NetExtender logib sisse, kuid juurdepääsu pole: SonicWall kohalik + LDAP
NetExtender ühendub, kuid miski ei vasta: eraldage SonicWall autentimine, SSL VPN teenuse liikmelisus ja VPN Access õigused kohalikele ning LDAP kasutajatele.
Sisselogimine õnnestub, tunnel tõuseb ja miski tulemüüri taga ei vasta. See muster SonicWall SSL VPN tähendab tavaliselt, et konto läbis autentimise ja peatus ühel kahest hilisemast õigusest: SSL VPN teenusesse lubamine või õigus ressursile ligi pääseda. Segatud kohalikud ja LDAP kontod teevad selle hullemaks, sest kaks hoidlat jõuavad nende õigusteni eri teid pidi. Kliendi jaoks on sümptom identne, mistõttu tuleb kihid teadlikult eraldada.
Sümptom ja kolm õigust selle taga
Kasutajanime ja kättesaadava serveri vahel on kolm sõltumatut otsust. Autentimismeetod otsustab, kas volitus aktsepteeritakse ja milline hoidla seda teeb. SSL VPN teenuse liikmelisus otsustab, kas see identiteet tohib üldse SSL VPN-i kasutada. VPN Access loend otsustab, millistele privaatsetele sihtkohtadele sessioon pääseb. Ühe läbimine ei ütle kahe järgmise kohta midagi.
Kasutaja, kes autendib end, kuid ei ole SSL VPN teenuse grupist, näeb ühendust, mis luuakse ja seejärel ei kanna midagi, ning tulemüüri logi näitab vastuvõetud sisselogimist, mitte tõrget. See on juhtum, mida tasub kiiresti ära tunda, sest lahendus on grupiliikmelisus, mitte parooli lähtestamine.
Kasutaja, kes on lubatud, kuid kellel pole ressursse, näeb sessiooni, mis ühendub ja ei marsruudi kuhugi kasulikku. Mõlemad näevad tugiteenuse vaatepunktist välja nagu katkine tunnel ja mõlemad on konfiguratsioon, mitte ühenduvus.
Domeeni väli ei ole kataloog
NetExtender küsib domeeni ja see väli ei ole Active Directory otsingualus. Vaikekorralduses peab väli võrduma selle SSL VPN kasutajadomeeniga, mille tulemüür on konfigureerinud, ja selle väärtuse dokumenteeritud vaikeväärtus on LocalDomain. Võrdlus eristab suur- ja väiketähti, seega teise tähesuurusega sisestatud väärtus ebaõnnestub ka siis, kui konto on õige.
Kui autentimise partitsioneerimine on konfigureeritud, valivad partitsiooninimed hoopis välise autentimiskonteksti ja konfigureeritud vaikeväärtus säilitab oma rolli. Mõlemas korralduses ei edastata kliendipoolset domeenisilti LDAP-ile ega RADIUS-ele kasutajanime osana, seega ei saa seda kataloogiotsingu juhtimiseks kasutada.
Hoidke kolm stringi märkmetes eraldi: ettevõtte DNS-järelliide, LDAP otsingualus ja NetExtenderi domeenisilt. Need näevad sarnased välja ja ükski ei asenda teist. Kopeerige selle paigalduse operaatori väärtus, mitte mõne teise püsivara versiooni foorumipostituse väärtus.
Lubamine ja ressursile juurdepääs on eraldi õigused
Kohalikud kontod vajavad SSL VPN teenuse grupi liikmelisust enne, kui teenus need vastu võtab. Kataloogikontod jõuavad samasse gruppi toetatud grupikaardistamise töövoo kaudu, mis tähendab, et LDAP-i grupisuhe tuleb konfigureerida ja seejärel kontrollida tegeliku liikmelisusena, mitte eeldada seda kataloogi poolelt.
Ressursile juurdepääs tuleb järgmisena, kasutaja või grupi VPN Accessi all. Andke konkreetsed alamvõrgud ja teenused, mida roll vajab, ja vastustage lühiteed kogu LAN-i andmiseks, sest üht rakendust on vaja. Sessiooni marsruudid, juurdepääsureeglid ja sihtteenuse õigused peavad kõik selle ulatusega kooskõlas olema.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Marsruut kliendis muudab sihtkoha valitavaks ega anna sellele õigust. Liikmelisus SSL VPN grupist ei tee kontost ka tulemüüri administraatorit ja seda ei tohiks käsitleda üldise õiguste andmisena.
Kaks identiteeti, kummagi jaoks neli kontrolli
Testige ühe kohaliku konto ja ühe kataloogikontoga, mõlemad kitsalt volitatud ja mõlemad testkontodena dokumenteeritud. Registreerige igaühe puhul autentimisallikas, mis sisselogimise vastu võttis, kehtivad grupid, määratud ressursijuurdepääs ja üks lubatud rakendustehing. Neli kontrolli, kaks hoidlat ja kirjalik tulemus iga kombinatsiooni kohta.
Seejärel testige negatiivseid juhtumeid: ressurss, kuhu konto ei tohiks pääseda, ja konto, mis tuleks kohe tagasi lükata. Kujundus, mis tõestab ainult positiivset teed, kipub jätma teise sissepääsu lahtiseks, eriti kui sama lühike kasutajanimi on mõlemas hoidlas. Keelake kataloogikonto ja kinnitage, et kohalik ei jätka vaikselt töötamist.
Vaadake duplikaatnimed üle kasutuselevõtu osana, mitte pärast juhtumit. Sama isik kahes hoidlas on korraga nii toe mugavus kui ka auditi probleem, ja tulemüür autendib meeleldi selle, mille te konfigureerisite.
Hoidke taastetee kitsas
Säilitage MFA poliitika iga kontoklassi jaoks, selle asemel et kohalikke kontosid sellest vabastada. Kui kohalikud kontod pakuvad kataloogi katkestuse jaoks kinnitatud taastetee, piirake see tee nimeliselt nimetatud administraatoritega ja käitage seda teadlikult, sest kohalik hädaabikonto iga töötaja jaoks on teine autentimissüsteem nõrgema järelevalvega.
Kirjutage kliendi domeen, autentimisallikas ja tegelik juurdepääs samasse kirjesse. Järgmine administraator saab siis korrata toimivat segakontode kujundust, selle asemel et proovida domeenistringe, kuni sisselogimine õnnestub.