NetExtender prisijungia, bet prieigos nėra: SonicWall vietinis + LDAP
NetExtender prisijungia, bet niekas neatsako: atskirkite SonicWall autentifikavimą, narystę SSL VPN tarnyboje ir VPN prieigos leidimus vietiniams ir LDAP naudotojams.
Prisijungimas pavyksta, tunelis pakyla, ir niekas už ugniasienės neatsako. Toks modelis SonicWall SSL VPN paprastai reiškia, kad paskyra praėjo autentifikavimą ir sustojo ties vienu iš dviejų vėlesnių leidimų: priėmimu į SSL VPN tarnybą arba leidimu pasiekti išteklių. Mišrios vietinės ir LDAP paskyros tai blogina, nes dvi saugyklos šiuos leidimus pasiekia skirtingais keliais. Simptomas kliento pusėje yra identiškas, todėl sluoksnius reikia sąmoningai atskirti.
Simptomas ir trys leidimai už jo
Trys nepriklausomi sprendimai skiria naudotojo vardą nuo pasiekiamo serverio. Autentifikavimo metodas nusprendžia, ar kredencialai priimami ir kuri saugykla juos priima. Narystė SSL VPN tarnyboje nusprendžia, ar ši tapatybė apskritai gali naudotis SSL VPN. VPN prieigos sąrašas nusprendžia, kuriuos privačius tikslus sesija gali pasiekti. Vieno praėjimas nieko nesako apie kitus du.
Naudotojas, kuris autentifikuojasi, bet nėra SSL VPN tarnybos grupėje, mato ryšį, kuris užmezgamas ir tada nieko neperduoda, o ugniasienės žurnalas rodo priimtą prisijungimą, o ne klaidą. Tai atvejis, kurį verta greitai atpažinti, nes sprendimas yra narystė grupėje, o ne slaptažodžio atstatymas.
Naudotojas, kuris priimamas, bet neturi išteklių, mato sesiją, kuri prisijungia ir niekur naudingai nenukreipia. Abu iš pagalbos tarnybos atrodo kaip sugedęs tunelis, ir abu yra konfigūracija, o ne ryšys.
Domeno laukas nėra katalogas
NetExtender prašo domeno, ir tas laukas nėra Active Directory paieškos bazė. Numatytojoje sąrankoje laukas turi atitikti tą SSL VPN naudotojo domeną, kurį sukonfigūravo ugniasienė, ir dokumentuota numatytoji reikšmė yra LocalDomain. Palyginimas skiria didžiąsias ir mažąsias raides, todėl kita raidžių didžioji vertė nepavyksta net tada, kai paskyra teisinga.
Kai sukonfigūruotas autentifikavimo skaidymas, skaidinių pavadinimai pasirenka išorinį autentifikavimo kontekstą, o sukonfigūruota numatytoji reikšmė išlaiko savo vaidmenį. Abiejose sąrankose kliento domeno žymė neperduodama LDAP ar RADIUS kaip naudotojo vardo dalis, todėl ji negali nukreipti katalogo paieškos.
Laikykite tris eilutes atskirai savo užrašuose: įmonės DNS priesagą, LDAP paieškos bazę ir NetExtender domeno žymę. Jos atrodo panašiai, ir nė viena nepakeičia kitos. Nukopijuokite operatoriaus reikšmę šiai įrangai, o ne reikšmę iš forumo įrašo apie kitą programinės įrangos versiją.
Priėmimas ir prieiga prie išteklių yra atskiri leidimai
Vietinėms paskyroms reikia narystės SSL VPN tarnybos grupėje, kol tarnyba jas priims. Katalogo paskyros pasiekia tą pačią grupę per palaikomą grupių susiejimo darbo eigą, o tai reiškia, kad LDAP grupės ryšys turi būti sukonfigūruotas ir tada patikrintas kaip veiksminga narystė, o ne numatytas katalogo pusėje.
Prieiga prie išteklių ateina toliau, skiltyje VPN prieiga prie naudotojo ar grupės. Suteikite konkrečius potinklius ir paslaugas, kurių reikia vaidmeniui, ir atsispirkite pagundai suteikti visą LAN, nes reikia vienos programos. Sesijos maršrutai, prieigos taisyklės ir paskirties tarnybos leidimai turi visi atitikti šią apimtį.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Maršrutas kliente padaro tikslą pasirenkamą ir jo neįgalioja. Narystė SSL VPN grupėje taip pat nepadaro paskyros ugniasienės administratoriumi, ir ji neturėtų būti traktuojama kaip bendras privilegijų suteikimas.
Dvi tapatybės, po keturis patikrinimus
Išbandykite su viena vietine paskyra ir viena katalogo paskyra, abi griežtai įgaliotos ir abi dokumentuotos kaip bandomosios paskyros. Kiekvienai užrašykite autentifikavimo šaltinį, kuris priėmė prisijungimą, veiksmingas grupes, priskirtą prieigą prie išteklių ir vieną leidžiamą programos operaciją. Keturi patikrinimai, dvi saugyklos ir rašytinis rezultatas kiekvienam deriniui.
Tada išbandykite neigiamus atvejus: išteklių, kurio paskyra neturėtų pasiekti, ir paskyrą, kuri turėtų būti iš karto atmesta. Dizainas, kuris įrodo tik teigiamą kelią, linkęs palikti atvirą antrą įėjimą, ypač kai tas pats trumpas naudotojo vardas yra abiejose saugyklose. Išjunkite katalogo paskyrą ir patvirtinkite, kad vietinė tyliai nebetęsia darbo.
Peržiūrėkite pasikartojančius vardus kaip diegimo dalį, o ne po incidento. Tas pats asmuo dviejose saugyklose vienu metu yra palaikymo patogumas ir audito problema, o ugniasienė mielai autentifikuoja tą, kurią sukonfigūravote.
Išlaikykite siaurą atkūrimo kelią
Išsaugokite MFA politiką kiekvienai paskyrų klasei, o ne atleiskite vietines paskyras nuo jos. Jei vietinės paskyros siūlo patvirtintą atkūrimo kelią katalogo sutrikimui, apribokite tą kelią įvardytiems administratoriams ir naudokite jį sąmoningai, nes vietinė avarinė paskyra kiekvienam darbuotojui yra antra autentifikavimo sistema su silpnesne priežiūra.
Įrašykite kliento domeną, autentifikavimo šaltinį ir veiksmingą prieigą į tą patį įrašą. Kitas administratorius tada galės atkartoti veikiantį mišrių paskyrų dizainą, o ne bandyti domenų eilutes, kol prisijungimas pavyks.