NetExtender sa prihlási, ale prístup žiadny: SonicWall lokálny + LDAP
NetExtender sa pripojí, ale nič neodpovedá: oddeľte autentifikáciu na SonicWall, členstvo v službe SSL VPN a oprávnenia prístupu VPN pre lokálnych používateľov a používateľov LDAP.
Prihlásenie prebehne, tunel sa zdvihne a nič za firewallom neodpovedá. Tento vzor na SonicWall SSL VPN zvyčajne znamená, že účet prešiel autentifikáciou a zastavil sa na jednom z dvoch neskorších oprávnení: prijatie do služby SSL VPN alebo povolenie dosiahnuť zdroj. Zmiešané lokálne účty a účty LDAP to zhoršujú, pretože obe úložiská dosahujú tieto oprávnenia rôznymi cestami. Príznak je z pohľadu klienta rovnaký, a preto treba vrstvy zámerne oddeliť.
Príznak a tri oprávnenia za ním
Medzi používateľským menom a dostupným serverom stoja tri nezávislé rozhodnutia. Metóda autentifikácie rozhoduje, či budú prihlasovacie údaje prijaté a ktorým úložiskom. Členstvo v službe SSL VPN rozhoduje, či táto identita vôbec smie používať SSL VPN. Zoznam prístupu VPN rozhoduje, ktoré súkromné ciele môže relácia dosiahnuť. Prejsť jedným nič nehovorí o ďalších dvoch.
Používateľ, ktorý sa autentifikuje, ale nie je v skupine služby SSL VPN, vidí spojenie, ktoré sa nadviaže a potom nič neprenáša, a protokol firewallu ukazuje prijaté prihlásenie namiesto zlyhania. To je prípad, ktorý sa vyplatí rýchlo rozpoznať, pretože riešením je členstvo v skupine, nie reset hesla.
Používateľ, ktorý je prijatý, ale nemá žiadne zdroje, vidí reláciu, ktorá sa pripojí a nikam užitočne nesmeruje. Oba prípady vyzerajú z helpdesku ako rozbitý tunel a oba sú konfiguráciou, nie konektivitou.
Pole domény nie je adresár
NetExtender sa pýta na doménu a toto pole nie je vyhľadávacia základňa pre Active Directory. V predvolenom usporiadaní sa pole musí rovnať doméne používateľa SSL VPN, ktorú má firewall nakonfigurovanú, a dokumentovaná predvolená hodnota je LocalDomain. Porovnanie rozlišuje veľké a malé písmená, takže hodnota zadaná s inou veľkosťou písmen zlyhá, aj keď je účet správny.
Keď je nakonfigurované delenie autentifikácie, externý kontext autentifikácie vyberajú názvy oddielov a nakonfigurovaná predvolená hodnota si zachováva svoju rolu. V oboch usporiadaniach sa doménový štítok na strane klienta neprenáša do LDAP ani RADIUS ako súčasť používateľského mena, takže nemôže riadiť vyhľadávanie v adresári.
Uchovávajte tri reťazce v poznámkach oddelene: príponu DNS spoločnosti, vyhľadávaciu základňu LDAP a doménový štítok NetExtender. Vyzerajú podobne a žiadny nenahrádza iný. Skopírujte hodnotu prevádzkovateľa pre túto inštaláciu, nie hodnotu z príspevku na fóre o inej verzii firmvéru.
Prijatie a prístup k zdrojom sú oddelené oprávnenia
Lokálne účty potrebujú členstvo v skupine služby SSL VPN, kým ich služba prijme. Účty z adresára dosahujú rovnakú skupinu podporovaným postupom mapovania skupín, čo znamená, že vzťah skupiny LDAP treba nakonfigurovať a potom overiť ako účinné členstvo, namiesto predpokladu zo strany adresára.
Prístup k zdrojom prichádza ďalej, v časti Prístup VPN na používateľovi alebo skupine. Prideľte konkrétne podsiete a služby, ktoré rola potrebuje, a odolajte skratke prideliť celú LAN, pretože je potrebná jedna aplikácia. Trasy relácie, pravidlá prístupu a oprávnenia cieľovej služby musia všetky zodpovedať tomuto rozsahu.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Trasa na klientovi robí cieľ voliteľným a neautorizuje ho. Členstvo v skupine SSL VPN nerobí z účtu ani správcu firewallu a nemalo by sa považovať za všeobecné udelenie privilégií.
Dve identity, po štyri kontroly
Testujte s jedným lokálnym účtom a jedným účtom z adresára, oba úzko autorizované a oba dokumentované ako testovacie účty. Pri každom zaznamenajte zdroj autentifikácie, ktorý prihlásenie prijal, efektívne skupiny, pridelený prístup k zdrojom a jednu povolenú operáciu aplikácie. Štyri kontroly, dve úložiská a písomný výsledok pre každú kombináciu.
Potom otestujte negatívne prípady: zdroj, na ktorý účet nemá dosiahnuť, a účet, ktorý má byť hneď odmietnutý. Návrh, ktorý dokazuje iba pozitívnu cestu, zvyčajne necháva otvorený druhý vchod, najmä keď rovnaké krátke používateľské meno existuje v oboch úložiskách. Zakážte účet z adresára a overte, že lokálny potichu nefunguje ďalej.
Duplicitné mená preverte ako súčasť zavádzania, nie až po incidente. Rovnaká osoba v dvoch úložiskách je zároveň podporná výhoda aj problém pre audit a firewall ochotne autentifikuje ten, ktorý ste nakonfigurovali.
Udržte obnovovaciu cestu úzku
Zachovajte zásady MFA pre každú triedu účtov, namiesto toho, aby ste z nich lokálne účty vyňali. Ak lokálne účty poskytujú schválenú obnovovaciu cestu pre výpadok adresára, obmedzte túto cestu na menovaných administrátorov a prevádzkujte ju vedome, pretože lokálny núdzový účet pre každého zamestnanca je druhý autentifikačný systém so slabším dohľadom.
Zapíšte doménu klienta, zdroj autentifikácie a efektívny prístup do toho istého záznamu. Ďalší administrátor potom môže zopakovať funkčný návrh zmiešaných účtov namiesto skúšania reťazcov domén, kým sa prihlásenie nepodarí.