NetExtender se prijavljuje, ali nema pristupa: SonicWall lokalni + LDAP

Prijava uspije, tunel se podigne i ništa iza firewall-a ne odgovara. Taj obrazac na SonicWall-u SSL VPN obično znači da je račun prošao autentifikaciju i zaustavio se na jednoj od dvije kasnije dozvole: prijemu u SSL VPN servis ili dozvoli da se dosegne resurs. Miješani lokalni i LDAP računi pogoršavaju situaciju, jer dva skladišta dolaze do tih dozvola različitim putevima. Simptom je identičan sa strane klijenta, zato se slojevi moraju namjerno razdvojiti.

Simptom i tri dozvole iza njega

Tri nezavisne odluke stoje između korisničkog imena i dostupnog servera. Metoda autentifikacije odlučuje da li se akreditive prihvataju i koje skladište ih prihvata. Članstvo u SSL VPN servisu odlučuje da li ta identitet uopće smije koristiti SSL VPN. Lista VPN pristupa odlučuje koje privatne destinacije sesija smije dosegnuti. Prolazak jedne ne govori ništa o sljedeće dvije.

Korisnik koji se autentificira, ali nije u grupi SSL VPN servisa, vidi vezu koja se uspostavi i zatim ne nosi ništa, a firewall log prikazuje prihvaćenu prijavu umjesto greške. To je slučaj koji vrijedi brzo prepoznati, jer je rješenje članstvo u grupi, a ne poništavanje lozinke.

Korisnik koji je prihvaćen, ali nema resursa, vidi sesiju koja se povezuje i nigdje korisno ne usmjerava. Oba izgledaju kao pokvaren tunel sa strane podrške, i oba su konfiguracija, a ne povezanost.

Polje domena nije direktorij

NetExtender traži domen, a to polje nije osnova pretrage za Active Directory. U zadanom rasporedu polje mora biti jednako domenu SSL VPN korisnika koji je firewall konfigurirao, a dokumentirana zadana vrijednost je LocalDomain. Poređenje razlikuje velika i mala slova, pa vrijednost unesena s drugim velikim slovima ne uspijeva čak i kada je račun ispravan.

Kada je konfigurirano particioniranje autentifikacije, nazivi particija odabiru vanjski kontekst autentifikacije, a konfigurirana zadana vrijednost zadržava svoju ulogu. U oba rasporeda oznaka domena na strani klijenta ne prosljeđuje se LDAP-u ni RADIUS-u kao dio korisničkog imena, pa ne može usmjeravati pretragu direktorija.

Držite tri niza odvojeno u svojim bilješkama: DNS sufiks kompanije, osnovu pretrage LDAP i oznaku domena NetExtender. Izgledaju slično i nijedan ne zamjenjuje drugi. Kopirajte vrijednost operatera za ovu instalaciju, a ne vrijednost iz forumske objave o drugoj verziji firmware-a.

Prijem i pristup resursima su odvojene dozvole

Lokalni računi trebaju članstvo u grupi SSL VPN servisa prije nego što ih servis prihvati. Računi iz direktorija dosežu istu grupu kroz podržani tok mapiranja grupa, što znači da se odnos LDAP grupe mora konfigurirati i zatim provjeriti kao stvarno članstvo umjesto pretpostavljeno sa strane direktorija.

Pristup resursima dolazi zatim, pod VPN pristupom na korisniku ili grupi. Dodijelite konkretne podmreže i servise koje uloga treba, i oduprite se prečici da se dodijeli cijeli LAN zato što je potrebna jedna aplikacija. Rute sesije, pravila pristupa i dozvole ciljnog servisa moraju se sve slagati s tim obimom.

Ruta na klijentu čini destinaciju odabirljivom i ne autorizira je. Članstvo u SSL VPN grupi ne čini račun firewall administratorom, i ne treba ga tretirati kao opće dodjeljivanje privilegija.

Dva identiteta, po četiri provjere

Testirajte s jednim lokalnim računom i jednim računom iz direktorija, oba usko autorizirana i oba dokumentirana kao testni računi. Za svaki zabilježite izvor autentifikacije koji je prihvatio prijavu, efektivne grupe, dodijeljeni pristup resursima i jednu dozvoljenu operaciju aplikacije. Četiri provjere, dva skladišta i pisani rezultat za svaku kombinaciju.

Zatim testirajte negativne slučajeve: resurs koji račun ne treba dosegnuti, i račun koji treba odmah odbiti. Dizajn koji dokazuje samo pozitivan put često ostavlja drugi ulaz otvorenim, posebno kada isto kratko korisničko ime postoji u oba skladišta. Onemogućite račun iz direktorija i potvrdite da lokalni ne nastavlja tiho raditi.

Pregledajte duplicirana imena kao dio uvođenja, a ne nakon incidenta. Ista osoba u dva skladišta je istovremeno pogodnost za podršku i problem za reviziju, a firewall će rado autentificirati onaj koji ste konfigurirali.

Držite put oporavka uskim

Sačuvajte MFA politiku za svaku klasu računa umjesto da lokalne račune izuzmete iz nje. Ako lokalni računi pružaju odobreni put oporavka za ispad direktorija, ograničite taj put na imenovane administratore i vodite ga namjerno, jer lokalni hitni račun za svakog zaposlenika je drugi sistem autentifikacije sa slabijim nadzorom.

Upišite domen klijenta, izvor autentifikacije i efektivni pristup u isti zapis. Sljedeći administrator može zatim reproducirati funkcionalan dizajn miješanih računa umjesto da isprobava nizove domena dok prijava ne uspije.