A NetExtender bejelentkezik, de nincs hozzáférés: SonicWall helyi + LDAP

A bejelentkezés sikerül, az alagút felépül, és semmi nem válaszol a tűzfal mögött. Ez a minta egy SonicWall SSL VPN esetén általában azt jelenti, hogy a fiók átment a hitelesítésen, és a két későbbi engedély valamelyikénél megállt: az SSL VPN-szolgáltatásba való belépésnél vagy egy erőforrás elérésének engedélyénél. A vegyes helyi és LDAP-fiókok rontják a helyzetet, mert a két tároló különböző útvonalakon éri el ezeket az engedélyeket. A tünet a kliens felől azonos, ezért a rétegeket szándékosan szét kell választani.

A tünet és a mögötte álló három engedély

Három független döntés áll egy felhasználónév és egy elérhető kiszolgáló között. A hitelesítési módszer dönti el, hogy elfogadják-e a hitelesítő adatot, és melyik tároló fogadja el. Az SSL VPN-szolgáltatás tagsága dönti el, hogy ez az identitás egyáltalán használhatja-e az SSL VPN-t. A VPN-hozzáférési lista dönti el, hogy a munkamenet mely privát célpontokat érheti el. Egynek a teljesítése semmit nem mond a következő kettőről.

Az a felhasználó, aki hitelesíti magát, de nincs benne az SSL VPN-szolgáltatás csoportjában, olyan kapcsolatot lát, amely felépül, majd nem szállít semmit, és a tűzfal naplója elfogadott bejelentkezést mutat hiba helyett. Ezt az esetet érdemes gyorsan felismerni, mert a megoldás egy csoporttagság, nem pedig jelszó-visszaállítás.

Az a felhasználó, akit beengednek, de nincs erőforrása, olyan munkamenetet lát, amely csatlakozik, és nem irányít sehová hasznos helyre. Mindkettő törött alagútnak tűnik az ügyfélszolgálat felől, és mindkettő konfiguráció, nem pedig kapcsolódás.

A tartomány mező nem a címtár

A NetExtender tartományt kér, és ez a mező nem az Active Directory keresési alapja. Az alapértelmezett elrendezésben a mezőnek meg kell egyeznie azzal az SSL VPN-felhasználói tartománnyal, amelyet a tűzfal beállított, és a dokumentált alapértelmezett érték ehhez LocalDomain. Az összehasonlítás megkülönbözteti a kis- és nagybetűket, ezért a más betűmérettel beírt érték akkor is sikertelen, ha a fiók helyes.

Ha a hitelesítési particionálás be van állítva, a partíciónevek választják ki a külső hitelesítési környezetet, és a beállított alapértelmezés megtartja a saját szerepét. Mindkét elrendezésben az ügyféloldali tartománycímke nem kerül továbbításra az LDAP vagy a RADIUS felé a felhasználónév részeként, ezért nem használható címtárkeresés irányítására.

Tartsa külön a három karakterláncot a jegyzeteiben: a vállalat DNS-utótagját, az LDAP keresési alapját és a NetExtender tartománycímkéjét. Hasonlónak tűnnek, és egyik sem helyettesíti a másikat. Az üzemeltető értékét másolja ehhez a telepítéshez, ne egy másik firmware-verzióról szóló fórumbejegyzés értékét.

A belépés és az erőforrás-hozzáférés külön engedély

A helyi fiókoknak tagságra van szükségük az SSL VPN-szolgáltatás csoportjában, mielőtt a szolgáltatás elfogadja őket. A címtárfiókok a támogatott csoportleképezési munkafolyamaton keresztül érik el ugyanezt a csoportot, ami azt jelenti, hogy az LDAP-csoportkapcsolatot be kell állítani, majd hatékony tagságként ellenőrizni kell, nem pedig a címtár oldaláról feltételezni.

Az erőforrás-hozzáférés ezután következik, a felhasználón vagy a csoporton beállított VPN-hozzáférés alatt. Adja meg azokat az alhálózatokat és szolgáltatásokat, amelyekre a szerepkörnek szüksége van, és álljon ellen annak a rövidítésnek, hogy az egész LAN-t megadja, mert egy alkalmazásra szükség van. A munkamenet útvonalainak, a hozzáférési szabályoknak és a cél-szolgáltatás engedélyeinek mind egyezniük kell ezzel a hatókörrel.

Az ügyfélen lévő útvonal választhatóvá tesz egy célpontot, és nem jogosítja fel. Az SSL VPN-csoport tagsága sem teszi a fiókot tűzfal-adminisztrátorrá, és nem szabad általános jogosultságadásként kezelni.

Két identitás, egyenként négy ellenőrzés

Teszteljen egy helyi fiókkal és egy címtárfiókkal, mindkettőt szűken feljogosítva és mindkettőt tesztfiókként dokumentálva. Mindegyiknél rögzítse a bejelentkezést elfogadó hitelesítési forrást, a tényleges csoportokat, a hozzárendelt erőforrás-hozzáférést és egy engedélyezett alkalmazásműveletet. Négy ellenőrzés, két tároló és írásos eredmény minden kombinációhoz.

Ezután tesztelje a negatív eseteket: egy erőforrást, amelyet a fióknak nem szabad elérnie, és egy fiókot, amelyet egyenesen el kell utasítani. Az a kialakítás, amely csak a pozitív utat bizonyítja, hajlamos nyitva hagyni egy második bejáratot, különösen akkor, ha ugyanaz a rövid felhasználónév mindkét tárolóban létezik. Tiltsa le a címtárfiókot, és erősítse meg, hogy a helyi nem folytatja csendben a működést.

Az ismétlődő neveket a bevezetés részeként vizsgálja felül, ne egy incidens után. Ugyanaz a személy két tárolóban egyszerre támogatási kényelem és auditprobléma, és a tűzfal szívesen hitelesíti azt, amelyiket beállította.

Tartsa szűken a helyreállítási utat

Őrizze meg az MFA-szabályzatot minden fiókosztály számára, ahelyett hogy mentesítené alóla a helyi fiókokat. Ha a helyi fiókok jóváhagyott helyreállítási utat biztosítanak egy címtárkieséshez, korlátozza ezt az utat megnevezett adminisztrátorokra, és tudatosan működtesse, mert minden munkavállalóhoz tartozó helyi vészfiók egy második hitelesítési rendszer gyengébb felügyelettel.

Írja be az ügyfél tartományát, a hitelesítési forrást és a tényleges hozzáférést ugyanabba a rekordba. A következő adminisztrátor ezután reprodukálhat egy működő vegyes fiókkialakítást, ahelyett hogy tartomány-karakterláncokat próbálgatna, amíg egy bejelentkezés sikerül.