NetExtender מתחבר אך אין גישה: SonicWall מקומי + LDAP
NetExtender מתחבר אבל שום דבר לא עונה: הפרידו בין אימות SonicWall, חברות בשירות SSL VPN והרשאות גישה ל-VPN עבור משתמשים מקומיים ומשתמשי LDAP.
ההתחברות מצליחה, המנהרה עולה, ושום דבר מאחורי חומת האש לא עונה. התבנית הזו ב-SonicWall SSL VPN בדרך כלל אומרת שהחשבון עבר אימות ונעצר באחת משתי ההרשאות המאוחרות: קבלה לשירות SSL VPN, או הרשאה להגיע למשאב. חשבונות מקומיים וחשבונות LDAP מעורבים מחמירים את המצב, כי שני המאגרים מגיעים להרשאות האלה בדרכים שונות. התסמין זהה מצד הלקוח, ולכן יש להפריד את השכבות במכוון.
התסמין ושלוש ההרשאות שמאחוריו
שלוש החלטות בלתי תלויות עומדות בין שם משתמש לשרת נגיש. שיטת האימות קובעת אם פרטי הכניסה מתקבלים ועל ידי איזה מאגר. החברות בשירות SSL VPN קובעת אם הזהות הזו רשאית להשתמש ב-SSL VPN בכלל. רשימת הגישה ל-VPN קובעת לאילו יעדים פרטיים הסשן רשאי להגיע. מעבר של אחת לא אומר דבר על השתיים הבאות.
משתמש שמאומת אך אינו בקבוצת שירות ה-SSL VPN רואה חיבור שנוצר ואז לא נושא דבר, ויומן חומת האש מציג התחברות שהתקבלה ולא כשל. זה המקרה שכדאי לזהות במהירות, כי הפתרון הוא חברות בקבוצה ולא איפוס סיסמה.
משתמש שמתקבל אך אין לו משאבים רואה סשן שמתחבר ולא מנתב לשום מקום שימושי. שניהם נראים כמו מנהרה שבורה מנקודת המבט של התמיכה, ושניהם תצורה ולא קישוריות.
שדה הדומיין אינו המדריך
NetExtender מבקש דומיין, והשדה הזה אינו בסיס חיפוש של Active Directory. בהסדר ברירת המחדל השדה חייב להיות שווה לדומיין המשתמש של SSL VPN שהוגדר בחומת האש, וערך ברירת המחדל המתועד עבורו הוא LocalDomain. ההשוואה מבחינה בין אותיות גדולות לקטנות, ולכן ערך שהוקלד באותיות שונות נכשל גם כשהחשבון נכון.
כאשר מוגדרת חלוקת אימות, שמות החלוקות בוחרים את הקשר האימות החיצוני, וערך ברירת המחדל המוגדר שומר על תפקידו שלו. בשני ההסדרים תווית הדומיין בצד הלקוח אינה מועברת ל-LDAP או ל-RADIUS כחלק משם המשתמש, ולכן אינה יכולה להכוין חיפוש במדריך.
החזיקו את שלושת המחרוזות בנפרד בהערות: סיומת ה-DNS של החברה, בסיס החיפוש של LDAP ותווית הדומיין של NetExtender. הן נראות דומות ואף אחת אינה מחליפה את האחרת. העתיקו את הערך של המפעיל עבור ההתקנה הזו ולא ערך מהודעת פורום על גרסת קושחה אחרת.
קבלה וגישה למשאבים הן הרשאות נפרדות
חשבונות מקומיים זקוקים לחברות בקבוצת שירות ה-SSL VPN לפני שהשירות יקבל אותם. חשבונות מדריך מגיעים לאותה קבוצה דרך זרימת מיפוי הקבוצות הנתמכת, כלומר יש להגדיר את יחסי קבוצת ה-LDAP ואז לאמת אותם כחברות אפקטיבית ולא להניח אותם מצד המדריך.
הגישה למשאבים מגיעה לאחר מכן, תחת גישה ל-VPN במשתמש או בקבוצה. תנו את תת-הרשתות והשירותים הספציפיים שהתפקיד צריך, והתנגדו לקיצור דרך של מתן כל ה-LAN מפני שנדרשת אפליקציה אחת. המסלולים של הסשן, כללי הגישה והרשאות שירות היעד חייבים כולם להתאים להיקף הזה.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
מסלול בלקוח הופך יעד לבחיר ואינו מאשר אותו. חברות בקבוצת SSL VPN גם אינה הופכת את החשבון למנהל חומת אש, ואין להתייחס אליה כמתן הרשאות כללי.
שתי זהויות, ארבע בדיקות לכל אחת
בדקו עם חשבון מקומי אחד וחשבון מדריך אחד, שניהם מורשים בצמצום ושניהם מתועדים כחשבונות בדיקה. לכל אחד, תעדו את מקור האימות שקיבל את ההתחברות, את הקבוצות האפקטיביות, את הגישה למשאבים שהוקצתה ואת פעולת אפליקציה אחת מותרת. ארבע בדיקות, שני מאגרים ותוצאה כתובה לכל צירוף.
לאחר מכן בדקו את המקרים השליליים: משאב שהחשבון לא אמור להגיע אליו, וחשבון שאמור להידחות מיד. עיצוב שמוכיח רק את המסלול החיובי נוטה להשאיר כניסה שנייה פתוחה, במיוחד כשאותו שם משתמש קצר קיים בשני המאגרים. השביתו את חשבון המדריך וודאו שהמקומי לא ממשיך לעבוד בשקט.
סקרו שמות כפולים כחלק מהפריסה ולא אחרי תקרית. אותו אדם בשני מאגרים הוא גם נוחות תמיכה וגם בעיית ביקורת בו-זמנית, וחומת האש תאמת בשמחה את זה שהגדרתם.
השאירו את נתיב השחזור צר
שמרו על מדיניות MFA לכל סוג חשבון במקום לפטור ממנה חשבונות מקומיים. אם חשבונות מקומיים מספקים נתיב שחזור מאושר לתקלת מדריך, הגבילו את הנתיב הזה למנהלים בשם והפעילו אותו במכוון, כי חשבון חירום מקומי לכל עובד הוא מערכת אימות שנייה עם פיקוח חלש יותר.
כתבו את דומיין הלקוח, מקור האימות והגישה האפקטיבית באותו רשומה. המנהל הבא יוכל אז לשחזר עיצוב חשבונות מעורב שעובד במקום לנסות מחרוזות דומיין עד שהתחברות תצליח.