NetExtender-ը մուտք է գործում, բայց հասանելիություն չկա՝ SonicWall տեղական + LDAP
NetExtender-ը միանում է, բայց ոչինչ չի պատասխանում։ առանձնացրեք SonicWall-ի նույնականացումը, SSL VPN ծառայության անդամակցությունը և VPN հասանելիության թույլտվությունները տեղական և LDAP օգտատերերի համար։
Մուտքը հաջողվում է, թունելը բարձրանում է, և firewall-ի հետևում ոչինչ չի պատասխանում։ SonicWall SSL VPN -ի վրա այս օրինաչափությունը սովորաբար նշանակում է, որ հաշիվն անցել է նույնականացումը և կանգնել է հետագա երկու թույլտվություններից մեկի վրա՝ SSL VPN ծառայության մեջ ընդունվելը կամ ռեսուրսին հասնելու թույլտվությունը։ Խառը տեղական և LDAP հաշիվները վատացնում են վիճակը, քանի որ երկու պահոցները այդ թույլտվություններին հասնում են տարբեր ուղիներով։ Ախտանիշը հաճախորդի կողմից նույնն է, այդ պատճառով շերտերը պետք է միտումնավոր բաժանել։
Ախտանիշը և դրա հետևում եղած երեք թույլտվությունները
Օգտանունի և հասանելի սերվերի միջև կանգնած են երեք անկախ որոշումներ։ Նույնականացման մեթոդը որոշում է՝ արդյոք հավատարմագրերն ընդունվում են և որ պահոցն է ընդունում։ SSL VPN ծառայության անդամակցությունը որոշում է՝ արդյոք այդ ինքնությունը կարող է ընդհանրապես օգտվել SSL VPN-ից։ VPN հասանելիության ցանկը որոշում է, թե սեսիան որ մասնավոր նպատակակետերին կարող է հասնել։ Մեկն անցնելը ոչինչ չի ասում հաջորդ երկուսի մասին։
Օգտատերը, որը նույնականացվում է, բայց SSL VPN ծառայության խմբում չէ, տեսնում է կապ, որը հաստատվում է և հետո ոչինչ չի փոխանցում, իսկ firewall-ի մատյանը ցույց է տալիս ընդունված մուտք՝ ձախողման փոխարեն։ Սա այն դեպքն է, որ արժե արագ ճանաչել, քանի որ լուծումը խմբի անդամակցությունն է, ոչ թե գաղտնաբառի վերականգնումը։
Օգտատերը, որը ընդունվում է, բայց ռեսուրսներ չունի, տեսնում է սեսիա, որը միանում է և ոչ մի օգտակար տեղ չի ուղղորդում։ Երկուսն էլ օգնության սեղանից նման են կոտրված թունելի, և երկուսն էլ կարգավորում են, ոչ թե կապակցվածություն։
Դոմենի դաշտը պահոցը չէ
NetExtender-ը դոմեն է հարցնում, և այդ դաշտը Active Directory-ի որոնման հիմք չէ։ Լռելյայն դասավորության մեջ դաշտը պետք է հավասար լինի այն SSL VPN օգտատիրոջ դոմենին, որը կարգավորել է firewall-ը, և դրա համար փաստաթղթավորված լռելյայն արժեքն է LocalDomain։ Համեմատությունը տարբերում է մեծատառերն ու փոքրատառերը, այնպես որ այլ տառաշարով մուտքագրված արժեքը ձախողվում է նույնիսկ երբ հաշիվը ճիշտ է։
Երբ նույնականացման բաժանումը կարգավորված է, բաժանումների անուններն են ընտրում արտաքին նույնականացման համատեքստը, իսկ կարգավորված լռելյայնը պահպանում է իր դերը։ Երկու դասավորություններում էլ հաճախորդի կողմի դոմենի պիտակը որպես օգտանվան մաս չի փոխանցվում LDAP-ին կամ RADIUS-ին, ուստի այն չի կարող ուղղորդել պահոցի որոնումը։
Երեք տողերը առանձին պահեք ձեր գրառումներում՝ ընկերության DNS վերջածանցը, LDAP որոնման հիմքը և NetExtender-ի դոմենի պիտակը։ Դրանք նման են երևում, և ոչ մեկը չի փոխարինում մյուսին։ Պատճենեք օպերատորի արժեքը այս տեղադրման համար, այլ ոչ թե ֆորումի գրառումից արժեք այլ որոնվածքի տարբերակի մասին։
Ընդունումը և ռեսուրսի հասանելիությունը առանձին թույլտվություններ են
Տեղական հաշիվներին անհրաժեշտ է SSL VPN ծառայության խմբի անդամակցություն, մինչև ծառայությունը կընդունի դրանք։ Պահոցի հաշիվները հասնում են նույն խմբին աջակցվող խմբերի քարտեզագրման աշխատահոսքի միջոցով, ինչը նշանակում է, որ LDAP խմբի կապը պետք է կարգավորել և ապա ստուգել որպես արդյունավետ անդամակցություն՝ պահոցի կողմից ենթադրելու փոխարեն։
Ռեսուրսի հասանելիությունը գալիս է հետո՝ օգտատիրոջ կամ խմբի VPN հասանելիության տակ։ Տվեք այն կոնկրետ ենթացանցերն ու ծառայությունները, որոնք անհրաժեշտ են դերին, և դիմացեք ամբողջ LAN-ը տալու կարճուղուն, քանի որ մեկ հավելված է պետք։ Սեսիայի ուղիները, հասանելիության կանոնները և նպատակակետ ծառայության թույլտվությունները բոլորը պետք է համապատասխանեն այդ ծավալին։
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Հաճախորդի վրա եղած ուղին նպատակակետը դարձնում է ընտրելի և չի լիազորում այն։ SSL VPN խմբի անդամակցությունը հաշիվը firewall-ի ադմինիստրատոր չի դարձնում, և այն չպետք է դիտարկվի որպես ընդհանուր արտոնություն տալը։
Երկու ինքնություն, յուրաքանչյուրին չորս ստուգում
Փորձարկեք մեկ տեղական և մեկ պահոցի հաշիվով, երկուսն էլ նեղ լիազորված և երկուսն էլ գրանցված որպես փորձնական հաշիվ։ Յուրաքանչյուրի համար գրանցեք մուտքն ընդունած նույնականացման աղբյուրը, գործող խմբերը, հատկացված ռեսուրսի հասանելիությունը և մեկ թույլատրված հավելվածային գործողություն։ Չորս ստուգում, երկու պահոց և գրավոր արդյունք յուրաքանչյուր համակցության համար։
Ապա փորձարկեք բացասական դեպքերը՝ ռեսուրս, որին հաշիվը չպետք է հասնի, և հաշիվ, որը պետք է անմիջապես մերժվի։ Դիզայնը, որը հաստատում է միայն դրական ուղին, հաճախ բաց է թողնում երկրորդ մուտքը, հատկապես երբ նույն կարճ օգտանունը կա երկու պահոցներում։ Անջատեք պահոցի հաշիվը և հաստատեք, որ տեղականը լուռ չի շարունակում աշխատել։
Վերանայեք կրկնվող անունները տեղադրման մաս կազմելիս, ոչ թե միջադեպից հետո։ Նույն մարդը երկու պահոցներում միաժամանակ և՛ աջակցության հարմարավետություն է, և՛ աուդիտի խնդիր, և firewall-ը պատրաստակամորեն կնույնականացնի այն, ինչ դուք կարգավորել եք։
Վերականգնման ուղին նեղ պահեք
Պահպանեք MFA քաղաքականությունը յուրաքանչյուր հաշվի դասի համար՝ տեղական հաշիվներին դրանից ազատելու փոխարեն։ Եթե տեղական հաշիվները տալիս են հաստատված վերականգնման ուղի պահոցի խափանման համար, սահմանափակեք այդ ուղին նշված ադմինիստրատորներով և վարեք այն գիտակցաբար, որովհետև յուրաքանչյուր աշխատակցի համար տեղական արտակարգ հաշիվը երկրորդ նույնականացման համակարգ է՝ ավելի թույլ հսկողությամբ։
Գրեք հաճախորդի դոմենը, նույնականացման աղբյուրը և գործող հասանելիությունը նույն գրառման մեջ։ Հաջորդ ադմինիստրատորը կարող է վերարտադրել աշխատող խառը հաշիվների դիզայնը՝ դոմենի տողերը փորձելու փոխարեն մինչև մուտքը հաջողվի։