NetExtender нэвтэрч байна, гэвч хандалт байхгүй: SonicWall локал + LDAP
NetExtender холбогддог ч юу ч хариу өгөхгүй: SonicWall баталгаажуулалт, SSL VPN үйлчилгээний гишүүнчлэл, локал болон LDAP хэрэглэгчдийн VPN хандалтын зөвшөөрлийг тусад нь авч үзээрэй.
Нэвтрэлт амжилттай болж, туннель өргөгдөж, галт ханын ард юу ч хариу өгөхгүй байна. SonicWall SSL VPN дээрх энэ хэв маяг нь бүртгэл баталгаажуулалтыг давсан боловч дараах хоёр зөвшөөрлийн аль нэг дээр зогссоныг илтгэдэг: SSL VPN үйлчилгээнд хүлээн авах эсвэл нөөцөд хүрэх зөвшөөрөл. Холимог локал болон LDAP бүртгэл байдалд хүндрэл учруулдаг, учир нь хоёр сан эдгээр зөвшөөрөлд өөр өөр замаар хүрдэг. Шинж тэмдэг нь клиентийн талаас ижил тул давхаргуудыг санаатайгаар тусгаарлах шаардлагатай.
Шинж тэмдэг ба түүний ард байх гурван зөвшөөрөл
Хэрэглэгчийн нэр ба хүрч болох серверийн хооронд гурван бие даасан шийдвэр байна. Баталгаажуулалтын арга нь итгэмжлэлийг хүлээж авах эсэх, аль сан хүлээж авахыг шийднэ. SSL VPN үйлчилгээний гишүүнчлэл нь тухайн хэн болохыг SSL VPN ашиглах эсэхийг шийднэ. VPN хандалтын жагсаалт нь сесс ямар хувийн чиглэлд хүрч болохыг шийднэ. Нэгийг давах нь дараагийн хоёрын талаар юу ч хэлэхгүй.
Баталгаажсан боловч SSL VPN үйлчилгээний бүлэгт ороогүй хэрэглэгч холбогдож, дараа нь юу ч зөөхгүй холболт харж, галт ханын лог алдааны оронд хүлээн авсан нэвтрэлтийг харуулна. Энэ бол хурдан таних ёстой тохиолдол, учир нь шийдэл нь бүлгийн гишүүнчлэл болохоос нууц үг шинэчлэх биш.
Хүлээн авсан боловч нөөцгүй хэрэглэгч холбогдож, хаана ч ашигтай чиглүүлэхгүй сессийг харна. Хоёулаа дэмжлэгийн үйлчилгээнээс эвдэрсэн туннель мэт харагдах ба хоёулаа холболт биш, тохиргоо юм.
Домэйн талбар нь лавлах биш
NetExtender домэйн асуудаг бөгөөд энэ талбар нь Active Directory-ийн хайлтын суурь биш. Анхдагч зохицуулалтад талбар нь галт ханаас тохируулсан SSL VPN хэрэглэгчийн домэйнтэй тэнцүү байх ёстой бөгөөд үүний баримтжуулсан анхдагч утга нь LocalDomain. Харьцуулалт том, жижиг үсгийг ялгадаг тул өөр үсгийн хэмжээгээр бичсэн утга бүртгэл зөв байсан ч бүтэлгүйтнэ.
Баталгаажуулалтын хуваалт тохируулсан бол хуваалтын нэрс гадаад баталгаажуулалтын контекстийг сонгож, тохируулсан анхдагч нь өөрийн үүргийг хадгална. Хоёр зохицуулалтад клиентийн талын домэйн шошго нь хэрэглэгчийн нэрийн хэсэг болж LDAP эсвэл RADIUS-д дамжуулагдахгүй тул лавлах хайлтыг чиглүүлж чадахгүй.
Гурван мөрийг тэмдэглэлдээ тусад нь хадгал: компанийн DNS дагавар, LDAP хайлтын суурь, NetExtender домэйн шошго. Тэд ижил төстэй харагдах ба аль нэг нь нөгөөг орлохгүй. Энэ суулгалтад операторын утгыг хуулбарла, өөр програм хангамжийн хувилбарын тухай форумын нийтлэлээс утга биш.
Хүлээн авалт ба нөөцийн хандалт нь тусдаа зөвшөөрөл
Локал бүртгэлүүд үйлчилгээ тэднийг хүлээж авахаас өмнө SSL VPN үйлчилгээний бүлэгт гишүүн байх шаардлагатай. Лавлах бүртгэлүүд ижил бүлэгт дэмжигдсэн бүлгийн зураглалын ажлын урсгалаар хүрдэг, энэ нь LDAP бүлгийн харилцааг тохируулж, дараа нь лавлах талаас таамаглахын оронд үр дүнтэй гишүүнчлэл гэж баталгаажуулах шаардлагатай гэсэн үг.
Нөөцийн хандалт дараа нь ирнэ, хэрэглэгч эсвэл бүлгийн VPN хандалтын доор. Үүрэгт шаардлагатай тодорхой дэд сүлжээ, үйлчилгээг өгч, нэг програм шаардлагатай гэсэн шалтгаанаар бүх LAN-ыг өгөх богино замаас зайлсхий. Сессийн маршрутууд, хандалтын дүрмүүд, очих үйлчилгээний зөвшөөрлүүд бүгд энэ хүрээтэй нийцэх ёстой.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Клиент дээрх маршрут нь чиглэлийг сонгох боломжтой болгож, түүнд зөвшөөрөл өгөхгүй. SSL VPN бүлгийн гишүүнчлэл нь бүртгэлийг галт ханын администратор болгохгүй бөгөөд үүнийг ерөнхий эрх олголт гэж үзэх ёсгүй.
Хоёр хэн болох, тус бүр дөрвөн шалгалт
Нэг локал, нэг лавлах бүртгэлээр туршиж үзээрэй, хоёулаа нарийн эрхтэй, хоёулаа туршилтын бүртгэл гэж баримтжуулсан. Тус бүрд нэвтрэлтийг хүлээж авсан баталгаажуулалтын эх сурвалж, үр дүнтэй бүлгүүд, олгосон нөөцийн хандалт, зөвшөөрөгдсөн нэг програмын үйлдлийг тэмдэглэ. Дөрвөн шалгалт, хоёр сан, хослол бүрд бичмэл үр дүн.
Дараа нь сөрөг тохиолдлуудыг туршина уу: бүртгэл хүрэх ёсгүй нөөц, шууд татгалзах ёстой бүртгэл. Зөвхөн эерэг замыг нотолсон загвар нь ялангуяа ижил богино хэрэглэгчийн нэр хоёр санд байх үед хоёр дахь орох хаалгыг нээлттэй орхих хандлагатай. Лавлах бүртгэлийг идэвхгүй болгож, локал бүртгэл чимээгүй үргэлжлүүлэн ажиллахгүй байгааг батал.
Давхардсан нэрсийг ослын дараа биш, нэвтрүүлэлтийн хэсэг болгон хяна. Нэг хүн хоёр санд байх нь нэгэн зэрэг дэмжлэгийн тав тух, аудитын асуудал бөгөөд галт хана таны тохируулсан хувилбарыг дуртайяа баталгаажуулна.
Сэргээх замыг нарийн байлга
Локал бүртгэлийг чөлөөлөхийн оронд бүртгэлийн анги бүрд MFA бодлогыг хадгал. Хэрэв локал бүртгэлүүд лавлах тасалдалд зориулсан зөвшөөрөгдсөн сэргээх зам санал болгодог бол тэр замыг нэрлэсэн администраторуудад хязгаарлаж, санаатайгаар ажиллуул, учир нь ажилтан бүрд локал яаралтай бүртгэл байх нь хяналт сул хоёр дахь баталгаажуулалтын систем юм.
Клиентийн домэйн, баталгаажуулалтын эх сурвалж, үр дүнтэй хандалтыг нэг бичлэгт бич. Дараагийн администратор нэвтрэлт амжилттай болох хүртэл домэйн мөрүүдийг туршиж үзэхийн оронд ажилладаг холимог бүртгэлийн загварыг дахин үүсгэж чадна.