NetExtender ag logáil isteach ach gan rochtain: SonicWall áitiúil + LDAP

Éiríonn leis an logáil isteach, tagann an tollán aníos, agus ní fhreagraíonn aon rud taobh thiar den bhalla dóiteáin. Léiríonn an patrún sin ar SonicWall SSL VPN go n-éirigh leis an gcuntas an fíordheimhniú a rith agus gur stop sé ag ceann de dhá chead níos déanaí: ligean isteach chuig seirbhís SSL VPN, nó cead chun acmhainn a shroicheadh. Déanann cuntais áitiúla agus LDAP measctha níos measa é, mar shroicheann an dá stór na ceadanna sin ar chonairí éagsúla. Tá an tsiomptóm mar an gcéanna ón gcliant, agus is é sin an fáth a gcaithfear na sraitheanna a dheighilt go toiliúil.

An tsiomptóm agus na trí chead atá taobh thiar de

Tá trí chinneadh neamhspleácha idir ainm úsáideora agus freastalaí inrochtana. Cinneann an modh fíordheimhnithe an nglactar leis an teastas agus cén stór a ghlacann. Cinneann ballraíocht sheirbhís SSL VPN an féidir leis an aitheantas sin SSL VPN a úsáid ar chor ar bith. Cinneann liosta Rochtana VPN cé na cinn scríbe príobháideacha ar féidir leis an seisiún a shroicheadh. Ní deir pasáil ceann amháin aon rud faoin dá cheann eile.

Feiceann úsáideoir a fhíordheimhnítear ach nach bhfuil i ngrúpa sheirbhís SSL VPN nasc a bhunaítear agus a iompraíonn faic ina dhiaidh sin, agus taispeánann loga an bhalla dóiteáin logáil isteach a nglactar leis seachas teip. Sin an cás ar fiú é a aithint go tapa, mar is ballraíocht ghrúpa an réiteach, ní athshocrú focal faire.

Feiceann úsáideoir a ligeann isteach ach nach bhfuil acmhainní aige seisiún a nascann agus nach ndéanann ródú áit ar bith úsáideach. Breathnaíonn an dá cheann mar thollán briste ón deasc chabhrach, agus is cumraíocht iad araon seachas nascacht.

Ní hé an bosca fearainn an t-eolaire

Iarrann NetExtender fearann, agus ní bunachar cuardaigh é an réimse sin do Active Directory. Sa ghnáthshocrú caithfidh an réimse a bheith cothrom leis an bhfearann úsáideora SSL VPN atá cumraithe ar an mballa dóiteáin, agus is é an luach réamhshocraithe doiciméadaithe dó LocalDomain. Tá an chomparáid íogair do chás, mar sin teipeann ar luach a clóscríobhadh le cás difriúil fiú nuair atá an cuntas ceart.

Nuair atá deighilt fíordheimhnithe cumraithe, roghnaíonn ainmneacha na ndeighleog an comhthéacs fíordheimhnithe sheachtraigh ina ionad, agus coinníonn an réamhshocrú cumraithe a ról féin. Sa dá shocrú ní chuirtear lipéad fearainn an chliaint ar aghaidh chuig LDAP ná RADIUS mar chuid den ainm úsáideora, mar sin ní féidir é a úsáid chun cuardach eolaire a stiúradh.

Coinnigh na trí shreang ar leith i do nótaí: iarmhír DNS na cuideachta, bunachar cuardaigh LDAP agus lipéad fearainn NetExtender. Tá siad cosúil lena chéile agus ní thagann aon cheann in ionad ceann eile. Cóipeáil luach an oibreora don suiteáil seo seachas luach ó phost fóraim faoi eisiúint firmware eile.

Is ceadanna ar leith iad ligean isteach agus rochtain ar acmhainní

Teastaíonn ballraíocht i ngrúpa sheirbhís SSL VPN ó chuntais áitiúla sula nglacfaidh an tseirbhís leo. Sroicheann cuntais eolairí an grúpa céanna tríd an sreabhadh oibre mapála grúpa a dtacaítear leis, rud a chiallaíonn go gcaithfear an gaol grúpa LDAP a chumrú agus ansin é a fhíorú mar bhallraíocht éifeachtach seachas a ghlacadh leis ó thaobh an eolairí de.

Tagann rochtain ar acmhainní ina dhiaidh sin, faoi Rochtain VPN ar an úsáideoir nó ar an ngrúpa. Deonaigh na foshruthanna agus na seirbhísí sonracha a theastaíonn ón ról, agus seas in aghaidh an aicearra an LAN iomlán a dheonú mar gheall go dteastaíonn feidhmchlár amháin. Caithfidh bealaí an tseisiúin, na rialacha rochtana agus ceadanna sheirbhís an chinn scríbe teacht go léir leis an scóip sin.

Déanann bealach ar an gcliant ceann scríbe inroghnaithe agus ní údaraíonn sé é. Ní dhéanann ballraíocht i ngrúpa SSL VPN an cuntas ina riarthóir balla dóiteáin ach an oiread, agus níor cheart í a láimhseáil mar dheonú pribhléide ginearálta.

Dhá aitheantas, ceithre sheiceáil an ceann

Tástáil le cuntas áitiúil amháin agus cuntas eolairí amháin, an dá cheann údaraithe go cúng agus an dá cheann doiciméadaithe mar chuntais tástála. Do gach ceann, taifead an fhoinse fíordheimhnithe a ghlac leis an logáil isteach, na grúpaí éifeachtacha, an rochtain acmhainní a samadh agus oibríocht feidhmchláir amháin a cheadaítear. Ceithre sheiceáil, dhá stór agus toradh scríofa do gach teaglaim.

Ansin tástáil na cásanna diúltacha: acmhainn nár cheart don chuntas a shroicheadh, agus cuntas ar cheart diúltú go hiomlán dó. Bíonn claonadh ag dearadh nach gcruthaíonn ach an chonair dhearfach an dara bealach isteach a fhágáil oscailte, go háirithe nuair a bhíonn an gearrainm úsáideora céanna sa dá stór. Díchumasaigh an cuntas eolairí agus deimhnigh nach leanann an ceann áitiúil ag obair go ciúin.

Déan athbhreithniú ar ainmneacha dúblacha mar chuid den rolladh amach seachas tar éis eachtra. Is áisiúlacht tacaíochta agus fadhb iniúchta ag an am céanna an duine céanna i dhá stór, agus déanfaidh an balla dóiteáin fíordheimhniú go sásta ar an gceann a chumraigh tú.

Coinnigh an chonair athshlánaithe caol

Caomhnaigh an beartas MFA do gach aicme cuntais seachas cuntais áitiúla a dhíolmhú uaidh. Má sholáthraíonn cuntais áitiúla conair athshlánaithe cheadaithe do theip eolairí, teorannaigh an chonair sin do riarthóirí ainmnithe agus oibrigh í go toiliúil, mar is córas fíordheimhnithe eile é cuntas éigeandála áitiúil do gach fostaí a bhfuil maoirseacht níos laige aige.

Scríobh fearann an chliaint, an fhoinse fíordheimhnithe agus an rochtain éifeachtach sa taifead céanna. Is féidir leis an gcéad riarthóir eile dearadh cuntas measctha oibre a atáirgeadh ansin seachas dul trí shreanga fearainn go n-éiríonn le logáil isteach.