NetExtender log masuk tetapi tiada akses: SonicWall setempat + LDAP

Log masuk berjaya, terowong naik, dan tiada apa di belakang firewall menjawab. Corak itu pada SonicWall SSL VPN biasanya bermaksud akaun telah lulus pengesahan dan berhenti pada salah satu daripada dua pemberian kebenaran kemudian: kemasukan ke perkhidmatan SSL VPN, atau kebenaran untuk mencapai sumber. Akaun setempat dan LDAP bercampur memburukkannya, kerana kedua-dua stor mencapai kebenaran itu melalui laluan berbeza. Gejalanya sama dari sisi klien, sebab itu lapisan-lapisan mesti dipisahkan dengan sengaja.

Gejala dan tiga kebenaran di sebaliknya

Tiga keputusan bebas terletak antara nama pengguna dan pelayan yang boleh dicapai. Kaedah pengesahan menentukan sama ada kelayakan diterima dan oleh stor mana. Keahlian perkhidmatan SSL VPN menentukan sama ada identiti itu boleh menggunakan SSL VPN sama sekali. Senarai Akses VPN menentukan destinasi peribadi mana yang boleh dicapai oleh sesi. Lulus satu tidak mengatakan apa-apa tentang dua seterusnya.

Pengguna yang disahkan tetapi tidak berada dalam kumpulan perkhidmatan SSL VPN melihat sambungan yang terbentuk dan kemudian tidak membawa apa-apa, dan log firewall menunjukkan log masuk yang diterima dan bukannya kegagalan. Itulah kes yang wajar dikenali dengan cepat, kerana pembaikannya ialah keahlian kumpulan dan bukan set semula kata laluan.

Pengguna yang diterima tetapi tidak mempunyai sumber melihat sesi yang bersambung dan tidak menghala ke mana-mana yang berguna. Kedua-duanya kelihatan seperti terowong rosak dari meja bantuan, dan kedua-duanya ialah konfigurasi dan bukan konektiviti.

Kotak domain bukan direktori

NetExtender meminta domain, dan medan itu bukan asas carian untuk Active Directory. Dalam susunan lalai medan itu mesti sama dengan domain pengguna SSL VPN yang dikonfigurasikan oleh firewall, dan nilai lalai yang didokumenkan ialah LocalDomain. Perbandingan itu sensitif huruf besar, jadi nilai yang ditaip dengan huruf besar berbeza gagal walaupun akaun itu betul.

Apabila pembahagian pengesahan dikonfigurasikan, nama pembahagian memilih konteks pengesahan luaran, dan nilai lalai yang dikonfigurasikan mengekalkan peranannya sendiri. Dalam kedua-dua susunan, label domain sebelah klien tidak dihantar ke LDAP atau RADIUS sebagai bahagian nama pengguna, jadi ia tidak boleh digunakan untuk mengarahkan carian direktori.

Simpan ketiga-tiga rentetan secara berasingan dalam nota anda: akhiran DNS syarikat, asas carian LDAP dan label domain NetExtender. Ketiga-tiganya kelihatan serupa dan tiada satu menggantikan yang lain. Salin nilai pengendali untuk pemasangan ini dan bukan nilai daripada kiriman forum tentang keluaran firmware lain.

Kemasukan dan akses sumber ialah kebenaran berasingan

Akaun setempat memerlukan keahlian dalam kumpulan perkhidmatan SSL VPN sebelum perkhidmatan menerimanya. Akaun direktori mencapai kumpulan yang sama melalui aliran kerja pemetaan kumpulan yang disokong, yang bermaksud hubungan kumpulan LDAP mesti dikonfigurasikan dan kemudian disahkan sebagai keahlian berkesan dan bukannya diandaikan dari sebelah direktori.

Akses sumber menyusul, di bawah Akses VPN pada pengguna atau kumpulan. Berikan subnet dan perkhidmatan tertentu yang diperlukan oleh peranan, dan tahan diri daripada jalan pintas memberikan seluruh LAN kerana satu aplikasi diperlukan. Laluan sesi, peraturan akses dan kebenaran perkhidmatan destinasi semuanya mesti selaras dengan skop itu.

Laluan pada klien menjadikan destinasi boleh dipilih dan tidak memberikannya kebenaran. Keahlian dalam kumpulan SSL VPN juga tidak menjadikan akaun itu pentadbir firewall, dan ia tidak boleh dianggap sebagai pemberian keistimewaan umum.

Dua identiti, empat semakan setiap satu

Uji dengan satu akaun setempat dan satu akaun direktori, kedua-duanya diberi kuasa sempit dan kedua-duanya didokumenkan sebagai akaun ujian. Bagi setiap satu, catat sumber pengesahan yang menerima log masuk, kumpulan berkesan, akses sumber yang diberikan dan satu operasi aplikasi yang dibenarkan. Empat semakan, dua stor, dan hasil bertulis bagi setiap gabungan.

Kemudian uji kes negatif: sumber yang tidak sepatutnya dicapai oleh akaun, dan akaun yang sepatutnya ditolak terus. Reka bentuk yang hanya membuktikan laluan positif cenderung membiarkan pintu masuk kedua terbuka, terutamanya apabila nama pengguna pendek yang sama wujud dalam kedua-dua stor. Lumpuhkan akaun direktori dan pastikan akaun setempat tidak terus berfungsi secara senyap.

Semak nama pendua sebagai bahagian pelancaran dan bukannya selepas insiden. Orang yang sama dalam dua stor ialah kemudahan sokongan dan masalah audit pada masa yang sama, dan firewall akan mengesahkan mana-mana satu yang anda konfigurasikan dengan senang hati.

Kekalkan laluan pemulihan yang sempit

Kekalkan dasar MFA untuk setiap kelas akaun dan bukannya mengecualikan akaun setempat daripadanya. Jika akaun setempat menyediakan laluan pemulihan yang diluluskan untuk gangguan direktori, hadkan laluan itu kepada pentadbir bernama dan kendalikannya dengan sengaja, kerana akaun kecemasan setempat untuk setiap pekerja ialah sistem pengesahan kedua dengan pengawasan yang lebih lemah.

Tulis domain klien, sumber pengesahan dan akses berkesan dalam rekod yang sama. Pentadbir seterusnya kemudian boleh menghasilkan semula reka bentuk akaun bercampur yang berfungsi dan bukannya mencuba rentetan domain sehingga log masuk berjaya.