NetExtender inaingia lakini hakuna ufikiaji: SonicWall ya ndani + LDAP

Kuingia kunafanikiwa, handaki inakuja juu, na hakuna kitu nyuma ya firewall kinachojibu. Mtindo huo kwenye SonicWall SSL VPN kwa kawaida humaanisha kuwa akaunti imepita uthibitishaji na imesimama kwenye moja ya ruhusa mbili za baadaye: kukubaliwa kwenye huduma ya SSL VPN, au ruhusa ya kufikia rasilimali. Akaunti za ndani na LDAP zilizochanganywa hufanya hali kuwa mbaya zaidi, kwa sababu hifadhi mbili hufikia ruhusa hizo kwa njia tofauti. Dalili ni sawa kutoka kwa mteja, ndiyo maana tabaka lazima zitenganishwe kwa makusudi.

Dalili na ruhusa tatu zilizo nyuma yake

Maamuzi matatu huru yanasimama kati ya jina la mtumiaji na seva inayoweza kufikiwa. Njia ya uthibitishaji huamua kama kitambulisho kinakubaliwa na hifadhi ipi. Uanachama wa huduma ya SSL VPN huamua kama utambulisho huo unaweza kutumia SSL VPN hata kidogo. Orodha ya Ufikiaji wa VPN huamua ni maeneo gani ya kibinafsi kikao kinaweza kufikia. Kupita moja hakusemi chochote kuhusu mbili zinazofuata.

Mtumiaji anayethibitisha lakini hayuko katika kundi la huduma ya SSL VPN huona muunganisho unaojengwa na kisha haubebi chochote, na kumbukumbu ya firewall inaonyesha kuingia kumekubaliwa badala ya kushindwa. Hili ni jambo linalofaa kutambuliwa haraka, kwa sababu suluhisho ni uanachama wa kundi na si kuweka upya nenosiri.

Mtumiaji anayeruhusiwa lakini hana rasilimali huona kikao kinachounganisha na hakielekezi mahali popote panapofaa. Wote wawili huonekana kama handaki iliyovunjika kutoka kwa dawati la msaada, na wote wawili ni usanidi na si muunganisho.

Kisanduku cha kikoa si saraka

NetExtender huuliza kikoa, na uwanja huo si msingi wa utafutaji wa Active Directory. Katika mpangilio wa kawaida uwanja lazima ulingane na kikoa cha mtumiaji cha SSL VPN ambacho firewall imesanidi, na thamani ya kawaida iliyoandikwa ni LocalDomain. Ulinganisho hutofautisha herufi kubwa na ndogo, kwa hivyo thamani iliyoandikwa kwa herufi tofauti hushindwa hata akaunti ikiwa sahihi.

Wakati mgawanyo wa uthibitishaji umesanidiwa, majina ya mgawanyo huchagua muktadha wa uthibitishaji wa nje badala yake, na thamani ya kawaida iliyosanidiwa huhifadhi jukumu lake. Katika mipangilio yote miwili, lebo ya kikoa ya upande wa mteja haipitishwi kwa LDAP au RADIUS kama sehemu ya jina la mtumiaji, kwa hivyo haiwezi kuelekeza utafutaji wa saraka.

Weka nyuzi tatu tofauti katika maelezo yako: kiambishi cha DNS cha kampuni, msingi wa utafutaji wa LDAP na lebo ya kikoa ya NetExtender. Zinafanana na hakuna moja inayochukua nafasi ya nyingine. Nakili thamani ya mwendeshaji kwa usakinishaji huu na si thamani kutoka kwa chapisho la jukwaa kuhusu toleo lingine la firmware.

Kukubaliwa na ufikiaji wa rasilimali ni ruhusa tofauti

Akaunti za ndani zinahitaji uanachama katika kundi la huduma ya SSL VPN kabla huduma haijazikubali. Akaunti za saraka hufikia kundi lilelile kupitia mtiririko wa kazi wa uchoraji ramani wa makundi unaoungwa mkono, ambayo inamaanisha uhusiano wa kundi la LDAP lazima usanidiwe na kisha uthibitishwe kama uanachama wenye matokeo badala ya kudhaniwa kutoka upande wa saraka.

Ufikiaji wa rasilimali huja baadaye, chini ya Ufikiaji wa VPN kwa mtumiaji au kundi. Toa subneti na huduma mahususi ambazo jukumu linahitaji, na upinge njia ya mkato ya kutoa LAN yote kwa sababu programu moja inahitajika. Njia za kikao, sheria za ufikiaji na ruhusa za huduma ya lengo lazima zote zikubaliane na wigo huo.

Njia kwenye mteja huifanya lengo lichaguliwe na hailiidhinishi. Uanachama katika kundi la SSL VPN pia haufanyi akaunti kuwa msimamizi wa firewall, na haipaswi kuchukuliwa kama utoaji wa haki wa jumla.

Vitambulisho viwili, ukaguzi nne kila kimoja

Jaribu na akaunti moja ya ndani na akaunti moja ya saraka, zote mbili zimeidhinishwa kwa ufinyu na zote mbili zimeandikwa kama akaunti za majaribio. Kwa kila moja, rekodi chanzo cha uthibitishaji kilichokubali kuingia, makundi yenye matokeo, ufikiaji wa rasilimali uliowekwa na operesheni moja ya programu inayoruhusiwa. Ukaguzi nne, hifadhi mbili na matokeo yaliyoandikwa kwa kila mchanganyiko.

Kisha jaribu kesi hasi: rasilimali ambayo akaunti haipaswi kuifikia, na akaunti ambayo inapaswa kukataliwa moja kwa moja. Ubunifu unaothibitisha njia chanya pekee huwa unaacha mlango wa pili wazi, hasa wakati jina lilelile fupi la mtumiaji liko katika hifadhi zote mbili. Zima akaunti ya saraka na uthibitishe kuwa ya ndani haiendelei kufanya kazi kwa kimya.

Kagua majina yaliyorudiwa kama sehemu ya uzinduzi na si baada ya tukio. Mtu yuleyule katika hifadhi mbili ni urahisi wa msaada na tatizo la ukaguzi kwa wakati mmoja, na firewall itathibitisha kwa furaha ile uliyoisanidi.

Weka njia ya urejeshaji nyembamba

Hifadhi sera ya MFA kwa kila darasa la akaunti badala ya kuachilia akaunti za ndani kutoka kwayo. Ikiwa akaunti za ndani zinatoa njia ya urejeshaji iliyoidhinishwa kwa kukatika kwa saraka, punguza njia hiyo kwa wasimamizi waliotajwa na iendeshe kwa makusudi, kwa sababu akaunti ya dharura ya ndani kwa kila mfanyakazi ni mfumo wa pili wa uthibitishaji wenye uangalizi hafifu.

Andika kikoa cha mteja, chanzo cha uthibitishaji na ufikiaji wenye matokeo katika rekodi moja. Msimamizi anayefuata anaweza kisha kuzalisha tena muundo unaofanya kazi wa akaunti mchanganyiko badala ya kujaribu nyuzi za kikoa hadi kuingia kufanikiwe.