NetExtender berhasil masuk tetapi tidak ada akses: SonicWall lokal + LDAP

Login berhasil, terowongan naik, dan tidak ada yang menjawab di balik firewall. Pola itu pada SonicWall SSL VPN biasanya berarti akun telah lolos autentikasi dan berhenti pada salah satu dari dua pemberian izin berikutnya: penerimaan ke layanan SSL VPN, atau izin untuk mencapai sumber daya. Akun lokal dan LDAP yang bercampur memperburuknya, karena kedua penyimpanan mencapai izin itu melalui jalur yang berbeda. Gejalanya identik dari sisi klien, karena itu lapisan-lapisannya harus dipisahkan dengan sengaja.

Gejala dan tiga izin di baliknya

Tiga keputusan independen berdiri antara nama pengguna dan server yang dapat dijangkau. Metode autentikasi menentukan apakah kredensial diterima dan oleh penyimpanan mana. Keanggotaan layanan SSL VPN menentukan apakah identitas itu boleh memakai SSL VPN sama sekali. Daftar Akses VPN menentukan tujuan privat mana yang boleh dicapai sesi. Lolos satu tidak mengatakan apa pun tentang dua berikutnya.

Pengguna yang terautentikasi tetapi tidak berada dalam grup layanan SSL VPN melihat koneksi yang terbentuk lalu tidak membawa apa pun, dan log firewall menunjukkan login yang diterima alih-alih kegagalan. Itulah kasus yang layak dikenali dengan cepat, karena perbaikannya adalah keanggotaan grup, bukan pengaturan ulang kata sandi.

Pengguna yang diterima tetapi tidak memiliki sumber daya melihat sesi yang terhubung dan tidak merutekan ke tempat yang berguna. Keduanya tampak seperti terowongan rusak dari meja bantuan, dan keduanya adalah konfigurasi, bukan konektivitas.

Kotak domain bukan direktori

NetExtender meminta domain, dan kolom itu bukan basis pencarian untuk Active Directory. Dalam susunan bawaan, kolom itu harus sama dengan domain pengguna SSL VPN yang dikonfigurasi firewall, dan nilai bawaan yang didokumentasikan adalah LocalDomain. Perbandingannya peka huruf besar-kecil, sehingga nilai yang diketik dengan kapitalisasi berbeda gagal meskipun akunnya benar.

Dengan partisi autentikasi dikonfigurasi, nama partisi yang memilih konteks autentikasi eksternal, dan nilai bawaan yang dikonfigurasi mempertahankan perannya sendiri. Dalam kedua susunan, label domain sisi klien tidak diteruskan ke LDAP atau RADIUS sebagai bagian dari nama pengguna, sehingga tidak dapat dipakai untuk mengarahkan pencarian direktori.

Jaga ketiga string tetap terpisah dalam catatan Anda: sufiks DNS perusahaan, basis pencarian LDAP, dan label domain NetExtender. Ketiganya tampak serupa dan tidak ada yang menggantikan yang lain. Salin nilai operator untuk instalasi ini, bukan nilai dari kiriman forum tentang rilis firmware lain.

Penerimaan dan akses sumber daya adalah izin terpisah

Akun lokal memerlukan keanggotaan dalam grup layanan SSL VPN sebelum layanan menerimanya. Akun direktori mencapai grup yang sama melalui alur kerja pemetaan grup yang didukung, yang berarti hubungan grup LDAP harus dikonfigurasi lalu diverifikasi sebagai keanggotaan yang efektif, bukan diasumsikan dari sisi direktori.

Akses sumber daya menyusul, di bawah Akses VPN pada pengguna atau grup. Berikan subnet dan layanan tertentu yang dibutuhkan peran, dan tahan diri dari jalan pintas memberikan seluruh LAN karena satu aplikasi diperlukan. Rute sesi, aturan akses, dan izin layanan tujuan semuanya harus sesuai dengan cakupan itu.

Rute pada klien membuat tujuan dapat dipilih dan tidak memberinya otorisasi. Keanggotaan dalam grup SSL VPN juga tidak menjadikan akun itu administrator firewall, dan tidak boleh diperlakukan sebagai pemberian hak istimewa umum.

Dua identitas, empat pemeriksaan masing-masing

Uji dengan satu akun lokal dan satu akun direktori, keduanya diberi otorisasi sempit dan keduanya didokumentasikan sebagai akun uji. Untuk masing-masing, catat sumber autentikasi yang menerima login, grup efektif, akses sumber daya yang ditetapkan, dan satu operasi aplikasi yang diizinkan. Empat pemeriksaan, dua penyimpanan, dan hasil tertulis untuk setiap kombinasi.

Lalu uji kasus negatif: sumber daya yang tidak boleh dicapai akun, dan akun yang harus ditolak langsung. Rancangan yang hanya membuktikan jalur positif cenderung membiarkan pintu masuk kedua terbuka, terutama ketika nama pengguna pendek yang sama ada di kedua penyimpanan. Nonaktifkan akun direktori dan pastikan akun lokal tidak diam-diam terus berfungsi.

Tinjau nama duplikat sebagai bagian dari peluncuran, bukan setelah insiden. Orang yang sama di dua penyimpanan sekaligus merupakan kemudahan dukungan dan masalah audit, dan firewall akan dengan senang hati mengautentikasi mana pun yang Anda konfigurasi.

Jaga jalur pemulihan tetap sempit

Pertahankan kebijakan MFA untuk setiap kelas akun alih-alih mengecualikan akun lokal darinya. Jika akun lokal menyediakan jalur pemulihan yang disetujui untuk gangguan direktori, batasi jalur itu untuk administrator bernama dan jalankan dengan sengaja, karena akun darurat lokal untuk setiap karyawan adalah sistem autentikasi kedua dengan pengawasan yang lebih lemah.

Tuliskan domain klien, sumber autentikasi, dan akses efektif dalam catatan yang sama. Administrator berikutnya kemudian dapat mereproduksi rancangan akun campuran yang berfungsi alih-alih mencoba-coba string domain sampai login berhasil.