NetExtender кіреді, бірақ кіру жоқ: SonicWall жергілікті + LDAP
NetExtender қосылады, бірақ ешнәрсе жауап бермейді: SonicWall аутентификациясын, SSL VPN қызметіне мүшелікті және жергілікті және LDAP пайдаланушылары үшін VPN кіру рұқсаттарын бөлек қарастырыңыз.
Кіру сәтті өтеді, туннель көтеріледі, бірақ брандмауэрдің артында ешнәрсе жауап бермейді. SonicWall SSL VPN құрылғысындағы бұл үлгі әдетте тіркелгінің аутентификациядан өткенін және кейінгі екі рұқсаттың бірінде тоқтағанын білдіреді: SSL VPN қызметіне қабылдану немесе ресурсқа жету рұқсаты. Аралас жергілікті және LDAP тіркелгілері жағдайды нашарлатады, өйткені екі қойма бұл рұқсаттарға әртүрлі жолдармен жетеді. Симптом клиент жағынан бірдей, сондықтан қабаттарды әдейі бөлу керек.
Симптом және оның артындағы үш рұқсат
Пайдаланушы аты мен қолжетімді сервер арасында үш тәуелсіз шешім тұр. Аутентификация әдісі тіркелгі деректерінің қабылдануын және қай қойма қабылдайтынын анықтайды. SSL VPN қызметіне мүшелік бұл тұлғаның жалпы SSL VPN пайдалана алатынын анықтайды. VPN кіру тізімі сеанс қандай жеке тағайындауларға жете алатынын анықтайды. Біреуінен өту келесі екеуі туралы ештеңе айтпайды.
Аутентификациядан өткен, бірақ SSL VPN қызметінің тобында жоқ пайдаланушы орнатылатын, содан кейін ештеңе тасымайтын қосылымды көреді, брандмауэр журналы қате орнына қабылданған кіруді көрсетеді. Бұл тез танылуы керек жағдай, өйткені шешім топ мүшелігі, құпия сөзді қалпына келтіру емес.
Қабылданған, бірақ ресурстары жоқ пайдаланушы қосылатын және еш жерге пайдалы бағыттамайтын сеансты көреді. Екеуі де қолдау қызметінен бүлінген туннель сияқты көрінеді, екеуі де байланыс емес, конфигурация.
Домен өрісі каталог емес
NetExtender домен сұрайды, бұл өріс Active Directory үшін іздеу базасы емес. Әдепкі орналасуда өріс брандмауэр конфигурациялаған SSL VPN пайдаланушы доменіне тең болуы керек, ол үшін құжатталған әдепкі мән LocalDomain. Салыстыру бас және кіші әріптерді ажыратады, сондықтан басқа әріп регистрімен енгізілген мән тіркелгі дұрыс болса да сәтсіз аяқталады.
Аутентификация бөлінуі конфигурацияланған болса, бөлім атаулары сыртқы аутентификация контекстін таңдайды, ал конфигурацияланған әдепкі өз рөлін сақтайды. Екі орналасуда да клиент жағындағы домен белгісі пайдаланушы атының бөлігі ретінде LDAP немесе RADIUS-қа берілмейді, сондықтан ол каталог іздеуін бағыттай алмайды.
Үш жолды жазбаларыңызда бөлек ұстаңыз: компанияның DNS қосымшасы, LDAP іздеу базасы және NetExtender домен белгісі. Олар ұқсас көрінеді және ешқайсысы басқасын алмастырмайды. Осы орнату үшін оператордың мәнін көшіріңіз, басқа микробағдарлама нұсқасы туралы форум жазбасындағы мәнді емес.
Қабылдау және ресурсқа кіру — бөлек рұқсаттар
Жергілікті тіркелгілер қызмет оларды қабылдауы үшін SSL VPN қызметінің тобына мүше болуы керек. Каталог тіркелгілері сол топқа қолдау көрсетілетін топты сәйкестендіру жұмыс ағыны арқылы жетеді, яғни LDAP топ қатынасын конфигурациялау керек, содан кейін каталог жағынан болжам жасамай, тиімді мүшелік ретінде тексеру керек.
Ресурсқа кіру кейін келеді, пайдаланушыда немесе топтағы VPN кіру астында. Рөлге қажет нақты қосалқы желілер мен қызметтерді беріңіз және бір қолданба қажет болғандықтан бүкіл LAN беру қысқа жолына қарсы тұрыңыз. Сеанс маршруттары, кіру ережелері және межелік қызмет рұқсаттары осы ауқымға сәйкес болуы керек.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Клиенттегі маршрут тағайындауды таңдауға болатын етеді және оған рұқсат бермейді. SSL VPN тобына мүшелік те тіркелгіні брандмауэр әкімшісі етпейді және оны жалпы артықшылық беру ретінде қарастырмау керек.
Екі тұлға, әрқайсысына төрт тексеру
Бір жергілікті және бір каталог тіркелгісімен сынаңыз, екеуі де тар өкілетті және екеуі де сынақ тіркелгісі ретінде құжатталған. Әрқайсысы үшін кіруді қабылдаған аутентификация көзін, тиімді топтарды, тағайындалған ресурс кіруді және рұқсат етілген бір қолданба операциясын жазыңыз. Төрт тексеру, екі қойма және әр комбинация үшін жазбаша нәтиже.
Содан кейін теріс жағдайларды сынаңыз: тіркелгі жетпеуі тиіс ресурс және бірден қабылдамауға тиіс тіркелгі. Тек оң жолды дәлелдейтін дизайн, әсіресе бірдей қысқа пайдаланушы аты екі қоймада болса, екінші кіруді ашық қалдыруға бейім. Каталог тіркелгісін өшіріңіз және жергілікті тіркелгінің үнсіз жұмысын жалғастырмайтынын растаңыз.
Қайталанатын атауларды оқиғадан кейін емес, енгізудің бөлігі ретінде қарап шығыңыз. Бір адамның екі қоймада болуы бір уақытта қолдауға ыңғайлылық та, аудит мәселесі де, ал брандмауэр сіз конфигурациялаған нұсқаны қуана аутентификациялайды.
Қалпына келтіру жолын тар ұстаңыз
Жергілікті тіркелгілерді одан босатудың орнына әр тіркелгі класы үшін MFA саясатын сақтаңыз. Егер жергілікті тіркелгілер каталог үзілісі үшін мақұлданған қалпына келтіру жолын ұсынса, бұл жолды аталған әкімшілермен шектеңіз және оны әдейі жүргізіңіз, өйткені әр қызметкерге жергілікті төтенше тіркелгі — бақылауы әлсіз екінші аутентификация жүйесі.
Клиент доменін, аутентификация көзін және тиімді кіруді бір жазбаға жазыңыз. Келесі әкімші кіру сәтті болғанша домен жолдарын сынап көрудің орнына жұмыс істейтін аралас тіркелгі дизайнын қайта жасай алады.