NetExtender jidħol iżda l-ebda aċċess: SonicWall lokali + LDAP
NetExtender jgħaqqad iżda xejn ma jwieġeb: ifred l-awtentikazzjoni ta' SonicWall, is-sħubija fis-servizz SSL VPN u l-permessi tal-Aċċess VPN għall-utenti lokali u LDAP.
Id-dħul jirnexxi, il-mina titla', u xejn wara l-firewall ma jwieġeb. Dan il-mudell fuq SonicWall SSL VPN normalment ifisser li l-kont għadda l-awtentikazzjoni u waqaf f'waħda minn żewġ permessi aktar tard: l-ammissjoni fis-servizz SSL VPN, jew il-permess biex jintlaħaq riżors. Kontijiet lokali u LDAP imħallta jagħmluha agħar, għax iż-żewġ maħżen jilħqu dawn il-permessi b'mogħdijiet differenti. Is-sintomu huwa identiku mill-klijent, u għalhekk is-saffi jridu jiġu separati apposta.
Is-sintomu u t-tliet permessi warajh
Tliet deċiżjonijiet indipendenti joqogħdu bejn isem tal-utent u server li jista' jintlaħaq. Il-metodu tal-awtentikazzjoni jiddeċiedi jekk il-kredenzjali jiġux aċċettati u minn liema maħżen. Is-sħubija fis-servizz SSL VPN tiddeċiedi jekk dik l-identità tistax tuża l-SSL VPN xejn. Il-lista tal-Aċċess VPN tiddeċiedi liema destinazzjonijiet privati s-sessjoni tista' tilħaq. Tgħaddi waħda ma tgħid xejn dwar it-tnejn li jmiss.
Utent li jawtentika ruħu iżda mhuwiex fil-grupp tas-servizz SSL VPN jara konnessjoni li tiġi stabbilita u mbagħad ma ġġorr xejn, u l-log tal-firewall juri dħul aċċettat minflok falliment. Dan huwa l-każ li jiswielu jinqara malajr, għax is-soluzzjoni hija sħubija fi grupp u mhux reset tal-password.
Utent li jiġi ammess iżda m'għandux riżorsi jara sessjoni li tgħaqqad u ma tinstradax fejn hu utli. It-tnejn jidhru bħal mina miksura mid-desk tal-għajnuna, u t-tnejn huma konfigurazzjoni u mhux konnettività.
Il-kaxxa tad-dominju mhix id-direttorju
NetExtender jitlob dominju, u dak il-qasam mhuwiex bażi ta' tfittxija għal Active Directory. Fl-arranġament standard il-qasam irid ikun ugwali għad-dominju tal-utent SSL VPN li jkun ikkonfigura l-firewall, u l-valur standard dokumentat għalih huwa LocalDomain. It-tqabbil huwa sensittiv għall-kapitali, għalhekk valur ittajpjat b'kapitali differenti jonqos anke meta l-kont ikun korrett.
Meta l-partizzjoni tal-awtentikazzjoni hija kkonfigurata, l-ismijiet tal-partizzjoni jagħżlu l-kuntest tal-awtentikazzjoni esterna minflok, u l-valur standard ikkonfigurat iżomm ir-rwol tiegħu. Fi kwalunkwe mill-arranġamenti, it-tikketta tad-dominju tal-klijent ma tiġix mgħoddija lil LDAP jew RADIUS bħala parti mill-isem tal-utent, għalhekk ma tistax tiggwida tfittxija fid-direttorju.
Żomm it-tliet stringi separati fin-noti tiegħek: is-suffiss DNS tal-kumpanija, il-bażi tat-tfittxija LDAP u t-tikketta tad-dominju NetExtender. Jidhru simili u ħadd minnhom ma jissostitwixxi ieħor. Ikkopja l-valur tal-operatur għal din l-installazzjoni u mhux valur minn post fil-forum dwar rilaxx ieħor tal-firmware.
L-ammissjoni u l-aċċess għar-riżorsi huma permessi separati
Il-kontijiet lokali jeħtieġu sħubija fil-grupp tas-servizz SSL VPN qabel ma s-servizz jaċċettahom. Il-kontijiet tad-direttorju jilħqu l-istess grupp permezz tal-fluss tax-xogħol tal-mappjar tal-gruppi appoġġjat, li jfisser li r-relazzjoni tal-grupp LDAP trid tiġi kkonfigurata u mbagħad verifikata bħala sħubija effettiva minflok preżunta min-naħa tad-direttorju.
L-aċċess għar-riżorsi jiġi wara, taħt l-Aċċess VPN fuq l-utent jew il-grupp. Agħti s-subnets u s-servizzi speċifiċi li r-rwol jeħtieġ, u tqabbelx il-qosor li tagħti l-LAN kollu għax hija meħtieġa applikazzjoni waħda. Ir-rotot tas-sessjoni, ir-regoli tal-aċċess u l-permessi tas-servizz tad-destinazzjoni kollha jridu jaqblu ma' dak l-ambitu.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Rotta fuq il-klijent tagħmel destinazzjoni selettabbli u ma tawtorizzahiex. Is-sħubija fil-grupp SSL VPN lanqas ma tagħmel il-kont amministratur tal-firewall, u m'għandhiex tiġi trattata bħala għoti ġenerali ta' privileġġi.
Żewġ identitajiet, erba' verifiki kull waħda
Ittestja b'kont lokali wieħed u kont tad-direttorju wieħed, it-tnejn awtorizzati b'mod dejjaq u t-tnejn dokumentati bħala kontijiet tat-test. Għal kull wieħed, irreġistra s-sors tal-awtentikazzjoni li aċċetta d-dħul, il-gruppi effettivi, l-aċċess għar-riżorsi assenjat u operazzjoni waħda tal-applikazzjoni permessa. Erba' verifiki, żewġ maħżen u riżultat miktub għal kull kombinazzjoni.
Imbagħad ittestja l-każijiet negattivi: riżors li l-kont m'għandux jilħaq, u kont li għandu jiġi rrifjutat mill-ewwel. Disinn li jipprova biss il-mogħdija pożittiva għandu tendenza jħalli t-tieni daħla miftuħa, speċjalment meta l-istess isem tal-utent qasir jeżisti fiż-żewġ maħżen. Itfi l-kont tad-direttorju u kkonferma li dak lokali ma jkomplix jaħdem bil-kwiet.
Irrevedi l-ismijiet duplikati bħala parti mill-varar u mhux wara inċident. L-istess persuna f'żewġ maħżen hija kemm konvenjenza għall-appoġġ kif ukoll problema tal-awditjar, u l-firewall jawtentika bil-pjaċir dak li kkonfigurajt.
Żomm il-mogħdija tal-irkupru dejqa
Żomm il-politika MFA għal kull klassi ta' kont minflok teħles il-kontijiet lokali minnha. Jekk il-kontijiet lokali joffru mogħdija tal-irkupru approvata għal waqfa tad-direttorju, illimita dik il-mogħdija għal amministraturi msemmija u ħaddimha b'mod deliberat, għax kont ta' emerġenza lokali għal kull impjegat huwa tieni sistema tal-awtentikazzjoni b'sorveljanza aktar dgħajfa.
Ikteb id-dominju tal-klijent, is-sors tal-awtentikazzjoni u l-aċċess effettiv fl-istess rekord. L-amministratur li jmiss imbagħad jista' jirriproduċi disinn ta' kontijiet imħallta li jaħdem minflok ipprova stringi tad-dominju sakemm jirnexxi d-dħul.