NetExtender kirjautuu sisään, mutta pääsyä ei ole: SonicWall paikallinen + LDAP
NetExtender yhdistää, mutta mikään ei vastaa: erottele SonicWall-todennus, SSL VPN -palvelun jäsenyys ja VPN-käyttöoikeudet paikallisille ja LDAP-käyttäjille.
Kirjautuminen onnistuu, tunneli nousee eikä mikään palomuurin takana vastaa. Tämä kuvio SonicWallissa SSL VPN tarkoittaa yleensä, että tili on läpäissyt todennuksen ja pysähtynyt toiseen kahdesta myöhemmästä oikeudesta: pääsy SSL VPN -palveluun tai oikeus tavoittaa resurssi. Sekalaiset paikalliset ja LDAP-tilit pahentavat tilannetta, koska kaksi tietovarastoa saavuttavat nämä oikeudet eri polkuja pitkin. Oire on asiakkaan kannalta sama, ja siksi kerrokset on erotettava tarkoituksella.
Oire ja sen takana olevat kolme oikeutta
Käyttäjänimen ja tavoitettavan palvelimen välissä on kolme itsenäistä päätöstä. Todennusmenetelmä päättää, hyväksytäänkö tunnistetiedot ja mikä tietovarasto ne hyväksyy. SSL VPN -palvelun jäsenyys päättää, saako kyseinen identiteetti käyttää SSL VPN:ää lainkaan. VPN-käyttöluettelo päättää, mitkä yksityiset kohteet istunto saa tavoittaa. Yhden läpäiseminen ei kerro mitään kahdesta seuraavasta.
Käyttäjä, joka todennetaan mutta ei kuulu SSL VPN -palvelun ryhmään, näkee yhteyden, joka muodostuu ja kuljettaa sitten ei mitään, ja palomuurin loki näyttää hyväksytyn kirjautumisen epäonnistumisen sijaan. Tämä on tapaus, joka kannattaa tunnistaa nopeasti, koska korjaus on ryhmäjäsenyys eikä salasanan nollaus.
Käyttäjä, joka päästetään sisään mutta jolla ei ole resursseja, näkee istunnon, joka yhdistää eikä reititä mihinkään hyödylliseen. Molemmat näyttävät tukipalvelun näkökulmasta rikkinäiseltä tunnelilta, ja molemmat ovat konfiguraatiota eivätkä yhteyttä.
Verkkotunnuskenttä ei ole hakemisto
NetExtender kysyy verkkotunnusta, eikä tämä kenttä ole Active Directoryn hakukanta. Oletusjärjestelyssä kentän on vastattava sitä SSL VPN -käyttäjäverkkotunnusta, jonka palomuuri on määrittänyt, ja sen dokumentoitu oletusarvo on LocalDomain. Vertailu erottaa isot ja pienet kirjaimet, joten eri kirjainkoolla kirjoitettu arvo epäonnistuu, vaikka tili olisi oikein.
Kun todennuksen osiointi on määritetty, osioiden nimet valitsevat ulkoisen todennuskontekstin, ja määritetty oletus säilyttää oman roolinsa. Kummassakin järjestelyssä asiakkaan verkkotunnustunnistetta ei välitetä LDAPiin tai RADIUSiin käyttäjänimen osana, joten sitä ei voi käyttää hakemistohaun ohjaamiseen.
Pidä kolme merkkijonoa erillään muistiinpanoissasi: yrityksen DNS-liite, LDAP-hakukanta ja NetExtenderin verkkotunnustunniste. Ne näyttävät samanlaisilta eikä mikään korvaa toista. Kopioi käyttäjän arvo tähän asennukseen sen sijaan, että ottaisit arvon foorumiviestistä, joka koskee toista laiteohjelmistoversiota.
Sisäänpääsy ja resurssikäyttö ovat erillisiä oikeuksia
Paikalliset tilit tarvitsevat SSL VPN -palvelun ryhmän jäsenyyden ennen kuin palvelu hyväksyy ne. Hakemistotilit saavuttavat saman ryhmän tuetun ryhmämäärityksen työnkulun kautta, mikä tarkoittaa, että LDAP-ryhmäsuhde on määritettävä ja sitten vahvistettava tehokkaaksi jäsenyydeksi sen sijaan, että se oletettaisiin hakemiston puolelta.
Resurssikäyttö tulee seuraavaksi käyttäjän tai ryhmän VPN-käytön alle. Myönnä ne aliverkot ja palvelut, joita rooli tarvitsee, ja vastusta oikotietä myöntää koko LAN, koska yksi sovellus tarvitaan. Istunnon reitit, käyttösäännöt ja kohdepalvelun käyttöoikeudet on kaikkien vastattava tätä laajuutta.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Asiakkaan reitti tekee kohteesta valittavan eikä valtuuta sitä. Jäsenyys SSL VPN -ryhmässä ei tee tilistä palomuurin ylläpitäjää, eikä sitä pidä käsitellä yleisenä käyttöoikeuksien myöntämisenä.
Kaksi identiteettiä, neljä tarkistusta kummallekin
Testaa yhdellä paikallisella tilillä ja yhdellä hakemistotilillä, molemmat tiukasti valtuutettuja ja molemmat testitileiksi dokumentoituja. Kirjaa kummastakin kirjautumisen hyväksynyt todennuslähde, tehokkaat ryhmät, määritetty resurssikäyttö ja yksi sallittu sovellustoiminto. Neljä tarkistusta, kaksi tietovarastoa ja kirjallinen tulos jokaisesta yhdistelmästä.
Testaa sitten kielteiset tapaukset: resurssi, johon tili ei saa päästä, ja tili, joka pitäisi hylätä suoraan. Suunnittelu, joka todistaa vain positiivisen polun, jättää helposti toisen sisäänkäynnin auki, varsinkin kun sama lyhyt käyttäjänimi on molemmissa tietovarastoissa. Poista hakemistotili käytöstä ja vahvista, ettei paikallinen jatka hiljaa toimintaansa.
Käy läpi päällekkäiset nimet käyttöönoton osana eikä vasta tapauksen jälkeen. Sama henkilö kahdessa tietovarastossa on samalla sekä tuen mukavuus että auditoinnin ongelma, ja palomuuri todentaa mielellään sen, jonka määritit.
Pidä palautumispolku kapeana
Säilytä MFA-käytäntö jokaiselle tililuokalle sen sijaan, että vapauttaisit paikalliset tilit siitä. Jos paikalliset tilit tarjoavat hyväksytyn palautumispolun hakemistokatkokseen, rajaa tämä polku nimetyille ylläpitäjille ja käytä sitä harkiten, koska paikallinen hätätili jokaiselle työntekijälle on toinen todennusjärjestelmä, jossa valvonta on heikompaa.
Kirjoita asiakkaan verkkotunnus, todennuslähde ja tehokas käyttöoikeus samaan tietueeseen. Seuraava ylläpitäjä voi silloin toistaa toimivan sekalaisten tilien mallin sen sijaan, että kokeilisi verkkotunnusmerkkijonoja, kunnes kirjautuminen onnistuu.