NetExtender saioa hasten da baina ez dago sarbiderik: SonicWall lokala + LDAP
NetExtender konektatzen da baina ezerk ez du erantzuten: bereizi SonicWall autentifikazioa, SSL VPN zerbitzuko kidegoa eta VPN sarbide-baimenak erabiltzaile lokalei eta LDAP erabiltzaileei.
Saioa ongi hasten da, tunela altxatzen da, eta suebakiaren atzeko ezerk ez du erantzuten. SonicWall SSL VPN batean eredu horrek esan nahi du kontuak autentifikazioa gainditu duela eta geroagoko bi baimenetako batean gelditu dela: SSL VPN zerbitzurako onarpena edo baliabide batera iristeko baimena. Kontu lokal eta LDAP mistoek areagotu egiten dute, bi biltegiek baimen horietara bide ezberdinetatik iristen direlako. Sintoma berbera da bezeroaren ikuspegitik, eta horregatik geruzak nahita bereizi behar dira.
Sintoma eta haren atzeko hiru baimenak
Hiru erabaki independente daude erabiltzaile-izen baten eta zerbitzari eskuragarri baten artean. Autentifikazio-metodoak erabakitzen du kredentziala onartzen den eta zein biltegik onartzen duen. SSL VPN zerbitzuko kidegoak erabakitzen du identitate horrek SSL VPN erabil dezakeen ala ez. VPN sarbide-zerrendak erabakitzen du saioak zein helburu pribatutara irits daitekeen. Bat gainditzeak ez du ezer esaten hurrengo biei buruz.
Autentifikatzen den baina SSL VPN zerbitzu-taldean ez dagoen erabiltzaileak ezartzen den eta gero ezer eramaten ez duen konexio bat ikusten du, eta suebakiko erregistroak onartutako saio-hasiera erakusten du huts egitearen ordez. Hori da azkar ezagutzea merezi duen kasua, konponbidea talde-kidegoa delako eta ez pasahitzaren berrezarpena.
Onartua baina baliabiderik ez duen erabiltzaileak konektatzen den eta inora erabilgarririk bideratzen ez duen saio bat ikusten du. Biek tunel hautsi baten itxura dute laguntza-mahaitik, eta biak konfigurazioa dira, ez konektibitatea.
Domeinu-eremua ez da direktorioa
NetExtenderrek domeinu bat eskatzen du, eta eremu hori ez da Active Directoryrako bilaketa-oinarria. Lehenetsitako antolamenduan eremuak suebakiak konfiguratuta duen SSL VPN erabiltzaile-domeinuaren berdina izan behar du, eta horretarako dokumentatutako lehenetsitako balioa da LocalDomain. Konparazioak maiuskulak eta minuskulak bereizten ditu, beraz beste larritasun batekin idatzitako balio batek huts egiten du kontua zuzena bada ere.
Autentifikazio-partizioa konfiguratuta dagoenean, partizio-izenek kanpoko autentifikazio-testuingurua hautatzen dute, eta konfiguratutako lehenetsitako balioak bere rola mantentzen du. Bi antolamenduetako batean ere, bezeroaren domeinu-etiketa ez da LDAP edo RADIUS-era bidaltzen erabiltzaile-izenaren zati gisa, beraz ezin da direktorio-bilaketa gidatzeko erabili.
Eduki hiru kateak bereizita zure oharretan: enpresaren DNS atzizkia, LDAP bilaketa-oinarria eta NetExtender domeinu-etiketa. Antzekoak dira eta batek ere ez du beste bat ordezkatzen. Kopiatu operadorearen balioa instalazio honetarako, eta ez firmware bertsio ezberdin bati buruzko foro-mezu bateko balioa.
Onarpena eta baliabide-sarbidea baimen bereiziak dira
Kontu lokalek SSL VPN zerbitzu-taldeko kidegoa behar dute zerbitzuak onar ditzan. Direktorio-kontuak talde berberera iristen dira onartutako talde-mapatze lan-fluxuaren bidez, hau da, LDAP talde-erlazioa konfiguratu eta gero kidego eraginkor gisa egiaztatu behar da, direktorioaren aldetik suposatu beharrean.
Baliabide-sarbidea geroago dator, erabiltzailean edo taldean VPN sarbidearen pean. Eman rolek behar dituen azpisare eta zerbitzu zehatzak, eta erresistitu ezazu LAN osoa emateko bide laburrari, aplikazio bat behar delako. Saioko bideak, sarbide-arauak eta helmugako zerbitzuaren baimenak bat etorri behar dute esparru horrekin.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Bezeroan dagoen bide batek helmuga hautagarri egiten du eta ez du baimenduak uzten. SSL VPN taldeko kidegoak ez du kontua suebakiko administratzaile bihurtzen, eta ez litzateke pribilegio-emate orokor gisa tratatu behar.
Bi identitate, launa egiaztapen
Probatu kontu lokal batekin eta direktorio-kontu batekin, biak estuki baimenduta eta biak proba-kontu gisa dokumentatuta. Bakoitzerako, erregistratu saio-hasiera onartu zuen autentifikazio-iturria, talde eraginkorrak, esleitutako baliabide-sarbidea eta baimendutako aplikazio-eragiketa bat. Lau egiaztapen, bi biltegi eta idatzizko emaitza konbinazio bakoitzeko.
Gero probatu kasu negatiboak: kontuak iritsi behar ez duen baliabide bat eta erabat baztertu behar den kontu bat. Bide positiboa soilik frogatzen duen diseinuak bigarren sarrera bat irekita uzteko joera du, batez ere erabiltzaile-izen labur bera bi biltegietan dagoenean. Desgaitu direktorio-kontua eta egiaztatu lokalak ez duela isilpean lanean jarraitzen.
Berrikusi izen bikoiztuak inplementazioaren parte gisa, ez gertakari baten ondoren. Pertsona bera bi biltegietan laguntza-erraztasuna eta auditoria-arazoa da aldi berean, eta suebakiak konfiguratu duzun hori autentifikatuko du atseginez.
Eduki berreskuratze-bidea estua
Mantendu MFA politika kontu-klase bakoitzerako, kontu lokalak hartatik salbuetsi beharrean. Kontu lokalek direktorioaren etenaldi baterako berreskuratze-bide onartua eskaintzen badute, mugatu bide hori izendatutako administratzaileetara eta erabili nahita, langile bakoitzeko larrialdi-kontu lokal bat gainbegiratze ahulagoa duen bigarren autentifikazio-sistema delako.
Idatzi bezeroaren domeinua, autentifikazio-iturria eta sarbide eraginkorra erregistro berean. Hurrengo administratzaileak funtzionatzen duen kontu mistoen diseinua erreproduzitu ahal izango du, domeinu-kateak probatu beharrean saio-hasiera lortu arte.