NetExtender mellt sech un, awer keen Zougang: SonicWall lokal + LDAP
NetExtender verbënnt, awer näischt äntwert: trennt d'SonicWall-Authentifikatioun, d'Memberschaft am SSL VPN-Service an d'VPN-Zougangsrechter fir lokal an LDAP-Benotzer.
D'Anmeldung geléngt, den Tunnel kënnt erop, an näischt hannert der Firewall äntwert. Dëst Muster op engem SonicWall SSL VPN bedeit meeschtens, datt de Kont d'Authentifikatioun bestanen huet an op enger vun zwou spéideren Autorisationen häng bleiwt: der Zoulassung zum SSL VPN-Service oder der Erlaabnes, eng Ressource z'erreechen. Gemëscht lokal a LDAP-Konten maachen et schlëmmer, well déi zwee Geschäfter dës Autorisationen iwwer verschidde Weeër erreechen. D'Symptom ass aus der Client-Siicht identesch, dofir mussen d'Schichten bewosst getrennt ginn.
D'Symptom an déi dräi Autorisationen hannendrun
Dräi onofhängeg Entscheedunge stinn tëschent engem Benotzernumm an engem erreechbare Server. D'Authentifikatiounsmethod entscheet, ob d'Berechtegung akzeptéiert gëtt an a wéi engem Geschäft. D'Memberschaft am SSL VPN-Service entscheet, ob dës Identitéit de SSL VPN iwwerhaapt benotze kann. D'VPN-Zougangslëscht entscheet, wéi eng privat Destinatiounen d'Sessioun erreeche kann. Eng bestoen seet näischt iwwer déi nächst zwee.
E Benotzer, dee sech authentifizéiert, awer net an der Grupp vum SSL VPN-Service ass, gesäit eng Verbindung, déi sech opbaut an dann näischt transportéiert, an de Firewall-Log weist eng akzeptéiert Anmeldung amplaz vun engem Fehler. Dat ass de Fall, deen een séier erkenne soll, well d'Léisung eng Gruppmemberschaft ass an net en Zerécksetze vum Passwuert.
E Benotzer, dee zougelooss gëtt, awer keng Ressourcen huet, gesäit eng Sessioun, déi sech verbënnt an néierens nëtzlech hin routeiert. Béid gesinn aus dem Helpdesk wéi en defekten Tunnel aus, a béid si Konfiguratioun a net Konnektivitéit.
D'Domain-Feld ass net den Directory
NetExtender freet no engem Domain, an dat Feld ass keng Sichbasis fir Active Directory. An der Standardopstellung muss d'Feld deem SSL VPN-Benotzerdomain entspriechen, deen d'Firewall konfiguréiert huet, an den dokumentéierte Standardwäert dofir ass LocalDomain. Den Verglach ënnerscheet tëschent groussen a klengen Buschstaben, dofir schléit e Wäert mat enger anerer Buschstabegréisst fehl, och wann de Kont korrekt ass.
Wann d'Authentifikatiounspartioun konfiguréiert ass, wielen d'Partiounsnummen den externen Authentifikatiounskontext, an den agestellte Standard behält seng eege Roll. An deenen zwou Opstellungen gëtt de Client-Domainlabel net als Deel vum Benotzernumm un LDAP oder RADIUS weiderginn, dofir kann en eng Directory-Sich net steieren.
Halt déi dräi Stréng getrennt an dengen Notizen: den DNS-Suffix vun der Firma, d'LDAP-Sichbasis an den NetExtender-Domainlabel. Si gesinn ähnlech aus an keen ersetzt en aneren. Kopéier de Wäert vum Bedreiwer fir dës Installatioun an net e Wäert aus engem Forumspost iwwer eng aner Firmware-Versioun.
Zoulassung a Ressourcezougang sinn getrennt Autorisationen
Lokal Konten brauchen eng Memberschaft an der Grupp vum SSL VPN-Service, éier de Service se akzeptéiert. Directory-Konten erreechen déiselwecht Grupp iwwer de ënnerstëtzte Grupp-Mapping-Workflow, wat bedeit, datt d'LDAP-Gruppebeziehung konfiguréiert muss ginn an dann als effektiv Memberschaft verifizéiert muss ginn, amplaz vun der Directory-Säit ugeholl ze ginn.
Ressourcezougang kënnt duerno, ënner VPN-Zougang um Benotzer oder op der Grupp. Gëff déi spezifesch Subnetzer a Servicer, déi d'Roll brauch, a widdersteh der Ofkierzung, déi ganz LAN ze ginn, well eng Applikatioun gebraucht gëtt. D'Routen vun der Sessioun, d'Zougangsregelen an d'Permissioune vum Destinatiounsservice mussen all mat dësem Ëmfang iwwerenee stëmmen.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Eng Route um Client mécht eng Destinatioun auswielbar an autoriséiert se net. D'Memberschaft an der SSL VPN-Grupp mécht de Kont och net zum Firewall-Administrator, an et soll net als allgemeng Privilegiegiewung behandelt ginn.
Zwee Identitéiten, véier Kontrollen all
Test mat engem lokale Kont an engem Directory-Kont, béid enk autoriséiert a béid als Testkonten dokumentéiert. Fir jiddereen, notéier d'Authentifikatiounsquell, déi d'Anmeldung akzeptéiert huet, déi effektiv Gruppen, den zougewisene Ressourcezougang an eng erlaabte Applikatiounsoperatioun. Véier Kontrollen, zwee Geschäfter an en schrëftlecht Resultat fir all Kombinatioun.
Test duerno déi negativ Fäll: eng Ressource, déi de Kont net erreeche soll, an e Kont, deen direkt ofgeleent muss ginn. En Design, deen nëmmen de positive Wee beweist, léisst dacks en zweeten Agang op, besonnesch wann dee selwechte kuerzen Benotzernumm an deene zwee Geschäfter existéiert. Deaktivéier den Directory-Kont a bestäteg, datt de lokale net roueg weider schafft.
Iwwerpréif duebel Nimm als Deel vum Rollout an net no engem Tëschefall. Déiselwecht Persoun an zwee Geschäfter ass gläichzäiteg eng Support-Erliichterung an e Prüfungsproblem, an d'Firewall authentifizéiert gären deen, deen s du konfiguréiert hues.
Halt de Recovery-Wee enk
Behäl d'MFA-Politik fir all Kontklass, amplaz lokal Konten dovun auszehuelen. Wann lokal Konten en approuvéierte Recovery-Wee fir en Directory-Ausfall ubidden, limitéier dee Wee op nominéiert Administratoren a bedreif en bewosst, well en lokalen Noutkont fir all Mataarbechter en zweet Authentifikatiounssystem mat méi schwaacher Iwwerwaachung ass.
Schreif den Client-Domain, d'Authentifikatiounsquell an den effektiven Zougang an dee selwechte Rekord. Den nächsten Administrator kann dann en funktionéierende gemëschte Kontedesign reproduzéieren, amplaz Domainstréng duerchzeprobéieren, bis eng Anmeldung geléngt.