NetExtender συνδέεται αλλά δεν υπάρχει πρόσβαση: SonicWall τοπικό + LDAP

Η σύνδεση πετυχαίνει, η σήραγγα ανεβαίνει και τίποτα πίσω από το τείχος προστασίας δεν απαντά. Αυτό το μοτίβο σε ένα SonicWall SSL VPN συνήθως σημαίνει ότι ο λογαριασμός πέρασε τον έλεγχο ταυτότητας και σταμάτησε σε μία από τις δύο επόμενες άδειες: την αποδοχή στην υπηρεσία SSL VPN ή την άδεια να φτάσει σε έναν πόρο. Οι μικτοί τοπικοί λογαριασμοί και οι λογαριασμοί LDAP το χειροτερεύουν, γιατί τα δύο αποθετήρια φτάνουν σε αυτές τις άδειες με διαφορετικές διαδρομές. Το σύμπτωμα είναι ίδιο από την πλευρά του πελάτη, γι' αυτό τα επίπεδα πρέπει να διαχωρίζονται σκόπιμα.

Το σύμπτωμα και οι τρεις άδειες πίσω του

Τρεις ανεξάρτητες αποφάσεις στέκονται ανάμεσα σε ένα όνομα χρήστη και έναν προσβάσιμο διακομιστή. Η μέθοδος ελέγχου ταυτότητας αποφασίζει αν τα διαπιστευτήρια γίνονται δεκτά και από ποιο αποθετήριο. Η συμμετοχή στην υπηρεσία SSL VPN αποφασίζει αν αυτή η ταυτότητα μπορεί να χρησιμοποιήσει καθόλου το SSL VPN. Η λίστα πρόσβασης VPN αποφασίζει σε ποιους ιδιωτικούς προορισμούς μπορεί να φτάσει η συνεδρία. Το να περάσεις το ένα δεν λέει τίποτα για τα επόμενα δύο.

Ένας χρήστης που αυθεντικοποιείται αλλά δεν ανήκει στην ομάδα της υπηρεσίας SSL VPN βλέπει μια σύνδεση που εγκαθίσταται και μετά δεν μεταφέρει τίποτα, και το αρχείο καταγραφής του τείχους προστασίας δείχνει αποδεκτή σύνδεση αντί για αποτυχία. Αυτή είναι η περίπτωση που αξίζει να αναγνωριστεί γρήγορα, γιατί η διόρθωση είναι συμμετοχή σε ομάδα και όχι επαναφορά κωδικού.

Ένας χρήστης που γίνεται δεκτός αλλά δεν έχει πόρους βλέπει μια συνεδρία που συνδέεται και δεν δρομολογεί πουθενά χρήσιμα. Και οι δύο φαίνονται σαν σπασμένη σήραγγα από την υποστήριξη, και οι δύο είναι διαμόρφωση και όχι συνδεσιμότητα.

Το πεδίο τομέα δεν είναι ο κατάλογος

Το NetExtender ζητά τομέα, και αυτό το πεδίο δεν είναι βάση αναζήτησης για το Active Directory. Στην προεπιλεγμένη διάταξη το πεδίο πρέπει να ισούται με τον τομέα χρήστη SSL VPN που έχει διαμορφώσει το τείχος προστασίας, και η τεκμηριωμένη προεπιλεγμένη τιμή για αυτό είναι LocalDomain. Η σύγκριση διακρίνει πεζά και κεφαλαία, οπότε μια τιμή με διαφορετικά κεφαλαία αποτυγχάνει ακόμη και όταν ο λογαριασμός είναι σωστός.

Όταν έχει διαμορφωθεί διαμερισμός ελέγχου ταυτότητας, τα ονόματα των διαμερισμάτων επιλέγουν το εξωτερικό περιβάλλον ελέγχου ταυτότητας, και η διαμορφωμένη προεπιλογή διατηρεί τον δικό της ρόλο. Και στις δύο διατάξεις η ετικέτα τομέα στην πλευρά του πελάτη δεν προωθείται στο LDAP ή το RADIUS ως μέρος του ονόματος χρήστη, άρα δεν μπορεί να κατευθύνει αναζήτηση καταλόγου.

Κρατήστε τις τρεις συμβολοσειρές χωριστά στις σημειώσεις σας: το επίθημα DNS της εταιρείας, τη βάση αναζήτησης LDAP και την ετικέτα τομέα του NetExtender. Μοιάζουν και καμία δεν αντικαθιστά την άλλη. Αντιγράψτε την τιμή του διαχειριστή για αυτή την εγκατάσταση και όχι μια τιμή από ανάρτηση φόρουμ για άλλη έκδοση υλικολογισμικού.

Η αποδοχή και η πρόσβαση σε πόρους είναι ξεχωριστές άδειες

Οι τοπικοί λογαριασμοί χρειάζονται συμμετοχή στην ομάδα της υπηρεσίας SSL VPN πριν τους δεχτεί η υπηρεσία. Οι λογαριασμοί καταλόγου φτάνουν στην ίδια ομάδα μέσω της υποστηριζόμενης ροής αντιστοίχισης ομάδων, που σημαίνει ότι η σχέση ομάδας LDAP πρέπει να διαμορφωθεί και μετά να επαληθευτεί ως πραγματική συμμετοχή αντί να υποτεθεί από την πλευρά του καταλόγου.

Η πρόσβαση σε πόρους έρχεται μετά, στο VPN Access στον χρήστη ή στην ομάδα. Δώστε τα συγκεκριμένα υποδίκτυα και τις υπηρεσίες που χρειάζεται ο ρόλος, και αντισταθείτε στη συντόμευση να δοθεί ολόκληρο το LAN επειδή χρειάζεται μία εφαρμογή. Οι διαδρομές της συνεδρίας, οι κανόνες πρόσβασης και τα δικαιώματα της υπηρεσίας προορισμού πρέπει όλα να συμφωνούν με αυτό το εύρος.

Μια διαδρομή στον πελάτη κάνει έναν προορισμό επιλέξιμο και δεν τον εξουσιοδοτεί. Η συμμετοχή στην ομάδα SSL VPN δεν κάνει τον λογαριασμό διαχειριστή του τείχους προστασίας, και δεν πρέπει να αντιμετωπίζεται ως γενική παραχώρηση προνομίων.

Δύο ταυτότητες, τέσσερις έλεγχοι η καθεμία

Δοκιμάστε με έναν τοπικό λογαριασμό και έναν λογαριασμό καταλόγου, και οι δύο στενά εξουσιοδοτημένοι και και οι δύο τεκμηριωμένοι ως δοκιμαστικοί. Για τον καθένα, καταγράψτε την πηγή ελέγχου ταυτότητας που δέχτηκε τη σύνδεση, τις ενεργές ομάδες, την εκχωρημένη πρόσβαση σε πόρους και μία επιτρεπόμενη λειτουργία εφαρμογής. Τέσσερις έλεγχοι, δύο αποθετήρια και γραπτό αποτέλεσμα για κάθε συνδυασμό.

Μετά δοκιμάστε τις αρνητικές περιπτώσεις: έναν πόρο που ο λογαριασμός δεν πρέπει να φτάνει, και έναν λογαριασμό που πρέπει να απορριφθεί αμέσως. Ένας σχεδιασμός που αποδεικνύει μόνο το θετικό μονοπάτι τείνει να αφήνει ανοιχτή μια δεύτερη είσοδο, ειδικά όταν το ίδιο σύντομο όνομα χρήστη υπάρχει και στα δύο αποθετήρια. Απενεργοποιήστε τον λογαριασμό καταλόγου και επιβεβαιώστε ότι ο τοπικός δεν συνεχίζει ήσυχα να λειτουργεί.

Εξετάστε τα διπλά ονόματα ως μέρος της ανάπτυξης και όχι μετά από περιστατικό. Το ίδιο πρόσωπο σε δύο αποθετήρια είναι ταυτόχρονα ευκολία για την υποστήριξη και πρόβλημα ελέγχου, και το τείχος προστασίας θα αυθεντικοποιήσει πρόθυμα αυτό που διαμορφώσατε.

Κρατήστε στενό το μονοπάτι αποκατάστασης

Διατηρήστε την πολιτική MFA για κάθε κατηγορία λογαριασμού αντί να εξαιρείτε τους τοπικούς. Αν οι τοπικοί λογαριασμοί παρέχουν εγκεκριμένο μονοπάτι αποκατάστασης για διακοπή του καταλόγου, περιορίστε το σε ονομαστικούς διαχειριστές και λειτουργήστε το συνειδητά, γιατί ένας τοπικός λογαριασμός έκτακτης ανάγκης για κάθε εργαζόμενο είναι δεύτερο σύστημα ελέγχου ταυτότητας με ασθενέστερη εποπτεία.

Γράψτε τον τομέα του πελάτη, την πηγή ελέγχου ταυτότητας και την ενεργή πρόσβαση στην ίδια εγγραφή. Ο επόμενος διαχειριστής μπορεί τότε να αναπαράγει ένα λειτουργικό σχέδιο μικτών λογαριασμών αντί να δοκιμάζει συμβολοσειρές τομέα μέχρι να πετύχει μια σύνδεση.