NetExtender skráir sig inn en enginn aðgangur: SonicWall staðbundið + LDAP

Innskráning tekst, göngin koma upp og ekkert bak við eldvegginn svarar. Þetta mynstur á SonicWall SSL VPN þýðir venjulega að reikningurinn hafi staðist auðkenningu og stöðvast við eina af tveimur síðari heimildum: aðgang að SSL VPN-þjónustunni eða leyfi til að ná í auðlind. Blandaðir staðbundnir reikningar og LDAP-reikningar gera það verra, því geymslurnar tvær ná þessum heimildum á mismunandi leiðum. Einkennin eru eins frá sjónarhóli biðlarans, og þess vegna verður að aðskilja lögin viljandi.

Einkennin og heimildirnar þrjár bak við þau

Þrjár sjálfstæðar ákvarðanir standa milli notandanafns og aðgengilegs netþjóns. Auðkenningaraðferðin ræður því hvort skírteinið er samþykkt og hvaða geymsla samþykkir það. Aðildin að SSL VPN-þjónustunni ræður því hvort þessi auðkenni megi nota SSL VPN yfirhöfuð. VPN-aðgangslistinn ræður því hvaða einkatilföng lotan má ná í. Að standast eitt segir ekkert um næstu tvö.

Notandi sem auðkennir sig en er ekki í hópi SSL VPN-þjónustunnar sér tengingu sem kemst á og flytur svo ekkert, og eldveggsannállinn sýnir samþykkta innskráningu í stað bilunar. Þetta er tilfellið sem er þess virði að þekkja fljótt, því lausnin er aðild að hópi en ekki endurstilling lykilorðs.

Notandi sem er hleypt inn en hefur engar auðlindir sér lotu sem tengist og beinir hvergi gagnlegu. Bæði líta út eins og brotin göng frá hjálparborðinu, og bæði eru stillingar en ekki tenging.

Lénsreiturinn er ekki skráin

NetExtender biður um lén, og sá reitur er ekki leitarstofn fyrir Active Directory. Í sjálfgefnu fyrirkomulagi verður reiturinn að vera jafn því SSL VPN-notendaléni sem eldveggurinn hefur stillt, og skjalfesta sjálfgefna gildið fyrir það er LocalDomain. Samanburðurinn greinir milli há- og lágstafa, svo gildi sem slegið er inn með annarri stafstöðu mistekst jafnvel þótt reikningurinn sé réttur.

Þegar skipting auðkenningar er stillt velja skiptingarheitin ytri auðkenningarhlutann í staðinn, og stillta sjálfgefna gildið heldur eigin hlutverki. Í hvorugu fyrirkomulaginu er lénsmerki biðlarans sent á LDAP eða RADIUS sem hluti af notandanafninu, svo ekki er hægt að nota það til að stýra skráarleit.

Haltu þremur strengjunum aðskildum í nótunum þínum: DNS-viðskeyti fyrirtækisins, LDAP-leitarstofninum og NetExtender-lénsmerkinu. Þau líta svipað út og ekkert þeirra kemur í stað annars. Afritaðu gildi rekstraraðilans fyrir þessa uppsetningu frekar en gildi úr spjallborðsfærslu um aðra fastbúnaðarútgáfu.

Innganga og aðgangur að auðlindum eru aðskildar heimildir

Staðbundnir reikningar þurfa aðild að hópi SSL VPN-þjónustunnar áður en þjónustan samþykkir þá. Skráarreikningar ná í sama hóp gegnum studda hópvörpunarvinnuflæðið, sem þýðir að LDAP-hópsambandið verður að stilla og síðan staðfesta sem virka aðild frekar en að gera ráð fyrir henni frá skrárhliðinni.

Aðgangur að auðlindum kemur næst, undir VPN-aðgangi á notandanum eða hópnum. Veittu tilteknu undirnetin og þjónusturnar sem hlutverkið þarf, og andmæltu flýtileiðinni að veita allt LANið vegna þess að einni forritinu er þörf. Leiðir lotunnar, aðgangsreglurnar og heimildir áfangastaðaþjónustunnar verða öll að samræmast þessu umfangi.

Leið á biðlaranum gerir áfangastað valanlegan og heimilar hann ekki. Aðild að SSL VPN-hópnum gerir reikninginn heldur ekki að eldveggsstjóra, og ekki á að meðhöndla hana sem almenna forréttinda veitingu.

Tvö auðkenni, fjórar athuganir hvort

Prófaðu með einum staðbundnum reikningi og einum skráarreikningi, báðum þröngt heimilað og báðum skjalfestum sem prófunarreikningum. Fyrir hvorn skráðu auðkenningaruppsprettuna sem samþykkti innskráninguna, virku hópana, úthlutaðan aðgang að auðlindum og eina leyfða forritaaðgerð. Fjórar athuganir, tvær geymslur og skrifuð niðurstaða fyrir hverja samsetningu.

Prófaðu síðan neikvæðu tilfellin: auðlind sem reikningurinn á ekki að ná í, og reikning sem á að hafna alfarið. Hönnun sem sannar aðeins jákvæðu leiðina hefur tilhneigingu til að skilja aðra inngöngu eftir opna, sérstaklega þegar sama stutta notandanafnið er í báðum geymslum. Slökktu á skráarreikningnum og staðfestu að sá staðbundni haldi ekki áfram að virka hljóðlega.

Farðu yfir tvítekin nöfn sem hluta af útrullingu frekar en eftir atvik. Sami einstaklingur í tveimur geymslum er samtímis þægindi fyrir stuðning og vandamál fyrir endurskoðun, og eldveggurinn auðkennir fúslega þann sem þú stilltir.

Haltu endurheimtarleiðinni þröngri

Varðveittu MFA-stefnuna fyrir hvern reikningsflokk í stað þess að undanþiggja staðbundna reikninga henni. Ef staðbundnir reikningar bjóða upp á samþykkta endurheimtarleið fyrir skrárbilun, takmarkaðu þá leið við nafngreinda stjórnendur og starfræktu hana af ásettu ráði, því staðbundinn neyðarreikningur fyrir hvern starfsmann er annað auðkenningarkerfi með veikara eftirliti.

Skrifaðu biðlaralénið, auðkenningaruppsprettuna og virkan aðgang í sömu færsluna. Næsti stjórnandi getur þá endurskapað virka blandaða reikningshönnun í stað þess að fara í gegnum lénstrengi þar til innskráning tekst.