NetExtender लॉग इन होतो पण प्रवेश नाही: SonicWall स्थानिक + LDAP
NetExtender जोडतो पण काहीही उत्तर देत नाही: SonicWall प्रमाणीकरण, SSL VPN सेवेची सदस्यता आणि स्थानिक व LDAP वापरकर्त्यांसाठी VPN प्रवेश परवानग्या वेगळ्या तपासा।
लॉग इन यशस्वी होते, टनेल उभी राहते आणि फायरवॉलच्या मागे काहीही उत्तर देत नाही। SonicWall SSL VPN वर हा नमुना सहसा दर्शवतो की खाते प्रमाणीकरणातून गेले आणि पुढील दोन परवानग्यांपैकी एकीवर थांबले: SSL VPN सेवेत स्वीकृती, किंवा एखाद्या संसाधनापर्यंत पोहोचण्याची परवानगी। स्थानिक आणि LDAP खाती मिसळलेली असल्यास परिस्थिती बिघडते, कारण दोन्ही भांडारे या परवानग्यांपर्यंत वेगळ्या मार्गांनी पोहोचतात। क्लायंटकडून लक्षणे सारखीच असतात, म्हणून स्तर जाणीवपूर्वक वेगळे करावे लागतात।
लक्षण आणि त्यामागील तीन परवानग्या
वापरकर्तानाव आणि पोहोचण्यायोग्य सर्व्हर यांच्यात तीन स्वतंत्र निर्णय असतात। प्रमाणीकरणाची पद्धत ठरवते की क्रेडेन्शियल्स स्वीकारली जातात की नाही आणि कोणते भांडार ती स्वीकारते। SSL VPN सेवेची सदस्यता ठरवते की ही ओळख SSL VPN वापरू शकते की नाही। VPN प्रवेश सूची ठरवते की सत्र कोणत्या खाजगी गंतव्यांपर्यंत पोहोचू शकते। एकातून गेल्याने पुढील दोनबद्दल काहीही सांगता येत नाही।
जो वापरकर्ता प्रमाणित होतो पण SSL VPN सेवा गटात नाही, त्याला असा कनेक्शन दिसतो जो तयार होतो आणि नंतर काहीही वाहत नाही, आणि फायरवॉल लॉग अपयशाऐवजी स्वीकारलेला लॉगिन दाखवतो। हीच अशी स्थिती आहे जी लवकर ओळखावी, कारण उपाय गटाची सदस्यता आहे, पासवर्ड रीसेट नाही।
जो वापरकर्ता स्वीकारला जातो पण त्याच्याकडे संसाधने नाहीत, त्याला असे सत्र दिसते जे जोडते आणि उपयुक्त कुठेही मार्गस्थ होत नाही। हेल्प डेस्कच्या दृष्टीने दोन्ही तुटलेल्या टनेलसारखे दिसतात, आणि दोन्ही कनेक्टिव्हिटी नाही तर कॉन्फिगरेशनची समस्या आहेत।
डोमेन बॉक्स ही डायरेक्टरी नाही
NetExtender डोमेन विचारतो, आणि ते फील्ड Active Directory साठी शोध आधार नाही। डीफॉल्ट रचनेत फील्ड त्या SSL VPN वापरकर्ता डोमेनशी समान असले पाहिजे जो फायरवॉलने कॉन्फिगर केला आहे, आणि त्यासाठी नोंदवलेले डीफॉल्ट मूल्य आहे LocalDomain। तुलना केस-संवेदनशील आहे, त्यामुळे वेगळ्या मोठ्या-लहान अक्षरांत टाइप केलेले मूल्य खाते बरोबर असले तरी अपयशी ठरते।
जेव्हा प्रमाणीकरण विभाजन कॉन्फिगर केलेले असते, तेव्हा विभाजन नावे बाह्य प्रमाणीकरण संदर्भ निवडतात, आणि कॉन्फिगर केलेले डीफॉल्ट आपली भूमिका राखते। दोन्ही रचनांमध्ये क्लायंटच्या बाजूचे डोमेन लेबल वापरकर्तानावाचा भाग म्हणून LDAP किंवा RADIUS कडे पाठवले जात नाही, त्यामुळे ते डायरेक्टरी शोध मार्गदर्शित करू शकत नाही।
तीनही स्ट्रिंग तुमच्या टिपांमध्ये वेगळ्या ठेवा: कंपनीचा DNS प्रत्यय, LDAP शोध आधार आणि NetExtender डोमेन लेबल। ते सारखे दिसतात आणि एक दुसऱ्याची जागा घेत नाही। या इन्स्टॉलेशनसाठी ऑपरेटरचे मूल्य कॉपी करा, दुसऱ्या फर्मवेअर आवृत्तीबद्दलच्या फोरम पोस्टमधील मूल्य नाही।
स्वीकृती आणि संसाधन प्रवेश वेगळ्या परवानग्या आहेत
स्थानिक खात्यांना सेवा स्वीकारण्यापूर्वी SSL VPN सेवा गटाची सदस्यता आवश्यक असते। डायरेक्टरी खाती त्याच गटापर्यंत समर्थित गट मॅपिंग वर्कफ्लोद्वारे पोहोचतात, म्हणजे LDAP गट संबंध कॉन्फिगर करावा लागतो आणि नंतर डायरेक्टरी बाजूने गृहीत धरण्याऐवजी प्रभावी सदस्यता म्हणून सत्यापित करावा लागतो।
संसाधन प्रवेश त्यानंतर येतो, वापरकर्ता किंवा गटावरील VPN प्रवेशाखाली। भूमिकेला आवश्यक असलेले विशिष्ट सबनेट आणि सेवा द्या, आणि एक अनुप्रयोग आवश्यक असल्याने संपूर्ण LAN देण्याच्या शॉर्टकटला बळी पडू नका। सत्राचे मार्ग, प्रवेश नियम आणि गंतव्य सेवेच्या परवानग्या सर्वांनी या व्याप्तीशी जुळले पाहिजेत।
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
क्लायंटवरील मार्ग गंतव्य निवडण्यायोग्य करतो आणि त्यास परवानगी देत नाही। SSL VPN गटाची सदस्यता खात्याला फायरवॉल प्रशासकही बनवत नाही, आणि ती सामान्य विशेषाधिकार देण्यासारखी मानू नये।
दोन ओळखी, प्रत्येकी चार तपासण्या
एका स्थानिक खात्याने आणि एका डायरेक्टरी खात्याने चाचणी करा, दोन्हींना मर्यादित परवानगी द्या आणि दोन्ही चाचणी खाती म्हणून नोंदवा। प्रत्येकासाठी लॉगिन स्वीकारणारा प्रमाणीकरण स्रोत, प्रभावी गट, नियुक्त संसाधन प्रवेश आणि एक अनुमत अनुप्रयोग क्रिया नोंदवा। चार तपासण्या, दोन भांडारे आणि प्रत्येक संयोजनासाठी लिखित निकाल।
नंतर नकारात्मक प्रसंग तपासा: खात्याने ज्या संसाधनापर्यंत पोहोचू नये ते संसाधन, आणि त्वरित नाकारले जावे असे खाते। केवळ सकारात्मक मार्ग सिद्ध करणारी रचना अनेकदा दुसरे दार उघडे ठेवते, विशेषतः जेव्हा तेच लहान वापरकर्तानाव दोन्ही भांडारांमध्ये असते। डायरेक्टरी खाते बंद करा आणि स्थानिक खाते गुपचूप कार्यरत राहत नाही याची खात्री करा।
पुनरावृत्त नावांचा आढावा तैनातीचा भाग म्हणून घ्या, घटनेनंतर नाही। एकच व्यक्ती दोन भांडारांमध्ये असणे एकाच वेळी सहाय्याची सोय आणि लेखापरीक्षणाची समस्या आहे, आणि फायरवॉल तुम्ही कॉन्फिगर केलेल्यालाच आनंदाने प्रमाणित करेल।
पुनर्प्राप्तीचा मार्ग अरुंद ठेवा
स्थानिक खात्यांना सूट देण्याऐवजी प्रत्येक खाते वर्गासाठी MFA धोरण ठेवा। जर स्थानिक खाती डायरेक्टरी अडथळ्यासाठी मंजूर पुनर्प्राप्ती मार्ग देत असतील, तर तो मार्ग नामनिर्देशित प्रशासकांपुरता मर्यादित ठेवा आणि जाणीवपूर्वक चालवा, कारण प्रत्येक कर्मचाऱ्यासाठी स्थानिक आपत्कालीन खाते कमकुवत देखरेखीची दुसरी प्रमाणीकरण प्रणाली आहे।
क्लायंट डोमेन, प्रमाणीकरण स्रोत आणि प्रभावी प्रवेश एकाच नोंदीत लिहा। पुढील प्रशासक नंतर कार्यरत मिश्र खाते रचना पुन्हा तयार करू शकतो, लॉगिन यशस्वी होईपर्यंत डोमेन स्ट्रिंगज तपासण्याऐवजी।