NetExtender inicia sessió però no hi ha accés: SonicWall local + LDAP
NetExtender connecta però no respon res: separa l'autenticació de SonicWall, la pertinença al servei SSL VPN i els permisos d'accés VPN per als usuaris locals i LDAP.
L'inici de sessió té èxit, el túnel s'aixeca i res del que hi ha darrere del tallafoc respon. Aquest patró en un SonicWall SSL VPN normalment vol dir que el compte ha superat l'autenticació i s'ha aturat en un dels dos permisos posteriors: l'admissió al servei SSL VPN o el permís per arribar a un recurs. Els comptes locals i LDAP barrejats ho empitjoren, perquè els dos magatzems arriben a aquests permisos per camins diferents. El símptoma és idèntic des del client, i per això les capes s'han de separar deliberadament.
El símptoma i els tres permisos que hi ha darrere
Tres decisions independents se situen entre un nom d'usuari i un servidor accessible. El mètode d'autenticació decideix si s'accepta la credencial i per quin magatzem. La pertinença al servei SSL VPN decideix si aquesta identitat pot utilitzar el SSL VPN. La llista d'accés VPN decideix a quins destins privats pot arribar la sessió. Superar-ne una no diu res de les dues següents.
Un usuari que s'autentica però no és al grup del servei SSL VPN veu una connexió que s'estableix i després no transporta res, i el registre del tallafoc mostra un inici de sessió acceptat en lloc d'una fallada. Aquest és el cas que convé reconèixer de seguida, perquè la solució és una pertinença a un grup i no un restabliment de contrasenya.
Un usuari que és admès però no té recursos veu una sessió que connecta i no encamina enlloc útil. Tots dos semblen un túnel trencat des del servei d'assistència, i tots dos són configuració i no connectivitat.
El camp de domini no és el directori
NetExtender demana un domini, i aquest camp no és una base de cerca per a Active Directory. En la disposició per defecte, el camp ha de ser igual al domini d'usuari SSL VPN que hagi configurat el tallafoc, i el valor per defecte documentat és LocalDomain. La comparació distingeix majúscules i minúscules, de manera que un valor escrit amb una capitalització diferent falla encara que el compte sigui correcte.
Amb la partició d'autenticació configurada, els noms de partició seleccionen el context d'autenticació extern, i el valor per defecte configurat conserva el seu paper. En qualsevol de les dues disposicions, l'etiqueta de domini del client no s'envia a LDAP ni a RADIUS com a part del nom d'usuari, així que no pot dirigir una cerca al directori.
Manteniu les tres cadenes separades a les notes: el sufix DNS de l'empresa, la base de cerca LDAP i l'etiqueta de domini de NetExtender. S'assemblen i cap no substitueix una altra. Copieu el valor de l'operador per a aquesta instal·lació i no un valor d'un missatge de fòrum sobre una altra versió de firmware.
L'admissió i l'accés als recursos són permisos separats
Els comptes locals necessiten pertànyer al grup del servei SSL VPN abans que el servei els accepti. Els comptes de directori arriben al mateix grup pel flux de treball de mapatge de grups admès, cosa que vol dir que la relació de grup LDAP s'ha de configurar i després verificar com a pertinença efectiva en lloc de suposar-la des del costat del directori.
L'accés als recursos ve després, a l'apartat d'accés VPN de l'usuari o del grup. Concediu les subxarxes i els serveis concrets que necessita el rol, i resistiu el curtcircuit de concedir tota la LAN perquè cal una aplicació. Les rutes de la sessió, les regles d'accés i els permisos del servei de destí han de coincidir tots amb aquest abast.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Una ruta al client fa que un destí es pugui seleccionar i no l'autoritza. La pertinença al grup SSL VPN tampoc no converteix el compte en administrador del tallafoc, i no s'ha de tractar com una concessió de privilegis generals.
Dues identitats, quatre comprovacions cadascuna
Proveu amb un compte local i un compte de directori, tots dos amb autorització estreta i tots dos documentats com a comptes de prova. Per a cadascun, anoteu la font d'autenticació que ha acceptat l'inici de sessió, els grups efectius, l'accés a recursos assignat i una operació d'aplicació permesa. Quatre comprovacions, dos magatzems i un resultat escrit per a cada combinació.
Després proveu els casos negatius: un recurs al qual el compte no ha d'arribar i un compte que s'ha de rebutjar de ple. Un disseny que només demostra el camí positiu tendeix a deixar una segona entrada oberta, sobretot quan el mateix nom d'usuari curt existeix als dos magatzems. Desactiveu el compte de directori i confirmeu que el local no continua funcionant en silenci.
Reviseu els noms duplicats com a part del desplegament i no després d'un incident. La mateixa persona a dos magatzems és alhora una comoditat per al suport i un problema d'auditoria, i el tallafoc autenticarà de bona gana el que hàgiu configurat.
Manteniu estret el camí de recuperació
Conserveu la política MFA per a cada classe de compte en lloc d'eximir-ne els comptes locals. Si els comptes locals ofereixen un camí de recuperació aprovat per a una caiguda del directori, limiteu-lo a administradors amb nom i feu-lo servir deliberadament, perquè un compte d'emergència local per a cada empleat és un segon sistema d'autenticació amb menys supervisió.
Escriviu el domini del client, la font d'autenticació i l'accés efectiu al mateix registre. El següent administrador podrà reproduir un disseny de comptes mixt que funcioni en lloc de provar cadenes de domini fins que un inici de sessió surti bé.