NetExtender ਲੌਗ ਇਨ ਹੁੰਦਾ ਹੈ ਪਰ ਪਹੁੰਚ ਨਹੀਂ: SonicWall ਸਥਾਨਕ + LDAP
NetExtender ਜੁੜਦਾ ਹੈ ਪਰ ਕੋਈ ਜਵਾਬ ਨਹੀਂ ਦਿੰਦਾ: SonicWall ਪ੍ਰਮਾਣਿਕਤਾ, SSL VPN ਸੇਵਾ ਦੀ ਮੈਂਬਰਸ਼ਿਪ ਅਤੇ ਸਥਾਨਕ ਤੇ LDAP ਵਰਤੋਂਕਾਰਾਂ ਲਈ VPN ਪਹੁੰਚ ਇਜਾਜ਼ਤਾਂ ਵੱਖਰੀਆਂ ਜਾਂਚੋ।
ਲੌਗ ਇਨ ਸਫਲ ਹੁੰਦਾ ਹੈ, ਟਨਲ ਬਣਦੀ ਹੈ ਅਤੇ ਫਾਇਰਵਾਲ ਪਿੱਛੇ ਕੁਝ ਵੀ ਜਵਾਬ ਨਹੀਂ ਦਿੰਦਾ। SonicWall SSL VPN ਉੱਤੇ ਇਹ ਪੈਟਰਨ ਆਮ ਤੌਰ 'ਤੇ ਦੱਸਦਾ ਹੈ ਕਿ ਖਾਤਾ ਪ੍ਰਮਾਣਿਕਤਾ ਪਾਸ ਕਰ ਗਿਆ ਅਤੇ ਬਾਅਦ ਦੀਆਂ ਦੋ ਇਜਾਜ਼ਤਾਂ ਵਿੱਚੋਂ ਇੱਕ 'ਤੇ ਰੁਕ ਗਿਆ: SSL VPN ਸੇਵਾ ਵਿੱਚ ਪ੍ਰਵਾਨਗੀ, ਜਾਂ ਕਿਸੇ ਸਰੋਤ ਤੱਕ ਪਹੁੰਚਣ ਦੀ ਇਜਾਜ਼ਤ। ਸਥਾਨਕ ਅਤੇ LDAP ਖਾਤੇ ਮਿਲੇ-ਜੁਲੇ ਹੋਣ ਤਾਂ ਸਥਿਤੀ ਵਿਗੜਦੀ ਹੈ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਭੰਡਾਰ ਇਹਨਾਂ ਇਜਾਜ਼ਤਾਂ ਤੱਕ ਵੱਖਰੇ ਰਾਹਾਂ ਰਾਹੀਂ ਪਹੁੰਚਦੇ ਹਨ। ਕਲਾਇੰਟ ਵੱਲੋਂ ਲੱਛਣ ਇੱਕੋ ਜਿਹਾ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਪਰਤਾਂ ਨੂੰ ਜਾਣ-ਬੁੱਝ ਕੇ ਵੱਖ ਕਰਨਾ ਪੈਂਦਾ ਹੈ।
ਲੱਛਣ ਅਤੇ ਇਸ ਪਿੱਛੇ ਦੀਆਂ ਤਿੰਨ ਇਜਾਜ਼ਤਾਂ
ਵਰਤੋਂਕਾਰ ਨਾਂ ਅਤੇ ਪਹੁੰਚਯੋਗ ਸਰਵਰ ਵਿਚਕਾਰ ਤਿੰਨ ਸੁਤੰਤਰ ਫੈਸਲੇ ਹੁੰਦੇ ਹਨ। ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਢੰਗ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਸਵੀਕਾਰ ਹੁੰਦੇ ਹਨ ਜਾਂ ਨਹੀਂ ਅਤੇ ਕਿਹੜਾ ਭੰਡਾਰ ਉਹਨਾਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। SSL VPN ਸੇਵਾ ਦੀ ਮੈਂਬਰਸ਼ਿਪ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਇਹ ਪਛਾਣ SSL VPN ਵਰਤ ਸਕਦੀ ਹੈ ਜਾਂ ਨਹੀਂ। VPN ਪਹੁੰਚ ਸੂਚੀ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਸੈਸ਼ਨ ਕਿਹੜੀਆਂ ਨਿੱਜੀ ਮੰਜ਼ਿਲਾਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ। ਇੱਕ ਪਾਸ ਕਰਨਾ ਅਗਲੀਆਂ ਦੋ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ।
ਜਿਹੜਾ ਵਰਤੋਂਕਾਰ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦਾ ਹੈ ਪਰ SSL VPN ਸੇਵਾ ਗਰੁੱਪ ਵਿੱਚ ਨਹੀਂ, ਉਹ ਅਜਿਹਾ ਕਨੈਕਸ਼ਨ ਦੇਖਦਾ ਹੈ ਜੋ ਬਣਦਾ ਹੈ ਅਤੇ ਫਿਰ ਕੁਝ ਨਹੀਂ ਢੋਂਦਾ, ਅਤੇ ਫਾਇਰਵਾਲ ਲੌਗ ਅਸਫਲਤਾ ਦੀ ਥਾਂ ਸਵੀਕਾਰ ਕੀਤਾ ਲੌਗਇਨ ਦਿਖਾਉਂਦਾ ਹੈ। ਇਹੀ ਉਹ ਸਥਿਤੀ ਹੈ ਜਿਸਨੂੰ ਜਲਦੀ ਪਛਾਣਨਾ ਚਾਹੀਦਾ ਹੈ, ਕਿਉਂਕਿ ਹੱਲ ਗਰੁੱਪ ਦੀ ਮੈਂਬਰਸ਼ਿਪ ਹੈ, ਪਾਸਵਰਡ ਰੀਸੈਟ ਨਹੀਂ।
ਜਿਹੜਾ ਵਰਤੋਂਕਾਰ ਸਵੀਕਾਰ ਹੁੰਦਾ ਹੈ ਪਰ ਉਸ ਕੋਲ ਸਰੋਤ ਨਹੀਂ, ਉਹ ਅਜਿਹਾ ਸੈਸ਼ਨ ਦੇਖਦਾ ਹੈ ਜੋ ਜੁੜਦਾ ਹੈ ਅਤੇ ਕਿਸੇ ਕੰਮ ਦੀ ਥਾਂ ਨਹੀਂ ਜਾਂਦਾ। ਹੈਲਪ ਡੈਸਕ ਦੀ ਨਜ਼ਰ ਵਿੱਚ ਦੋਵੇਂ ਟੁੱਟੀ ਟਨਲ ਵਰਗੇ ਲੱਗਦੇ ਹਨ, ਅਤੇ ਦੋਵੇਂ ਕਨੈਕਟੀਵਿਟੀ ਨਹੀਂ, ਕਨਫਿਗਰੇਸ਼ਨ ਦੀ ਸਮੱਸਿਆ ਹਨ।
ਡੋਮੇਨ ਬਾਕਸ ਡਾਇਰੈਕਟਰੀ ਨਹੀਂ ਹੈ
NetExtender ਡੋਮੇਨ ਮੰਗਦਾ ਹੈ, ਅਤੇ ਉਹ ਫੀਲਡ Active Directory ਲਈ ਖੋਜ ਆਧਾਰ ਨਹੀਂ ਹੈ। ਡਿਫਾਲਟ ਬੰਦੋਬਸਤ ਵਿੱਚ ਫੀਲਡ ਉਸ SSL VPN ਵਰਤੋਂਕਾਰ ਡੋਮੇਨ ਦੇ ਬਰਾਬਰ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਜੋ ਫਾਇਰਵਾਲ ਨੇ ਕਨਫਿਗਰ ਕੀਤਾ ਹੈ, ਅਤੇ ਇਸ ਲਈ ਦਰਜ ਡਿਫਾਲਟ ਮੁੱਲ ਹੈ LocalDomain। ਤੁਲਨਾ ਕੇਸ-ਸੰਵੇਦਨਸ਼ੀਲ ਹੈ, ਇਸ ਲਈ ਵੱਖਰੇ ਵੱਡੇ-ਛੋਟੇ ਅੱਖਰਾਂ ਵਿੱਚ ਲਿਖਿਆ ਮੁੱਲ ਖਾਤਾ ਸਹੀ ਹੋਣ 'ਤੇ ਵੀ ਅਸਫਲ ਹੁੰਦਾ ਹੈ।
ਜਦੋਂ ਪ੍ਰਮਾਣਿਕਤਾ ਵੰਡ ਕਨਫਿਗਰ ਹੁੰਦੀ ਹੈ, ਤਾਂ ਵੰਡ ਦੇ ਨਾਂ ਬਾਹਰੀ ਪ੍ਰਮਾਣਿਕਤਾ ਸੰਦਰਭ ਚੁਣਦੇ ਹਨ, ਅਤੇ ਕਨਫਿਗਰ ਕੀਤਾ ਡਿਫਾਲਟ ਆਪਣੀ ਭੂਮਿਕਾ ਰੱਖਦਾ ਹੈ। ਦੋਵੇਂ ਬੰਦੋਬਸਤਾਂ ਵਿੱਚ ਕਲਾਇੰਟ ਪਾਸੇ ਦਾ ਡੋਮੇਨ ਲੇਬਲ ਵਰਤੋਂਕਾਰ ਨਾਂ ਦੇ ਹਿੱਸੇ ਵਜੋਂ LDAP ਜਾਂ RADIUS ਨੂੰ ਨਹੀਂ ਭੇਜਿਆ ਜਾਂਦਾ, ਇਸ ਲਈ ਇਹ ਡਾਇਰੈਕਟਰੀ ਖੋਜ ਦੀ ਅਗਵਾਈ ਨਹੀਂ ਕਰ ਸਕਦਾ।
ਤਿੰਨੇ ਸਟ੍ਰਿੰਗ ਆਪਣੇ ਨੋਟਸ ਵਿੱਚ ਵੱਖਰੀਆਂ ਰੱਖੋ: ਕੰਪਨੀ ਦਾ DNS ਪਿਛੇਤਰ, LDAP ਖੋਜ ਆਧਾਰ ਅਤੇ NetExtender ਡੋਮੇਨ ਲੇਬਲ। ਇਹ ਇੱਕੋ ਜਿਹੇ ਲੱਗਦੇ ਹਨ ਅਤੇ ਕੋਈ ਕਿਸੇ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦਾ। ਇਸ ਇੰਸਟਾਲੇਸ਼ਨ ਲਈ ਆਪਰੇਟਰ ਦਾ ਮੁੱਲ ਕਾਪੀ ਕਰੋ, ਕਿਸੇ ਹੋਰ ਫਰਮਵੇਅਰ ਰੀਲੀਜ਼ ਬਾਰੇ ਫੋਰਮ ਪੋਸਟ ਦਾ ਮੁੱਲ ਨਹੀਂ।
ਪ੍ਰਵਾਨਗੀ ਅਤੇ ਸਰੋਤ ਪਹੁੰਚ ਵੱਖਰੀਆਂ ਇਜਾਜ਼ਤਾਂ ਹਨ
ਸਥਾਨਕ ਖਾਤਿਆਂ ਨੂੰ ਸੇਵਾ ਵੱਲੋਂ ਸਵੀਕਾਰ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ SSL VPN ਸੇਵਾ ਗਰੁੱਪ ਦੀ ਮੈਂਬਰਸ਼ਿਪ ਚਾਹੀਦੀ ਹੈ। ਡਾਇਰੈਕਟਰੀ ਖਾਤੇ ਉਸੇ ਗਰੁੱਪ ਤੱਕ ਸਮਰਥਿਤ ਗਰੁੱਪ ਮੈਪਿੰਗ ਵਰਕਫਲੋ ਰਾਹੀਂ ਪਹੁੰਚਦੇ ਹਨ, ਭਾਵ LDAP ਗਰੁੱਪ ਸੰਬੰਧ ਕਨਫਿਗਰ ਕਰਨਾ ਪੈਂਦਾ ਹੈ ਅਤੇ ਫਿਰ ਡਾਇਰੈਕਟਰੀ ਪਾਸਿਓਂ ਮੰਨ ਲੈਣ ਦੀ ਥਾਂ ਪ੍ਰਭਾਵੀ ਮੈਂਬਰਸ਼ਿਪ ਵਜੋਂ ਪੁਸ਼ਟੀ ਕਰਨੀ ਪੈਂਦੀ ਹੈ।
ਸਰੋਤ ਪਹੁੰਚ ਇਸ ਤੋਂ ਬਾਅਦ ਆਉਂਦੀ ਹੈ, ਵਰਤੋਂਕਾਰ ਜਾਂ ਗਰੁੱਪ ਉੱਤੇ VPN ਪਹੁੰਚ ਅਧੀਨ। ਸਿਰਫ਼ ਉਹੀ ਖਾਸ ਸਬਨੈੱਟ ਅਤੇ ਸੇਵਾਵਾਂ ਦਿਓ ਜਿਨ੍ਹਾਂ ਦੀ ਭੂਮਿਕਾ ਨੂੰ ਲੋੜ ਹੈ, ਅਤੇ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਲੋੜ ਕਰਕੇ ਪੂਰੇ LAN ਦੇਣ ਦੀ ਸ਼ਾਰਟਕਟ ਤੋਂ ਬਚੋ। ਸੈਸ਼ਨ ਦੇ ਰੂਟ, ਪਹੁੰਚ ਨਿਯਮ ਅਤੇ ਮੰਜ਼ਿਲ ਸੇਵਾ ਦੀਆਂ ਇਜਾਜ਼ਤਾਂ ਸਭ ਇਸ ਦਾਇਰੇ ਨਾਲ ਮੇਲ ਖਾਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ।
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
ਕਲਾਇੰਟ ਉੱਤੇ ਰੂਟ ਮੰਜ਼ਿਲ ਨੂੰ ਚੁਣਨਯੋਗ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਉਸਨੂੰ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦਾ। SSL VPN ਗਰੁੱਪ ਦੀ ਮੈਂਬਰਸ਼ਿਪ ਖਾਤੇ ਨੂੰ ਫਾਇਰਵਾਲ ਪ੍ਰਸ਼ਾਸਕ ਵੀ ਨਹੀਂ ਬਣਾਉਂਦੀ, ਅਤੇ ਇਸਨੂੰ ਆਮ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਦੇਣ ਵਜੋਂ ਨਹੀਂ ਸਮਝਣਾ ਚਾਹੀਦਾ।
ਦੋ ਪਛਾਣਾਂ, ਹਰ ਇੱਕ ਦੇ ਚਾਰ ਜਾਂਚ
ਇੱਕ ਸਥਾਨਕ ਖਾਤੇ ਅਤੇ ਇੱਕ ਡਾਇਰੈਕਟਰੀ ਖਾਤੇ ਨਾਲ ਪਰਖੋ, ਦੋਵਾਂ ਨੂੰ ਸੀਮਤ ਇਜਾਜ਼ਤ ਦਿਓ ਅਤੇ ਦੋਵਾਂ ਨੂੰ ਟੈਸਟ ਖਾਤੇ ਵਜੋਂ ਦਰਜ ਕਰੋ। ਹਰ ਇੱਕ ਲਈ ਉਹ ਪ੍ਰਮਾਣਿਕਤਾ ਸਰੋਤ ਲਿਖੋ ਜਿਸਨੇ ਲੌਗਇਨ ਸਵੀਕਾਰ ਕੀਤਾ, ਪ੍ਰਭਾਵੀ ਗਰੁੱਪ, ਨਿਰਧਾਰਿਤ ਸਰੋਤ ਪਹੁੰਚ ਅਤੇ ਇੱਕ ਮਨਜ਼ੂਰ ਐਪਲੀਕੇਸ਼ਨ ਕਿਰਿਆ। ਚਾਰ ਜਾਂਚ, ਦੋ ਭੰਡਾਰ ਅਤੇ ਹਰ ਸੰਜੋਗ ਲਈ ਲਿਖਤੀ ਨਤੀਜਾ।
ਫਿਰ ਨਕਾਰਾਤਮਕ ਸਥਿਤੀਆਂ ਪਰਖੋ: ਉਹ ਸਰੋਤ ਜਿੱਥੇ ਖਾਤੇ ਨੂੰ ਨਹੀਂ ਪਹੁੰਚਣਾ ਚਾਹੀਦਾ, ਅਤੇ ਉਹ ਖਾਤਾ ਜਿਸਨੂੰ ਤੁਰੰਤ ਰੱਦ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਸਿਰਫ਼ ਸਕਾਰਾਤਮਕ ਰਾਹ ਸਾਬਤ ਕਰਨ ਵਾਲਾ ਡਿਜ਼ਾਈਨ ਅਕਸਰ ਦੂਜਾ ਦਰਵਾਜ਼ਾ ਖੁੱਲ੍ਹਾ ਛੱਡ ਦਿੰਦਾ ਹੈ, ਖਾਸ ਕਰਕੇ ਜਦੋਂ ਉਹੀ ਛੋਟਾ ਵਰਤੋਂਕਾਰ ਨਾਂ ਦੋਵਾਂ ਭੰਡਾਰਾਂ ਵਿੱਚ ਮੌਜੂਦ ਹੋਵੇ। ਡਾਇਰੈਕਟਰੀ ਖਾਤਾ ਬੰਦ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਸਥਾਨਕ ਖਾਤਾ ਚੁੱਪਚਾਪ ਕੰਮ ਨਹੀਂ ਕਰਦਾ ਰਹਿੰਦਾ।
ਦੁਹਰਾਏ ਨਾਵਾਂ ਦੀ ਸਮੀਖਿਆ ਤੈਨਾਤੀ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਕਰੋ, ਕਿਸੇ ਘਟਨਾ ਤੋਂ ਬਾਅਦ ਨਹੀਂ। ਇੱਕੋ ਵਿਅਕਤੀ ਦਾ ਦੋ ਭੰਡਾਰਾਂ ਵਿੱਚ ਹੋਣਾ ਇੱਕੋ ਸਮੇਂ ਸਹਾਇਤਾ ਦੀ ਸਹੂਲਤ ਅਤੇ ਆਡਿਟ ਦੀ ਸਮੱਸਿਆ ਹੈ, ਅਤੇ ਫਾਇਰਵਾਲ ਖੁਸ਼ੀ ਨਾਲ ਉਸੇ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰੇਗਾ ਜਿਸਨੂੰ ਤੁਸੀਂ ਕਨਫਿਗਰ ਕੀਤਾ।
ਰਿਕਵਰੀ ਰਾਹ ਸੰਕਰਾ ਰੱਖੋ
ਸਥਾਨਕ ਖਾਤਿਆਂ ਨੂੰ ਛੋਟ ਦੇਣ ਦੀ ਥਾਂ ਹਰ ਖਾਤਾ ਵਰਗ ਲਈ MFA ਨੀਤੀ ਬਣਾਈ ਰੱਖੋ। ਜੇ ਸਥਾਨਕ ਖਾਤੇ ਡਾਇਰੈਕਟਰੀ ਰੁਕਾਵਟ ਲਈ ਮਨਜ਼ੂਰ ਰਿਕਵਰੀ ਰਾਹ ਦਿੰਦੇ ਹਨ, ਤਾਂ ਉਸ ਰਾਹ ਨੂੰ ਨਾਮਜ਼ਦ ਪ੍ਰਸ਼ਾਸਕਾਂ ਤੱਕ ਸੀਮਤ ਰੱਖੋ ਅਤੇ ਸੋਚ-ਸਮਝ ਕੇ ਚਲਾਓ, ਕਿਉਂਕਿ ਹਰ ਕਰਮਚਾਰੀ ਲਈ ਸਥਾਨਕ ਐਮਰਜੈਂਸੀ ਖਾਤਾ ਕਮਜ਼ੋਰ ਨਿਗਰਾਨੀ ਵਾਲਾ ਦੂਜਾ ਪ੍ਰਮਾਣਿਕਤਾ ਸਿਸਟਮ ਹੈ।
ਕਲਾਇੰਟ ਡੋਮੇਨ, ਪ੍ਰਮਾਣਿਕਤਾ ਸਰੋਤ ਅਤੇ ਪ੍ਰਭਾਵੀ ਪਹੁੰਚ ਇੱਕੋ ਰਿਕਾਰਡ ਵਿੱਚ ਲਿਖੋ। ਅਗਲਾ ਪ੍ਰਸ਼ਾਸਕ ਫਿਰ ਕੰਮ ਕਰਨ ਵਾਲਾ ਮਿਸ਼ਰਤ ਖਾਤਾ ਡਿਜ਼ਾਈਨ ਦੁਬਾਰਾ ਬਣਾ ਸਕਦਾ ਹੈ, ਬਜਾਏ ਇਸਦੇ ਕਿ ਲੌਗਇਨ ਸਫਲ ਹੋਣ ਤੱਕ ਡੋਮੇਨ ਸਟ੍ਰਿੰਗ ਅਜ਼ਮਾਉਂਦਾ ਰਹੇ।