনি এমন সেশন দেখেন যা সংযুক্ত হয় এবং কোথাও কাজে লাগে না। হেল্প ডেস্কের চোখে দুটোই ভাঙা টানেলের মতো, আর দুটোই কানেক্টিভিটি নয়, কনফিগারেশনের সমস্যা।
ডোমেইন বাক্স ডিরেক্টরি নয়
NetExtender ডোমেইন চায়, এবং সেই ফিল্ড Active Directory-র অনুসন্ধান ভিত্তি নয়। ডিফল্ট বিন্যাসে ফিল্ডটি সেই SSL VPN ব্যবহারকারী ডোমেইনের সমান হতে হবে যা ফায়ারওয়াল কনফিগার করেছে, আর এর জন্য নথিভুক্ত ডিফল্ট মান হল LocalDomain। তুলনা কেস-সংবেদনশীল, তাই ভিন্ন বড়-ছোট অক্ষরে টাইপ করা মান অ্যাকাউন্ট সঠিক হলেও ব্যর্থ হয়।
প্রমাণীকরণ বিভাজন কনফিগার করা থাকলে বিভাজনের নামগুলো বাহ্যিক প্রমাণীকরণ প্রসঙ্গ বেছে নেয়, আর কনফিগার করা ডিফল্ট নিজের ভূমিকা রাখে। দুই বিন্যাসেই ক্লায়েন্ট পক্ষের ডোমেইন লেবেল ব্যবহারকারীর নামের অংশ হিসেবে LDAP বা RADIUS-এ পাঠানো হয় না, তাই এটি ডিরেক্টরি অনুসন্ধান পরিচালনা করতে পারে না।
তিনটি স্ট্রিং আপনার নোটে আলাদা রাখুন: কোম্পানির DNS প্রত্যয়, LDAP অনুসন্ধান ভিত্তি এবং NetExtender ডোমেইন লেবেল। এগুলো একই রকম দেখায় এবং একটিও অন্যটির জায়গা নেয় না। এই ইনস্টলেশনের জন্য অপারেটরের মান কপি করুন, অন্য ফার্মওয়্যার সংস্করণ সম্পর্কে ফোরাম পোস্টের মান নয়।
গ্রহণ ও সম্পদে প্রবেশ আলাদা অনুমতি
স্থানীয় অ্যাকাউন্টগুলোর পরিষেবা গ্রহণের আগে SSL VPN পরিষেবা দলে সদস্যপদ দরকার। ডিরেক্টরি অ্যাকাউন্ট সমর্থিত দল-ম্যাপিং কর্মপ্রবাহে একই দলে পৌঁছায়, অর্থাৎ LDAP দল সম্পর্ক কনফিগার করে তারপর ডিরেক্টরির দিক থেকে ধরে নেওয়ার বদলে কার্যকর সদস্যপদ হিসেবে যাচাই করতে হয়।
এরপর আসে সম্পদে প্রবেশ, ব্যবহারকারী বা দলে VPN প্রবেশের অধীনে। ভূমিকার প্রয়োজনীয় নির্দিষ্ট সাবনেট ও পরিষেবা দিন, আর একটি অ্যাপ্লিকেশন দরকার বলে পুরো LAN দেওয়ার শর্টকাট এড়িয়ে চলুন। সেশনের রুট, প্রবেশ নিয়ম এবং গন্তব্য পরিষেবার অনুমতি সবই এই পরিধির সঙ্গে মিলতে হবে।
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
ক্লায়েন্টে রুট গন্তব্যকে নির্বাচনযোগ্য করে, অনুমতি দেয় না। SSL VPN দলের সদস্যপদ অ্যাকাউন্টকে ফায়ারওয়াল প্রশাসকও বানায় না, এবং এটিকে সাধারণ বিশেষাধিকার দেওয়া হিসেবে দেখা উচিত নয়।
দুটি পরিচয়, প্রতিটির চারটি যাচাই
একটি স্থানীয় ও একটি ডিরেক্টরি অ্যাকাউন্ট দিয়ে পরীক্ষা করুন, দুটিকেই সংকীর্ণ অনুমতি দিন এবং দুটিকেই পরীক্ষামূলক অ্যাকাউন্ট হিসেবে নথিভুক্ত করুন। প্রতিটির জন্য যে প্রমাণীকরণ উৎস লগ ইন গ্রহণ করেছে, কার্যকর দল, বরাদ্দকৃত সম্পদ প্রবেশ এবং একটি অনুমোদিত অ্যাপ্লিকেশন ক্রিয়া লিখুন। চারটি যাচাই, দুই ভাণ্ডার এবং প্রতিটি সমন্বয়ের জন্য লিখিত ফলাফল।
তারপর নেতিবাচক ঘটনা পরীক্ষা করুন: যে সম্পদে অ্যাকাউন্টের পৌঁছানো উচিত নয়, এবং যে অ্যাকাউন্ট তৎক্ষণাৎ প্রত্যাখ্যান করা উচিত। কেবল ইতিবাচক পথ প্রমাণ করা নকশা প্রায়ই দ্বিতীয় প্রবেশপথ খোলা রাখে, বিশেষত যখন একই সংক্ষিপ্ত ব্যবহারকারীর নাম দুই ভাণ্ডারেই থাকে। ডিরেক্টরি অ্যাকাউন্ট নিষ্ক্রিয় করুন এবং নিশ্চিত করুন স্থানীয় অ্যাকাউন্ট চুপচাপ কাজ চালিয়ে যাচ্ছে না।
পুনরাবৃত্ত নাম পর্যালোচনা মোতায়েনের অংশ হিসেবে করুন, কোনো ঘটনার পরে নয়। একই ব্যক্তি দুই ভাণ্ডারে থাকা একইসঙ্গে সহায়তার সুবিধা ও নিরীক্ষার সমস্যা, আর ফায়ারওয়াল আনন্দের সঙ্গে আপনার কনফিগার করা অ্যাকাউন্টটিকেই প্রমাণিত করবে।
পুনরুদ্ধারের পথ সংকীর্ণ রাখুন
স্থানীয় অ্যাকাউন্টকে ছাড় দেওয়ার বদলে প্রতিটি অ্যাকাউন্ট শ্রেণির জন্য MFA নীতি রাখুন। যদি স্থানীয় অ্যাকাউন্ট ডিরেক্টরি বিঘ্নের জন্য অনুমোদিত পুনরুদ্ধার পথ দেয়, তবে সেই পথ নামযুক্ত প্রশাসকদের মধ্যে সীমাবদ্ধ রাখুন এবং সচেতনভাবে চালান, কারণ প্রতিটি কর্মচারীর জন্য স্থানীয় জরুরি অ্যাকাউন্ট দুর্বল তত্ত্বাবধানের দ্বিতীয় প্রমাণীকরণ ব্যবস্থা।
ক্লায়েন্ট ডোমেইন, প্রমাণীকরণ উৎস এবং কার্যকর প্রবেশ একই রেকর্ডে লিখুন। পরবর্তী প্রশাসক তখন কাজ করা মিশ্র অ্যাকাউন্ট নকশা পুনরুৎপাদন করতে পারেন, লগ ইন সফল হওয়া পর্যন্ত ডোমেইন স্ট্রিং পরীক্ষা করার বদলে।