NetExtender ലോഗിൻ ചെയ്യുന്നു പക്ഷേ പ്രവേശനമില്ല: SonicWall പ്രാദേശിക + LDAP
NetExtender കണക്ട് ചെയ്യുന്നു പക്ഷേ ഒന്നും പ്രതികരിക്കുന്നില്ല: SonicWall പ്രാമാണീകരണം, SSL VPN സേവനത്തിലെ അംഗത്വം, പ്രാദേശിക, LDAP ഉപയോക്താക്കൾക്കുള്ള VPN ആക്സസ് അനുമതികൾ എന്നിവ വെവ്വേറെ പരിശോധിക്കുക.
ലോഗിൻ വിജയിക്കുന്നു, ടണൽ ഉയരുന്നു, ഫയർവാളിന് പിന്നിൽ ഒന്നും പ്രതികരിക്കുന്നില്ല. SonicWall SSL VPN ൽ ഈ മാതൃക സാധാരണയായി അർത്ഥമാക്കുന്നത് അക്കൗണ്ട് പ്രാമാണീകരണം കടന്ന് പിന്നീടുള്ള രണ്ട് അനുമതികളിൽ ഒന്നിൽ നിന്നു എന്നാണ്: SSL VPN സേവനത്തിലേക്കുള്ള പ്രവേശനം, അല്ലെങ്കിൽ ഒരു വിഭവം എത്തിച്ചേരാനുള്ള അനുമതി. പ്രാദേശിക, LDAP അക്കൗണ്ടുകൾ കലർന്നാൽ സ്ഥിതി കൂടുതൽ വഷളാകും, കാരണം രണ്ട് സംഭരണികളും ഈ അനുമതികളിൽ വ്യത്യസ്ത വഴികളിലൂടെ എത്തുന്നു. ക്ലയന്റിൽ നിന്ന് ലക്ഷണം ഒരുപോലെയാണ്, അതിനാൽ പാളികൾ ബോധപൂർവം വേർതിരിക്കണം.
ലക്ഷണവും അതിന് പിന്നിലെ മൂന്ന് അനുമതികളും
ഉപയോക്തൃനാമവും എത്തിച്ചേരാവുന്ന സെർവറും തമ്മിൽ മൂന്ന് സ്വതന്ത്ര തീരുമാനങ്ങളുണ്ട്. പ്രാമാണീകരണ രീതി ക്രെഡൻഷ്യലുകൾ സ്വീകരിക്കപ്പെടുന്നുണ്ടോ, ഏത് സംഭരണി സ്വീകരിക്കുന്നു എന്ന് തീരുമാനിക്കുന്നു. SSL VPN സേവനത്തിലെ അംഗത്വം ആ ഐഡന്റിറ്റിക്ക് SSL VPN ഉപയോഗിക്കാമോ എന്ന് തീരുമാനിക്കുന്നു. VPN ആക്സസ് പട്ടിക സെഷൻ ഏത് സ്വകാര്യ ലക്ഷ്യങ്ങളിൽ എത്താം എന്ന് തീരുമാനിക്കുന്നു. ഒന്ന് കടന്നാൽ അടുത്ത രണ്ടിനെക്കുറിച്ച് ഒന്നും പറയാനാവില്ല.
പ്രാമാണീകരിക്കപ്പെട്ടെങ്കിലും SSL VPN സേവന ഗ്രൂപ്പിലില്ലാത്ത ഉപയോക്താവ് രൂപപ്പെട്ട് പിന്നീട് ഒന്നും വഹിക്കാത്ത കണക്ഷൻ കാണുന്നു, ഫയർവാൾ ലോഗ് പരാജയത്തിനു പകരം സ്വീകരിച്ച ലോഗിൻ കാണിക്കുന്നു. പെട്ടെന്ന് തിരിച്ചറിയേണ്ട സാഹചര്യം ഇതാണ്, കാരണം പരിഹാരം ഗ്രൂപ്പ് അംഗത്വമാണ്, പാസ്വേഡ് റീസെറ്റല്ല.
സ്വീകരിക്കപ്പെട്ടെങ്കിലും വിഭവങ്ങളില്ലാത്ത ഉപയോക്താവ് കണക്ട് ചെയ്ത് ഉപയോഗപ്രദമായ എവിടെയും എത്താത്ത സെഷൻ കാണുന്നു. ഹെൽപ്പ് ഡെസ്കിന്റെ കാഴ്ചയിൽ രണ്ടും പൊട്ടിയ ടണൽ പോലെയാണ്, രണ്ടും കണക്റ്റിവിറ്റിയല്ല, കോൺഫിഗറേഷൻ പ്രശ്നമാണ്.
ഡൊമെയ്ൻ ബോക്സ് ഡയറക്ടറി അല്ല
NetExtender ഒരു ഡൊമെയ്ൻ ചോദിക്കുന്നു, ആ ഫീൽഡ് Active Directory-യുടെ തിരയൽ അടിത്തറയല്ല. ഡിഫോൾട്ട് ക്രമീകരണത്തിൽ ഫീൽഡ് ഫയർവാൾ ക്രമീകരിച്ച SSL VPN ഉപയോക്തൃ ഡൊമെയ്നിന് തുല്യമായിരിക്കണം, അതിനുള്ള രേഖപ്പെടുത്തിയ ഡിഫോൾട്ട് മൂല്യം LocalDomain. താരതമ്യം കേസ്-സെൻസിറ്റീവ് ആണ്, അതിനാൽ വ്യത്യസ്ത അക്ഷരവലിപ്പത്തിൽ ടൈപ്പ് ചെയ്ത മൂല്യം അക്കൗണ്ട് ശരിയാണെങ്കിലും പരാജയപ്പെടും.
പ്രാമാണീകരണ വിഭജനം ക്രമീകരിച്ചിട്ടുണ്ടെങ്കിൽ, വിഭജന നാമങ്ങൾ ബാഹ്യ പ്രാമാണീകരണ സന്ദർഭം തിരഞ്ഞെടുക്കുന്നു, ക്രമീകരിച്ച ഡിഫോൾട്ട് അതിന്റെ പങ്ക് നിലനിർത്തുന്നു. രണ്ട് ക്രമീകരണങ്ങളിലും ക്ലയന്റ് ഭാഗത്തെ ഡൊമെയ്ൻ ലേബൽ ഉപയോക്തൃനാമത്തിന്റെ ഭാഗമായി LDAP അല്ലെങ്കിൽ RADIUS-ലേക്ക് അയക്കുന്നില്ല, അതിനാൽ അത് ഡയറക്ടറി തിരയൽ നയിക്കാനാവില്ല.
മൂന്ന് സ്ട്രിംഗുകളും നിങ്ങളുടെ കുറിപ്പുകളിൽ വെവ്വേറെ സൂക്ഷിക്കുക: കമ്പനിയുടെ DNS പ്രത്യയം, LDAP തിരയൽ അടിത്തറ, NetExtender ഡൊമെയ്ൻ ലേബൽ. അവ ഒരുപോലെ തോന്നും, ഒന്നും മറ്റൊന്നിന്റെ സ്ഥാനം എടുക്കുന്നില്ല. ഈ ഇൻസ്റ്റലേഷനുള്ള ഓപ്പറേറ്ററുടെ മൂല്യം പകർത്തുക, മറ്റൊരു ഫേംവെയർ പതിപ്പിനെക്കുറിച്ചുള്ള ഫോറം പോസ്റ്റിലെ മൂല്യമല്ല.
സ്വീകരണവും വിഭവ പ്രവേശനവും വെവ്വേറെ അനുമതികളാണ്
പ്രാദേശിക അക്കൗണ്ടുകൾക്ക് സേവനം സ്വീകരിക്കുന്നതിന് മുൻപ് SSL VPN സേവന ഗ്രൂപ്പിലെ അംഗത്വം വേണം. ഡയറക്ടറി അക്കൗണ്ടുകൾ പിന്തുണയുള്ള ഗ്രൂപ്പ് മാപ്പിംഗ് വർക്ക്ഫ്ലോയിലൂടെ അതേ ഗ്രൂപ്പിൽ എത്തുന്നു, അതായത് LDAP ഗ്രൂപ്പ് ബന്ധം ക്രമീകരിച്ച് പിന്നീട് ഡയറക്ടറി ഭാഗത്തുനിന്ന് അനുമാനിക്കാതെ ഫലപ്രദമായ അംഗത്വമായി പരിശോധിക്കണം.
വിഭവ പ്രവേശനം അതിനുശേഷം വരുന്നു, ഉപയോക്താവിലോ ഗ്രൂപ്പിലോ ഉള്ള VPN ആക്സസിന് കീഴിൽ. റോളിന് ആവശ്യമുള്ള പ്രത്യേക സബ്നെറ്റുകളും സേവനങ്ങളും മാത്രം നൽകുക, ഒരു ആപ്ലിക്കേഷൻ വേണമെന്ന കാരണത്താൽ മുഴുവൻ LAN നൽകുന്ന ഷോർട്ട്കട്ട് ഒഴിവാക്കുക. സെഷന്റെ റൂട്ടുകൾ, ആക്സസ് നിയമങ്ങൾ, ലക്ഷ്യ സേവനത്തിന്റെ അനുമതികൾ എന്നിവയെല്ലാം ഈ പരിധിയുമായി യോജിക്കണം.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
ക്ലയന്റിലെ റൂട്ട് ലക്ഷ്യത്തെ തിരഞ്ഞെടുക്കാവുന്നതാക്കുന്നു, അതിന് അനുമതി നൽകുന്നില്ല. SSL VPN ഗ്രൂപ്പിലെ അംഗത്വം അക്കൗണ്ടിനെ ഫയർവാൾ അഡ്മിനിസ്ട്രേറ്ററാക്കുകയുമില്ല, അതിനെ പൊതുവായ പ്രത്യേകാവകാശ നൽകലായി കാണരുത്.
രണ്ട് ഐഡന്റിറ്റികൾ, ഓരോന്നിനും നാല് പരിശോധനകൾ
ഒരു പ്രാദേശിക അക്കൗണ്ടും ഒരു ഡയറക്ടറി അക്കൗണ്ടും ഉപയോഗിച്ച് പരിശോധിക്കുക, രണ്ടിനും ഇടുങ്ങിയ അനുമതി നൽകി രണ്ടിനെയും പരീക്ഷണ അക്കൗണ്ടുകളായി രേഖപ്പെടുത്തുക. ഓരോന്നിനും ലോഗിൻ സ്വീകരിച്ച പ്രാമാണീകരണ ഉറവിടം, ഫലപ്രദമായ ഗ്രൂപ്പുകൾ, അനുവദിച്ച വിഭവ പ്രവേശനം, ഒരു അനുവദിച്ച ആപ്ലിക്കേഷൻ പ്രവർത്തനം എന്നിവ രേഖപ്പെടുത്തുക. നാല് പരിശോധനകൾ, രണ്ട് സംഭരണികൾ, ഓരോ സംയോജനത്തിനും ലിഖിത ഫലം.
തുടർന്ന് നെഗറ്റീവ് സാഹചര്യങ്ങൾ പരിശോധിക്കുക: അക്കൗണ്ട് എത്തരുതാത്ത വിഭവം, ഉടൻ നിരസിക്കേണ്ട അക്കൗണ്ട്. പോസിറ്റീവ് വഴി മാത്രം തെളിയിക്കുന്ന രൂപകൽപ്പന പലപ്പോഴും രണ്ടാം പ്രവേശന കവാടം തുറന്നിടും, പ്രത്യേകിച്ച് അതേ ചെറിയ ഉപയോക്തൃനാമം രണ്ട് സംഭരണികളിലും ഉള്ളപ്പോൾ. ഡയറക്ടറി അക്കൗണ്ട് പ്രവർത്തനരഹിതമാക്കി പ്രാദേശിക അക്കൗണ്ട് നിശ്ശബ്ദമായി തുടരുന്നില്ലെന്ന് ഉറപ്പാക്കുക.
ആവർത്തിച്ച പേരുകളുടെ അവലോകനം വിന്യാസത്തിന്റെ ഭാഗമായി ചെയ്യുക, സംഭവത്തിനുശേഷമല്ല. ഒരാൾ രണ്ട് സംഭരണികളിലുണ്ടാകുന്നത് ഒരേസമയം പിന്തുണയുടെ സൗകര്യവും ഓഡിറ്റ് പ്രശ്നവുമാണ്, ഫയർവാൾ നിങ്ങൾ ക്രമീകരിച്ചതിനെ സന്തോഷത്തോടെ പ്രാമാണീകരിക്കും.
വീണ്ടെടുപ്പ് പാത ഇടുങ്ങിയതാക്കുക
പ്രാദേശിക അക്കൗണ്ടുകൾക്ക് ഒഴിവാക്കൽ നൽകുന്നതിനു പകരം ഓരോ അക്കൗണ്ട് വിഭാഗത്തിനും MFA നയം നിലനിർത്തുക. പ്രാദേശിക അക്കൗണ്ടുകൾ ഡയറക്ടറി തടസ്സത്തിന് അംഗീകൃത വീണ്ടെടുപ്പ് പാത നൽകുന്നുവെങ്കിൽ, ആ പാത പേരെടുത്ത അഡ്മിനിസ്ട്രേറ്റർമാരിൽ മാത്രം പരിമിതപ്പെടുത്തി ബോധപൂർവം പ്രവർത്തിപ്പിക്കുക, കാരണം ഓരോ ജീവനക്കാരനും പ്രാദേശിക അടിയന്തര അക്കൗണ്ട് എന്നത് ദുർബല മേൽനോട്ടമുള്ള രണ്ടാം പ്രാമാണീകരണ സംവിധാനമാണ്.
ക്ലയന്റ് ഡൊമെയ്ൻ, പ്രാമാണീകരണ ഉറവിടം, ഫലപ്രദമായ പ്രവേശനം എന്നിവ ഒരേ റെക്കോർഡിൽ എഴുതുക. അടുത്ത അഡ്മിനിസ്ട്രേറ്റർക്ക് പ്രവർത്തിക്കുന്ന മിശ്രിത അക്കൗണ്ട് രൂപകൽപ്പന പുനർനിർമ്മിക്കാം, ലോഗിൻ വിജയിക്കുന്നതുവരെ ഡൊമെയ്ൻ സ്ട്രിംഗുകൾ പരീക്ഷിക്കുന്നതിനു പകരം.