NetExtender входит, но доступа нет: SonicWall локальный + LDAP

Вход проходит успешно, туннель поднимается, и ничего за межсетевым экраном не отвечает. Этот шаблон на SonicWall SSL VPN обычно означает, что учётная запись прошла аутентификацию и остановилась на одном из двух последующих разрешений: допуске к службе SSL VPN или разрешении достичь ресурса. Смешанные локальные и LDAP-учётные записи усугубляют ситуацию, потому что два хранилища достигают этих разрешений разными путями. Симптом одинаков со стороны клиента, поэтому уровни нужно разделять намеренно.

Симптом и три разрешения за ним

Между именем пользователя и доступным сервером стоят три независимых решения. Метод аутентификации решает, принимаются ли учётные данные и каким хранилищем. Членство в службе SSL VPN решает, может ли эта учётная запись вообще использовать SSL VPN. Список доступа VPN решает, до каких частных назначений сеанс может добраться. Прохождение одного ничего не говорит о следующих двух.

Пользователь, который проходит аутентификацию, но не входит в группу службы SSL VPN, видит соединение, которое устанавливается и затем ничего не передаёт, а журнал межсетевого экрана показывает принятый вход, а не ошибку. Это случай, который стоит быстро распознать, потому что решение — членство в группе, а не сброс пароля.

Пользователь, который допущен, но не имеет ресурсов, видит сеанс, который подключается и никуда полезно не маршрутизируется. Оба выглядят как сломанный туннель с точки зрения службы поддержки, и оба — это конфигурация, а не связность.

Поле домена — не каталог

NetExtender запрашивает домен, и это поле не является базой поиска для Active Directory. В стандартной конфигурации поле должно совпадать с доменом пользователя SSL VPN, настроенным на межсетевом экране, а документированное значение по умолчанию для него LocalDomain. Сравнение различает заглавные и строчные буквы, поэтому значение, введённое с другим регистром, не проходит даже при правильной учётной записи.

Если настроено разделение аутентификации, внешний контекст аутентификации выбирают имена разделов, а настроенное значение по умолчанию сохраняет свою роль. В обеих конфигурациях метка домена на стороне клиента не передаётся в LDAP или RADIUS как часть имени пользователя, поэтому она не может управлять поиском в каталоге.

Держите три строки отдельно в заметках: DNS-суффикс компании, базу поиска LDAP и метку домена NetExtender. Они выглядят похоже, и ни одна не заменяет другую. Копируйте значение оператора для этой установки, а не значение из сообщения на форуме о другой версии прошивки.

Допуск и доступ к ресурсам — отдельные разрешения

Локальным учётным записям нужно членство в группе службы SSL VPN, прежде чем служба их примет. Учётные записи каталога достигают той же группы через поддерживаемый процесс сопоставления групп, то есть связь группы LDAP нужно настроить, а затем проверить как фактическое членство, а не предполагать со стороны каталога.

Доступ к ресурсам идёт дальше, в разделе доступ VPN для пользователя или группы. Дайте конкретные подсети и службы, которые нужны роли, и не поддавайтесь соблазну выдать всю локальную сеть, потому что нужно одно приложение. Маршруты сеанса, правила доступа и разрешения службы назначения должны все соответствовать этому объёму.

Маршрут на клиенте делает назначение выбираемым и не даёт на него разрешения. Членство в группе SSL VPN также не делает учётную запись администратором межсетевого экрана, и не стоит относиться к нему как к общему предоставлению привилегий.

Две учётные записи, по четыре проверки

Тестируйте с одной локальной учётной записью и одной учётной записью каталога, обе узко авторизованы и обе задокументированы как тестовые. Для каждой запишите источник аутентификации, принявший вход, действующие группы, назначенный доступ к ресурсам и одну разрешённую операцию приложения. Четыре проверки, два хранилища и письменный результат для каждой комбинации.

Затем проверьте отрицательные случаи: ресурс, до которого учётная запись не должна добираться, и учётную запись, которую нужно отклонить сразу. Проект, доказывающий только положительный путь, часто оставляет открытым второй вход, особенно когда одно и то же короткое имя пользователя существует в обоих хранилищах. Отключите учётную запись каталога и убедитесь, что локальная не продолжает тихо работать.

Просмотрите дубликаты имён как часть внедрения, а не после инцидента. Один и тот же человек в двух хранилищах одновременно и удобство поддержки, и проблема аудита, а межсетевой экран охотно аутентифицирует ту запись, которую вы настроили.

Держите путь восстановления узким

Сохраняйте политику MFA для каждого класса учётных записей, вместо того чтобы освобождать от неё локальные записи. Если локальные записи дают утверждённый путь восстановления на случай сбоя каталога, ограничьте этот путь названными администраторами и ведите его осознанно, потому что локальная аварийная запись для каждого сотрудника — это вторая система аутентификации с более слабым надзором.

Запишите домен клиента, источник аутентификации и действующий доступ в одну запись. Следующий администратор сможет тогда воспроизвести работающий проект смешанных учётных записей, вместо того чтобы перебирать строки домена, пока вход не удастся.