NetExtender logger inn, men ingen tilgang: SonicWall lokal + LDAP

Innloggingen lykkes, tunnelen kommer opp, og ingenting bak brannmuren svarer. Det mønsteret på en SonicWall SSL VPN betyr vanligvis at kontoen har passert autentiseringen og stoppet ved en av to senere tillatelser: opptak i SSL VPN-tjenesten, eller tillatelse til å nå en ressurs. Blandede lokale kontoer og LDAP-kontoer gjør det verre, fordi de to lagrene når disse tillatelsene via ulike veier. Symtomet er identisk fra klienten, og derfor må lagene bevisst skilles.

Symtomet og de tre tillatelsene bak

Tre uavhengige beslutninger står mellom et brukernavn og en tilgjengelig server. Autentiseringsmetoden avgjør om legitimasjonen godtas og av hvilket lager. Medlemskapet i SSL VPN-tjenesten avgjør om den identiteten i det hele tatt får bruke SSL VPN. VPN-tilgangslisten avgjør hvilke private mål økten får nå. Å klare én sier ingenting om de to neste.

En bruker som autentiserer seg, men ikke er i gruppen til SSL VPN-tjenesten, ser en tilkobling som opprettes og deretter ikke bærer noe, og brannmurloggen viser en godtatt innlogging i stedet for en feil. Det er tilfellet det er verdt å kjenne igjen raskt, fordi løsningen er et gruppemedlemskap og ikke en tilbakestilling av passordet.

En bruker som slippes inn, men ikke har ressurser, ser en økt som kobler til og ikke ruter noe sted nyttig. Begge ser ut som en ødelagt tunnel fra brukerstøtten, og begge er konfigurasjon og ikke tilkobling.

Domenefeltet er ikke katalogen

NetExtender spør etter et domene, og det feltet er ikke en søkebase for Active Directory. I standardoppsettet må feltet være likt det SSL VPN-brukerdomenet som brannmuren har konfigurert, og den dokumenterte standardverdien for det er LocalDomain. Sammenligningen skiller mellom store og små bokstaver, så en verdi skrevet med annen bokstavstørrelse feiler selv når kontoen er riktig.

Når autentiseringspartisjonering er konfigurert, velger partisjonsnavnene den eksterne autentiseringskonteksten i stedet, og den konfigurerte standarden beholder sin egen rolle. I begge oppsettene videresendes ikke klientens domenemerke til LDAP eller RADIUS som en del av brukernavnet, så det kan ikke styre et katalogsøk.

Hold de tre strengene atskilt i notatene dine: DNS-suffikset til selskapet, LDAP-søkebasen og NetExtender-domenemerket. De ser like ut, og ingen av dem erstatter en annen. Kopier verdien til operatøren for denne installasjonen og ikke en verdi fra et foruminnlegg om en annen fastvareversjon.

Opptak og ressurstilgang er separate tillatelser

Lokale kontoer trenger medlemskap i gruppen til SSL VPN-tjenesten før tjenesten godtar dem. Katalogkontoer når samme gruppe gjennom den støttede gruppekartleggingsflyten, noe som betyr at LDAP-grupperelasjonen må konfigureres og deretter verifiseres som et faktisk medlemskap i stedet for å antas fra katalogsiden.

Ressurstilgang kommer deretter, under VPN-tilgang på brukeren eller gruppen. Gi de spesifikke subnettene og tjenestene som rollen trenger, og stå imot snarveien med å gi hele LAN-et fordi én applikasjon er nødvendig. Rutene i økten, tilgangsreglene og tillatelsene til måltjenesten må alle stemme med dette omfanget.

En rute på klienten gjør et mål valgbart og autoriserer det ikke. Medlemskap i SSL VPN-gruppen gjør heller ikke kontoen til brannmuradministrator, og det bør ikke behandles som en generell privilegiegiving.

To identiteter, fire kontroller hver

Test med én lokal konto og én katalogkonto, begge snevert autorisert og begge dokumentert som testkontoer. For hver, registrer autentiseringskilden som godtok innloggingen, de effektive gruppene, den tildelte ressurstilgangen og én tillatt applikasjonsoperasjon. Fire kontroller, to lagre og et skriftlig resultat for hver kombinasjon.

Test deretter de negative tilfellene: en ressurs som kontoen ikke skal nå, og en konto som skal avvises med en gang. Et design som bare beviser den positive veien, etterlater ofte en andre inngang åpen, særlig når det samme korte brukernavnet finnes i begge lagrene. Deaktiver katalogkontoen og bekreft at den lokale ikke stille fortsetter å virke.

Gå gjennom dupliserte navn som en del av utrullingen og ikke etter en hendelse. Samme person i to lagre er samtidig en støttefordel og et revisjonsproblem, og brannmuren autentiserer gjerne den du konfigurerte.

Hold gjenopprettingsveien smal

Behold MFA-policyen for hver kontoklasse i stedet for å unnta lokale kontoer fra den. Hvis lokale kontoer tilbyr en godkjent gjenopprettingsvei for et katalogutfall, begrens den veien til navngitte administratorer og driv den bevisst, fordi en lokal nødkonto for hver ansatt er et andre autentiseringssystem med svakere tilsyn.

Skriv klientdomenet, autentiseringskilden og den effektive tilgangen i samme post. Neste administrator kan da gjenskape et fungerende blandet kontodesign i stedet for å prøve domenestrenger til en innlogging lykkes.