NetExtender se prijavi, a dostopa ni: SonicWall lokalni + LDAP
NetExtender se poveže, a nič ne odgovori: ločite preverjanje pristnosti SonicWall, članstvo v storitvi SSL VPN in dovoljenja za dostop VPN za lokalne uporabnike in uporabnike LDAP.
Prijava uspe, tunel se dvigne in nič za požarnim zidom ne odgovori. Ta vzorec na SonicWall SSL VPN običajno pomeni, da je račun opravil preverjanje pristnosti in se ustavil pri enem od dveh poznejših dovoljenj: sprejem v storitev SSL VPN ali dovoljenje za dosego vira. Mešani lokalni računi in računi LDAP to poslabšajo, ker oba hranili ti dovoljenji dosežeta po različnih poteh. Simptom je s strani odjemalca enak, zato je treba plasti namerno ločiti.
Simptom in tri dovoljenja za njim
Med uporabniškim imenom in dosegljivim strežnikom stojijo tri neodvisne odločitve. Način preverjanja pristnosti odloči, ali so poverilnice sprejete in katero hranilo jih sprejme. Članstvo v storitvi SSL VPN odloči, ali sme ta identiteta sploh uporabljati SSL VPN. Seznam dostopa VPN odloči, katere zasebne cilje lahko seja doseže. Prehod enega ne pove nič o naslednjih dveh.
Uporabnik, ki se preveri, a ni v skupini storitve SSL VPN, vidi povezavo, ki se vzpostavi in nato ničesar ne prenaša, dnevnik požarnega zidu pa pokaže sprejeto prijavo namesto napake. To je primer, ki ga je vredno hitro prepoznati, ker je rešitev članstvo v skupini in ne ponastavitev gesla.
Uporabnik, ki je sprejet, a nima virov, vidi sejo, ki se poveže in ne usmerja nikamor koristno. Oba sta s pomočjo uporabniške podpore videti kot pokvarjen tunel in oba sta konfiguracija, ne povezljivost.
Polje domene ni imenik
NetExtender zahteva domeno in to polje ni iskalna osnova za Active Directory. V privzeti razporeditvi mora biti polje enako domeni uporabnika SSL VPN, ki jo je konfiguriral požarni zid, dokumentirana privzeta vrednost pa je LocalDomain. Primerjava razlikuje med velikimi in malimi črkami, zato vrednost, vnesena z drugačno velikostjo črk, ne uspe, tudi ko je račun pravilen.
Ko je konfigurirana razdelitev preverjanja pristnosti, zunanji kontekst preverjanja izberejo imena razdelkov, konfigurirana privzeta vrednost pa ohrani svojo vlogo. V obeh razporeditvah se oznaka domene na strani odjemalca ne posreduje v LDAP ali RADIUS kot del uporabniškega imena, zato ne more usmerjati iskanja po imeniku.
Tri nize hranite ločeno v svojih zapiskih: pripono DNS podjetja, iskalno osnovo LDAP in oznako domene NetExtender. Videti so podobni in noben ne nadomesti drugega. Kopirajte vrednost operaterja za to namestitev, ne vrednosti iz objave na forumu o drugi različici vdelane programske opreme.
Sprejem in dostop do virov sta ločeni dovoljenji
Lokalni računi potrebujejo članstvo v skupini storitve SSL VPN, preden jih storitev sprejme. Računi iz imenika dosežejo isto skupino s podprtim potekom preslikave skupin, kar pomeni, da je treba razmerje skupine LDAP konfigurirati in nato preveriti kot dejansko članstvo, namesto da bi ga domnevali s strani imenika.
Dostop do virov pride nato, pod Dostop VPN pri uporabniku ali skupini. Dodelite konkretna podomrežja in storitve, ki jih vloga potrebuje, in se uprite bližnjici, da bi dodelili celotno LAN, ker je potrebna ena aplikacija. Poti seje, pravila dostopa in dovoljenja ciljne storitve se morajo vse ujemati s tem obsegom.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Pot na odjemalcu naredi cilj izberljiv in ga ne pooblasti. Članstvo v skupini SSL VPN računa tudi ne naredi za skrbnika požarnega zidu in se ne sme obravnavati kot splošna podelitev pravic.
Dve identiteti, po štiri preverjanja
Preizkusite z enim lokalnim računom in enim računom iz imenika, oba ozko pooblaščena in oba dokumentirana kot testna računa. Za vsakega zabeležite vir preverjanja pristnosti, ki je sprejel prijavo, dejanske skupine, dodeljen dostop do virov in eno dovoljeno operacijo aplikacije. Štiri preverjanja, dve hranili in pisni rezultat za vsako kombinacijo.
Nato preizkusite negativne primere: vir, ki ga račun ne sme doseči, in račun, ki ga je treba takoj zavrniti. Zasnova, ki dokazuje le pozitivno pot, pogosto pusti odprt drugi vhod, zlasti kadar isto kratko uporabniško ime obstaja v obeh hranilih. Onemogočite račun iz imenika in potrdite, da lokalni ne nadaljuje tiho delovati.
Podvojena imena preglejte kot del uvajanja in ne po incidentu. Ista oseba v dveh hranilih je hkrati podporna ugodnost in revizijski problem, požarni zid pa bo z veseljem preveril tistega, ki ste ga konfigurirali.
Ohranite ozko pot za obnovitev
Ohranite politiko MFA za vsak razred računov, namesto da bi lokalne račune oprostili od nje. Če lokalni računi ponujajo odobreno pot za obnovitev ob izpadu imenika, to pot omejite na imenovane skrbnike in jo izvajajte premišljeno, ker je lokalni zasilni račun za vsakega zaposlenega drugi sistem preverjanja pristnosti s šibkejšim nadzorom.
Zapišite domeno odjemalca, vir preverjanja pristnosti in dejanski dostop v isti zapis. Naslednji skrbnik lahko nato poustvari delujočo zasnovo mešanih računov, namesto da bi preizkušal nize domen, dokler prijava ne uspe.