NetExtender кирет, бирок кирүү жок: SonicWall жергиликтүү + LDAP
NetExtender туташат, бирок эч нерсе жооп бербейт: SonicWall аутентификациясын, SSL VPN кызматына мүчөлүктү жана жергиликтүү жана LDAP колдонуучулары үчүн VPN кирүү уруксаттарын өзүнчө караңыз.
Кирүү ийгиликтүү өтөт, туннель көтөрүлөт, бирок брандмауэрдин артында эч нерсе жооп бербейт. SonicWall SSL VPN түзмөгүндөгү бул үлгү адатта эсеп аутентификациядан өткөнүн жана кийинки эки уруксаттын биринде токтогонун билдирет: SSL VPN кызматына кабыл алынуу же ресурска жетүү уруксаты. Аралаш жергиликтүү жана LDAP эсептери кырдаалды начарлатат, анткени эки кампа бул уруксаттарга ар кандай жолдор менен жетет. Симптом кардар тараптан бирдей, ошондуктан катмарларды атайын бөлүү керек.
Симптом жана анын артындагы үч уруксат
Колдонуучу аты менен жеткиликтүү сервердин ортосунда үч көз карандысыз чечим турат. Аутентификация ыкмасы эсеп маалыматтарынын кабыл алынышын жана кайсы кампа кабыл алаарын аныктайт. SSL VPN кызматына мүчөлүк бул инсандын жалпы SSL VPN колдоно алаарын аныктайт. VPN кирүү тизмеси сеанс кайсы жеке даректерге жете алаарын аныктайт. Бирөөнөн өтүү кийинки экөө жөнүндө эч нерсе айтпайт.
Аутентификациядан өткөн, бирок SSL VPN кызматынын тобунда жок колдонуучу түзүлүп, анан эч нерсе ташыбаган туташууну көрөт, брандмауэр журналы катанын ордуна кабыл алынган кирүүнү көрсөтөт. Бул тез таанылуучу учур, анткени чечим топко мүчөлүк, сырсөздү кайра коюу эмес.
Кабыл алынган, бирок ресурстары жок колдонуучу туташкан жана эч жерге пайдалуу багыттабаган сеансты көрөт. Экөө тең колдоо кызматынан бузулган туннель сыяктуу көрүнөт, экөө тең байланыш эмес, конфигурация.
Домен талаасы каталог эмес
NetExtender домен сурайт, бул талаа Active Directory үчүн издөө базасы эмес. Демейки жайгашууда талаа брандмауэр конфигурациялаган SSL VPN колдонуучу доменине барабар болушу керек, ага документтелген демейки маани LocalDomain. Салыштыруу чоң жана кичине тамгаларды ажыратат, ошондуктан башка тамга регистри менен киргизилген маани эсеп туура болсо да ийгиликсиз болот.
Аутентификация бөлүнүшү конфигурацияланган болсо, бөлүм аттары тышкы аутентификация контекстин тандайт, ал эми конфигурацияланган демейки өз ролун сактайт. Эки жайгашууда тең кардар тараптагы домен белгиси колдонуучу атынын бөлүгү катары LDAP же RADIUSка берилбейт, ошондуктан ал каталог издөөсүн багыттай албайт.
Үч сапты жазууларыңызда өзүнчө кармаңыз: компаниянын DNS кошумчасы, LDAP издөө базасы жана NetExtender домен белгиси. Алар окшош көрүнөт жана эч бири башкасын алмаштырбайт. Ушул орнотуу үчүн оператордун маанисин көчүрүңүз, башка микропрограмма версиясы тууралуу форум билдирүүсүндөгү маанини эмес.
Кабыл алуу жана ресурска кирүү — өзүнчө уруксаттар
Жергиликтүү эсептер кызмат аларды кабыл алышы үчүн SSL VPN кызматынын тобуна мүчө болушу керек. Каталог эсептери ошол эле топко колдоого алынган топту карталоо жумуш агымы аркылуу жетет, башкача айтканда LDAP топ мамилесин конфигурациялоо керек, анан каталог тараптан божомолдобой, натыйжалуу мүчөлүк катары текшерүү керек.
Ресурска кирүү кийин келет, колдонуучуда же топтогу VPN кирүү астында. Ролго керектүү конкреттүү субтармактарды жана кызматтарды бериңиз жана бир колдонмо керек болгондуктан бүт LAN берүү кыска жолуна каршы туруңуз. Сеанстын маршруттары, кирүү эрежелери жана багыттагы кызматтын уруксаттары ушул көлөмгө туура келиши керек.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Кардардагы маршрут даректи тандоого боло турган кылат жана ага уруксат бербейт. SSL VPN тобуна мүчөлүк да эсепти брандмауэр администратору кылбайт жана аны жалпы артыкчылык берүү катары кароого болбойт.
Эки инсан, ар бирине төрт текшерүү
Бир жергиликтүү жана бир каталог эсеби менен сынаңыз, экөө тең тар ыйгарым укуктуу жана экөө тең сыноо эсеби катары документтелген. Ар бири үчүн кирүүнү кабыл алган аутентификация булагын, натыйжалуу топторду, дайындалган ресурс кирүүнү жана уруксат берилген бир колдонмо операциясын жазыңыз. Төрт текшерүү, эки кампа жана ар бир айкалыш үчүн жазуу жүзүндөгү натыйжа.
Анан терс учурларды сынаңыз: эсеп жетпеши керек болгон ресурс жана дароо четке кагылышы керек болгон эсеп. Тек оң жолду далилдеген долбоор, айрыкча ошол эле кыска колдонуучу аты эки кампада болсо, экинчи кирүүнү ачык калтырууга жейт. Каталог эсебин өчүрүңүз жана жергиликтүү эсептин үнсүз иштешин улантпаганын ырастаңыз.
Кайталанган аттарды окуядан кийин эмес, киргизүүнүн бөлүгү катары карап чыгыңыз. Бир адамдын эки кампада болушу бир эле учурда колдоо үчүн ыңгайлуулук жана аудит маселеси, ал эми брандмауэр сиз конфигурациялаган вариантты кубаныч менен аутентификациялайт.
Калыбына келтирүү жолун тар кармаңыз
Жергиликтүү эсептерди андан бошотуунун ордуна ар бир эсеп классы үчүн MFA саясатын сактаңыз. Эгер жергиликтүү эсептер каталог үзүлүшү үчүн бекитилген калыбына келтирүү жолун сунуштаса, бул жолду аталган администраторлор менен чектеңиз жана аны атайын жүргүзүңүз, анткени ар бир кызматкерге жергиликтүү өзгөчө кырдаал эсеби — көзөмөлү алсызыраак экинчи аутентификация системасы.
Кардар доменин, аутентификация булагын жана натыйжалуу кирүүнү бир жазууга жазыңыз. Кийинки администратор кирүү ийгиликтүү болгонго чейин домен саптарын сынап көрүүнүн ордуна иштеген аралаш эсеп дизайнын кайра жарата алат.