NetExtender yn mewngofnodi ond dim mynediad: SonicWall lleol + LDAP

Mae'r mewngofnodi yn llwyddo, mae'r twnnel yn codi, ac nid oes unrhyw beth y tu ôl i'r wal dân yn ateb. Mae'r patrwm hwn ar SonicWall SSL VPN fel arfer yn golygu bod y cyfrif wedi pasio dilysu ac wedi stopio ar un o ddau ganiatâd diweddarach: derbyniad i'r gwasanaeth SSL VPN, neu ganiatâd i gyrraedd adnodd. Mae cyfrifon lleol a LDAP cymysg yn gwaethygu hyn, oherwydd bod y ddau storfa yn cyrraedd y caniatadau hynny ar lwybrau gwahanol. Mae'r symptom yn union yr un fath o safbwynt y cleient, a dyna pam mae'n rhaid gwahanu'r haenau yn fwriadol.

Y symptom a'r tri chaniatâd y tu ôl iddo

Mae tri phenderfyniad annibynnol rhwng enw defnyddiwr a gweinydd y gellir ei gyrraedd. Mae'r dull dilysu yn penderfynu a yw'r cymhwyster yn cael ei dderbyn a chan ba storfa. Mae aelodaeth o'r gwasanaeth SSL VPN yn penderfynu a yw'r hunaniaeth honno yn cael defnyddio'r SSL VPN o gwbl. Mae'r rhestr Mynediad VPN yn penderfynu pa gyrchfannau preifat y caiff y sesiwn eu cyrraedd. Nid yw pasio un yn dweud unrhyw beth am y ddau nesaf.

Mae defnyddiwr sy'n dilysu ond nad yw yng ngrŵp y gwasanaeth SSL VPN yn gweld cysylltiad sy'n sefydlu ac yna'n cario dim, ac mae log y wal dân yn dangos mewngofnodi a dderbyniwyd yn hytrach na methiant. Dyma'r achos sy'n werth ei adnabod yn gyflym, oherwydd mai aelodaeth grŵp yw'r ateb, nid ailosod cyfrinair.

Mae defnyddiwr a dderbynnir ond heb adnoddau yn gweld sesiwn sy'n cysylltu ac yn llwybro i unman defnyddiol. Mae'r ddau yn edrych fel twnnel wedi torri o safbwynt y ddesg gymorth, ac mae'r ddau yn gyfluniad yn hytrach na chysylltedd.

Nid y blwch parth yw'r cyfeiriadur

Mae NetExtender yn gofyn am barth, ac nid yw'r maes hwnnw yn sail chwilio ar gyfer Active Directory. Yn y trefniant diofyn rhaid i'r maes fod yn hafal i ba bynnag barth defnyddiwr SSL VPN y mae'r wal dân wedi'i ffurfweddu, a'r gwerth diofyn dogfennedig ar ei gyfer yw LocalDomain. Mae'r gymhariaeth yn sensitif i briflythrennau, felly mae gwerth a deipiwyd â phriflythrennau gwahanol yn methu hyd yn oed pan fo'r cyfrif yn gywir.

Pan fo rhannu dilysu wedi'i ffurfweddu, mae enwau'r rhaniadau yn dewis y cyd-destun dilysu allanol yn lle hynny, ac mae'r diofyn ffurfweddedig yn cadw ei rôl ei hun. Yn y naill drefniant neu'r llall nid yw label parth y cleient yn cael ei anfon i LDAP nac i RADIUS fel rhan o'r enw defnyddiwr, felly ni ellir ei ddefnyddio i lywio chwiliad cyfeiriadur.

Cadwch y tri llinyn ar wahân yn eich nodiadau: ôl-ddodiad DNS y cwmni, sail chwilio LDAP a label parth NetExtender. Maent yn edrych yn debyg ac nid oes yr un ohonynt yn cymryd lle'r llall. Copïwch werth y gweithredwr ar gyfer y gosodiad hwn yn hytrach na gwerth o bost fforwm am ryddhad cadarnwedd gwahanol.

Mae derbyniad a mynediad i adnoddau yn ganiatadau ar wahân

Mae cyfrifon lleol angen aelodaeth yng ngrŵp y gwasanaeth SSL VPN cyn y bydd y gwasanaeth yn eu derbyn. Mae cyfrifon cyfeiriadur yn cyrraedd yr un grŵp trwy'r llif gwaith mapio grŵp a gefnogir, sy'n golygu bod yn rhaid ffurfweddu'r berthynas grŵp LDAP ac yna ei gwirio fel aelodaeth effeithiol yn hytrach na'i thybio o ochr y cyfeiriadur.

Daw mynediad i adnoddau nesaf, o dan Fynediad VPN ar y defnyddiwr neu'r grŵp. Rhowch yr is-rwydweithiau a'r gwasanaethau penodol y mae'r rôl eu hangen, a gwrthsefyll y llwybr byr o roi'r LAN gyfan oherwydd bod angen un cymhwysiad. Mae llwybrau'r sesiwn, y rheolau mynediad a chaniatadau gwasanaeth y gyrchfan i gyd yn gorfod cytuno â'r cwmpas hwnnw.

Mae llwybr ar y cleient yn gwneud cyrchfan yn ddewisol ac nid yw'n ei awdurdodi. Nid yw aelodaeth o'r grŵp SSL VPN yn gwneud y cyfrif yn weinyddwr wal dân chwaith, ac ni ddylid ei thrin fel caniatâd braint cyffredinol.

Dwy hunaniaeth, pedair gwiriad yr un

Profwch gydag un cyfrif lleol ac un cyfrif cyfeiriadur, y ddau wedi'u hawdurdodi'n gul ac wedi'u dogfennu fel cyfrifon prawf. Ar gyfer pob un, cofnodwch y ffynhonnell ddilysu a dderbyniodd y mewngofnodi, y grwpiau effeithiol, y mynediad adnoddau a bennwyd a un gweithrediad cymhwysiad a ganiateir. Pedair gwiriad, dwy storfa, a chanlyniad ysgrifenedig ar gyfer pob cyfuniad.

Yna profwch yr achosion negyddol: adnodd na ddylai'r cyfrif ei gyrraedd, a chyfrif y dylid ei wrthod yn syth. Mae dyluniad sy'n profi'r llwybr cadarnhaol yn unig yn tueddu i adael ail fynedfa ar agor, yn enwedig pan fo'r un enw defnyddiwr byr yn bodoli yn y ddwy storfa. Analluogwch y cyfrif cyfeiriadur a chadarnhewch nad yw'r un lleol yn parhau i weithio'n ddistaw.

Adolygwch enwau dyblyg fel rhan o'r cyflwyniad yn hytrach nag ar ôl digwyddiad. Mae'r un person mewn dwy storfa yn hwylustod cymorth ac yn broblem archwilio ar yr un pryd, a bydd y wal dân yn dilysu'r un a ffurfweddwyd gennych yn fodlon.

Cadwch y llwybr adfer yn gul

Cadwch y polisi MFA ar gyfer pob dosbarth cyfrif yn hytrach na rhyddhau cyfrifon lleol ohono. Os yw cyfrifon lleol yn darparu llwybr adfer cymeradwy ar gyfer diffyg cyfeiriadur, cyfyngwch y llwybr hwnnw i weinyddwyr a enwir a'i weithredu'n fwriadol, oherwydd bod cyfrif brys lleol ar gyfer pob cyflogai yn ail system ddilysu â goruchwyliaeth wannach.

Ysgrifennwch barth y cleient, y ffynhonnell ddilysu a'r mynediad effeithiol yn yr un cofnod. Gall y gweinyddwr nesaf wedyn atgynhyrchu dyluniad cyfrifon cymysg sy'n gweithio yn hytrach na throelli trwy linynnau parth nes bod mewngofnodi yn llwyddo.