NetExtender се пријављује, али нема приступа: SonicWall локални + LDAP
NetExtender се повезује, али ништа не одговара: одвојте SonicWall аутентификацију, чланство у SSL VPN сервису и дозволе VPN приступа за локалне и LDAP кориснике.
Пријава успева, тунел се подиже и ништа иза заштитног зида не одговара. Тај образац на SonicWall-у SSL VPN обично значи да је налог прошао аутентификацију и зауставио се на једној од две касније дозволе: пријему у SSL VPN сервис или дозволи да се достигне ресурс. Мешани локални и LDAP налози погоршавају ситуацију, јер два складишта долазе до тих дозвола различитим путевима. Симптом је идентичан са стране клијента, зато се слојеви морају намерно раздвојити.
Симптом и три дозволе иза њега
Три независне одлуке стоје између корисничког имена и доступног сервера. Метод аутентификације одлучује да ли се акредитиви прихватају и које складиште их прихвата. Чланство у SSL VPN сервису одлучује да ли тај идентитет уопште сме да користи SSL VPN. Листа VPN приступа одлучује које приватне дестинације сесија сме да достигне. Пролазак једне не говори ништа о следеће две.
Корисник који се аутентификује, али није у групи SSL VPN сервиса, види везу која се успоставља и затим ништа не носи, а дневник заштитног зида приказује прихваћену пријаву уместо грешке. То је случај који вреди брзо препознати, јер је решење чланство у групи, а не поништавање лозинке.
Корисник који је прихваћен, али нема ресурса, види сесију која се повезује и нигде корисно не усмерава. Обе изгледају као покварен тунел са стране подршке, и обе су конфигурација, а не повезаност.
Поље домена није директоријум
NetExtender тражи домен, а то поље није основа претраге за Active Directory. У подразумеваном распореду поље мора бити једнако домену SSL VPN корисника који је заштитни зид конфигурисао, а документована подразумевана вредност је LocalDomain. Поређење разликује велика и мала слова, па вредност унета с другим регистром не успева чак и када је налог исправан.
Када је конфигурисано подела аутентификације, називи подела бирају спољни контекст аутентификације, а конфигурисана подразумевана вредност задржава своју улогу. У оба распореда ознака домена на страни клијента не прослеђује се LDAP-у ни RADIUS-у као део корисничког имена, па не може да усмерава претрагу директоријума.
Држите три низа одвојено у белешкама: DNS суфикс компаније, основу претраге LDAP и ознаку домена NetExtender. Изгледају слично и ниједна не замењује другу. Копирајте вредност оператера за ову инсталацију, а не вредност из форумске објаве о другој верзији фирмвера.
Пријем и приступ ресурсима су одвојене дозволе
Локални налози требају чланство у групи SSL VPN сервиса пре него што их сервис прихвати. Налози из директоријума достижу исту групу кроз подржани ток мапирања група, што значи да се однос LDAP групе мора конфигурисати и затим проверити као стварно чланство уместо претпоставити са стране директоријума.
Приступ ресурсима долази затим, под VPN приступом на кориснику или групи. Доделите конкретне подмреже и сервисе које улога треба, и одуприте се пречици да се додели цела LAN зато што је потребна једна апликација. Руте сесије, правила приступа и дозволе циљног сервиса морају се све слагати с тим обимом.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
Рута на клијенту чини дестинацију изборљивом и не ауторизује је. Чланство у SSL VPN групи не чини налог администратором заштитног зида, и не треба га третирати као опште додељивање привилегија.
Два идентитета, по четири провере
Тестирајте с једним локалним налогом и једним налогом из директоријума, оба уско ауторизована и оба документована као тестни налози. За сваки забележите извор аутентификације који је прихватио пријаву, ефективне групе, додељени приступ ресурсима и једну дозвољену операцију апликације. Четири провере, два складишта и писани резултат за сваку комбинацију.
Затим тестирајте негативне случајеве: ресурс који налог не треба да достигне, и налог који треба одмах одбити. Дизајн који доказује само позитиван пут често оставља други улаз отвореним, посебно када исто кратко корисничко име постоји у оба складишта. Онемогућите налог из директоријума и потврдите да локални не наставља тихо да ради.
Прегледајте дуплирана имена као део увођења, а не после инцидента. Иста особа у два складишта је истовремено погодност за подршку и проблем за ревизију, а заштитни зид ће радо аутентификовати онај који сте конфигурисали.
Држите пут опоравка уским
Сачувајте MFA политику за сваку класу налога уместо да локалне налоге изузмете из ње. Ако локални налози пружају одобрен пут опоравка за испад директоријума, ограничите тај пут на именоване администраторе и водите га намерно, јер локални хитни налог за сваког запосленог је други систем аутентификације са слабијим надзором.
Упишите домен клијента, извор аутентификације и ефективни приступ у исти запис. Следећи администратор може затим да репродукује функционалан дизајн мешаних налога уместо да испробава низове домена док пријава не успе.