NetExtender piesakās, bet piekļuves nav: SonicWall lokālais + LDAP
NetExtender savienojas, bet nekas neatbild: atdaliet SonicWall autentifikāciju, dalību SSL VPN servisā un VPN piekļuves atļaujas lokālajiem un LDAP lietotājiem.
Pieteikšanās izdodas, tunelis paceļas, un nekas aiz ugunsmūra neatbild. Šis modelis SonicWall SSL VPN parasti nozīmē, ka konts ir izturējis autentifikāciju un apstājies pie vienas no divām vēlākām atļaujām: uzņemšanas SSL VPN servisā vai atļaujas sasniegt resursu. Jaukti lokālie un LDAP konti to pasliktina, jo abas krātuves šīs atļaujas sasniedz pa dažādiem ceļiem. Simptoms klienta pusē ir identisks, tāpēc slāņi ir apzināti jāatdala.
Simptoms un trīs atļaujas aiz tā
Trīs neatkarīgi lēmumi atrodas starp lietotājvārdu un sasniedzamu serveri. Autentifikācijas metode izlemj, vai akreditācija tiek pieņemta un kura krātuve to pieņem. Dalība SSL VPN servisā izlemj, vai šī identitāte vispār drīkst izmantot SSL VPN. VPN piekļuves saraksts izlemj, kurus privātos galamērķus sesija drīkst sasniegt. Vienas pārvarēšana neko nepasaka par nākamajām divām.
Lietotājs, kurš autentificējas, bet nav SSL VPN servisa grupā, redz savienojumu, kas izveidojas un pēc tam neko nepārraida, un ugunsmūra žurnāls rāda pieņemtu pieteikšanos, nevis kļūdu. Šis ir gadījums, ko ir vērts ātri atpazīt, jo risinājums ir dalība grupā, nevis paroles atiestatīšana.
Lietotājs, kurš tiek uzņemts, bet kuram nav resursu, redz sesiju, kas savienojas un nekur lietderīgi nevirza. Abi no atbalsta dienesta izskatās kā salauzts tunelis, un abi ir konfigurācija, nevis savienojamība.
Domēna lauks nav direktorijs
NetExtender jautā domēnu, un šis lauks nav Active Directory meklēšanas bāze. Noklusējuma izkārtojumā laukam jābūt vienādam ar to SSL VPN lietotāja domēnu, kuru ugunsmūris ir konfigurējis, un dokumentētā noklusējuma vērtība tam ir LocalDomain. Salīdzinājums izšķir lielos un mazos burtus, tāpēc ar citu burtu izmēru ievadīta vērtība neizdodas pat tad, ja konts ir pareizs.
Kad autentifikācijas sadalījums ir konfigurēts, sadalījumu nosaukumi izvēlas ārējo autentifikācijas kontekstu, un konfigurētais noklusējums saglabā savu lomu. Abos izkārtojumos klienta puses domēna etiķete netiek pārsūtīta uz LDAP vai RADIUS kā lietotājvārda daļa, tāpēc to nevar izmantot direktorija meklēšanas virzīšanai.
Turiet trīs virknes atsevišķi savās piezīmēs: uzņēmuma DNS sufikss, LDAP meklēšanas bāze un NetExtender domēna etiķete. Tās izskatās līdzīgas, un neviena neaizstāj citu. Kopējiet operatora vērtību šai instalācijai, nevis vērtību no foruma ziņas par citu programmaparatūras versiju.
Uzņemšana un resursu piekļuve ir atsevišķas atļaujas
Lokālajiem kontiem nepieciešama dalība SSL VPN servisa grupā, pirms serviss tos pieņem. Direktorija konti sasniedz to pašu grupu ar atbalstīto grupu kartēšanas darbplūsmu, kas nozīmē, ka LDAP grupas saistība ir jākonfigurē un pēc tam jāpārbauda kā faktiska dalība, nevis jāpieņem no direktorija puses.
Resursu piekļuve nāk pēc tam, sadaļā VPN piekļuve lietotājam vai grupai. Piešķiriet konkrētos apakštīklus un pakalpojumus, kas lomai nepieciešami, un pretstāviet saīsinājumam piešķirt visu LAN, jo ir nepieciešama viena lietotne. Sesijas maršruti, piekļuves noteikumi un galamērķa pakalpojuma atļaujas visiem jāsaskan ar šo apjomu.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Maršruts klientā padara galamērķi atlasāmu un neautorizē to. Dalība SSL VPN grupā arī nepadara kontu par ugunsmūra administratoru, un tā nav jāuztver kā vispārēja privilēģiju piešķiršana.
Divas identitātes, četras pārbaudes katrai
Pārbaudiet ar vienu lokālo kontu un vienu direktorija kontu, abi šauri autorizēti un abi dokumentēti kā testa konti. Katram reģistrējiet autentifikācijas avotu, kas pieņēma pieteikšanos, faktiskās grupas, piešķirto resursu piekļuvi un vienu atļautu lietojumprogrammas darbību. Četras pārbaudes, divas krātuves un rakstisks rezultāts katrai kombinācijai.
Pēc tam pārbaudiet negatīvos gadījumus: resursu, kuram kontam nevajadzētu piekļūt, un kontu, kas jānoraida uzreiz. Dizains, kas pierāda tikai pozitīvo ceļu, mēdz atstāt atvērtu otru ieeju, jo īpaši, ja tas pats īsais lietotājvārds pastāv abās krātuvēs. Atspējojiet direktorija kontu un apstipriniet, ka lokālais nav klusi turpinājis darboties.
Pārskatiet dublētos vārdus kā ieviešanas daļu, nevis pēc incidenta. Viena un tā pati persona divās krātuvēs vienlaikus ir atbalsta ērtība un audita problēma, un ugunsmūris labprāt autentificēs to, kuru jūs konfigurējāt.
Turiet atkopšanas ceļu šauru
Saglabājiet MFA politiku katrai kontu klasei, nevis atbrīvojiet lokālos kontus no tās. Ja lokālie konti nodrošina apstiprinātu atkopšanas ceļu direktorija pārtraukumam, ierobežojiet šo ceļu ar nosauktiem administratoriem un izmantojiet to apzināti, jo lokāls ārkārtas konts katram darbiniekam ir otra autentifikācijas sistēma ar vājāku uzraudzību.
Ierakstiet klienta domēnu, autentifikācijas avotu un faktisko piekļuvi tajā pašā ierakstā. Nākamais administrators tad varēs atkārtot strādājošu jauktu kontu dizainu, nevis pārbaudīt domēnu virknes, līdz pieteikšanās izdosies.