NetExtender లాగిన్ అవుతుంది కానీ యాక్సెస్ లేదు: SonicWall స్థానిక + LDAP
NetExtender కనెక్ట్ అవుతుంది కానీ ఏదీ స్పందించదు: SonicWall ప్రామాణీకరణ, SSL VPN సేవలో సభ్యత్వం మరియు స్థానిక మరియు LDAP వినియోగదారులకు VPN యాక్సెస్ అనుమతులను విడివిడిగా తనిఖీ చేయండి.
లాగిన్ విజయవంతమవుతుంది, టన్నెల్ పైకి వస్తుంది, ఫైర్‌వాల్ వెనుక ఏదీ స్పందించదు. SonicWall SSL VPN పై ఈ నమూనా సాధారణంగా ఖాతా ప్రామాణీకరణను దాటి తర్వాతి రెండు అనుమతుల్లో ఒకదానిలో ఆగిపోయిందని అర్థం: SSL VPN సేవలో అంగీకారం, లేదా వనరుకు చేరుకోవడానికి అనుమతి. స్థానిక మరియు LDAP ఖాతాలు కలిసి ఉంటే పరిస్థితి మరింత దిగజారుతుంది, ఎందుకంటే రెండు నిల్వలు ఈ అనుమతులను వేర్వేరు మార్గాల్లో చేరుకుంటాయి. క్లయింట్ వైపు నుంచి లక్షణం ఒకేలా ఉంటుంది, అందుకే పొరలను ఉద్దేశపూర్వకంగా విడదీయాలి.
లక్షణం మరియు దాని వెనుక ఉన్న మూడు అనుమతులు
వినియోగదారు పేరు మరియు చేరుకోగల సర్వర్ మధ్య మూడు స్వతంత్ర నిర్ణయాలు ఉంటాయి. ప్రామాణీకరణ పద్ధతి ఆధారాలు అంగీకరించబడతాయా, ఏ నిల్వ అంగీకరిస్తుందా అని నిర్ణయిస్తుంది. SSL VPN సేవలో సభ్యత్వం ఆ గుర్తింపు SSL VPN ఉపయోగించగలదా అని నిర్ణయిస్తుంది. VPN యాక్సెస్ జాబితా సెషన్ ఏ ప్రైవేట్ గమ్యస్థానాలకు చేరుకోగలదో నిర్ణయిస్తుంది. ఒకటి దాటడం తర్వాతి రెండు గురించి ఏమీ చెప్పదు.
ప్రామాణీకరించబడినా SSL VPN సేవా సమూహంలో లేని వినియోగదారు, ఏర్పడి తర్వాత ఏమీ మోసుకెళ్లని కనెక్షన్ చూస్తాడు, ఫైర్‌వాల్ లాగ్ విఫలమైనట్లు కాకుండా అంగీకరించిన లాగిన్‌ను చూపుతుంది. త్వరగా గుర్తించదగిన సందర్భం ఇదే, ఎందుకంటే పరిష్కారం సమూహ సభ్యత్వం, పాస్‌వర్డ్ రీసెట్ కాదు.
అంగీకరించబడినా వనరులు లేని వినియోగదారు, కనెక్ట్ అయ్యి ఎక్కడా ఉపయోగకరంగా వెళ్లని సెషన్‌ను చూస్తాడు. సహాయ కేంద్రం దృష్టిలో రెండూ విరిగిన టన్నెల్‌లాగా కనిపిస్తాయి, రెండూ కనెక్టివిటీ కాదు, కాన్ఫిగరేషన్ సమస్య.
డొమైన్ పెట్టె డైరెక్టరీ కాదు
NetExtender డొమైన్ అడుగుతుంది, ఆ ఫీల్డ్ Active Directory కోసం శోధన ఆధారం కాదు. డిఫాల్ట్ ఏర్పాటులో ఫీల్డ్ ఫైర్‌వాల్ కాన్ఫిగర్ చేసిన SSL VPN వినియోగదారు డొమైన్‌కు సమానంగా ఉండాలి, దానికి పత్రబద్ధమైన డిఫాల్ట్ విలువ LocalDomain. పోలిక కేస్-సెన్సిటివ్, కాబట్టి వేరే పెద్ద-చిన్న అక్షరాలతో టైప్ చేసిన విలువ ఖాతా సరిగ్గా ఉన్నా విఫలమవుతుంది.
ప్రామాణీకరణ విభజన కాన్ఫిగర్ చేయబడి ఉంటే, విభజన పేర్లు బాహ్య ప్రామాణీకరణ సందర్భాన్ని ఎంచుకుంటాయి, కాన్ఫిగర్ చేసిన డిఫాల్ట్ తన పాత్రను నిలుచుకుంటుంది. రెండు ఏర్పాట్లలోనూ క్లయింట్ వైపు డొమైన్ లేబుల్ వినియోగదారు పేరులో భాగంగా LDAP లేదా RADIUSకు పంపబడదు, కాబట్టి అది డైరెక్టరీ శోధనను నడిపించలేదు.
మూడు స్ట్రింగ్‌లను మీ నోట్స్‌లో విడివిడిగా ఉంచండి: కంపెనీ DNS సఫిక్స్, LDAP శోధన ఆధారం మరియు NetExtender డొమైన్ లేబుల్. అవి ఒకేలా కనిపిస్తాయి, ఏదీ మరొకదాని స్థానాన్ని తీసుకోదు. ఈ ఇన్‌స్టాలేషన్ కోసం ఆపరేటర్ విలువను కాపీ చేయండి, మరో ఫర్మ్‌వేర్ విడుదల గురించిన ఫోరమ్ పోస్ట్ విలువను కాదు.
అంగీకారం మరియు వనరు యాక్సెస్ వేర్వేరు అనుమతులు
స్థానిక ఖాతాలు సేవ అంగీకరించే ముందు SSL VPN సేవా సమూహంలో సభ్యత్వం అవసరం. డైరెక్టరీ ఖాతాలు మద్దతు ఉన్న సమూహ మ్యాపింగ్ వర్క్‌ఫ్లో ద్వారా అదే సమూహాన్ని చేరుకుంటాయి, అంటే LDAP సమూహ సంబంధాన్ని కాన్ఫిగర్ చేసి తర్వాత డైరెక్టరీ వైపు నుంచి ఊహించకుండా ప్రభావవంతమైన సభ్యత్వంగా ధృవీకరించాలి.
వనరు యాక్సెస్ తర్వాత వస్తుంది, వినియోగదారు లేదా సమూహంపై VPN యాక్సెస్ కింద. పాత్రకు అవసరమైన నిర్దిష్ట సబ్‌నెట్‌లు మరియు సేవలను మాత్రమే ఇవ్వండి, ఒక అప్లికేషన్ అవసరమని మొత్తం LAN ఇచ్చే షార్ట్‌కట్‌ను నిరోధించండి. సెషన్ రూట్లు, యాక్సెస్ నియమాలు మరియు గమ్యస్థ సేవ అనుమతులు అన్నీ ఈ పరిధికి సరిపోలాలి.
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
క్లయింట్‌పై రూట్ గమ్యస్థానాన్ని ఎంచుకోగలిగేలా చేస్తుంది, దానికి అనుమతి ఇవ్వదు. SSL VPN సమూహ సభ్యత్వం ఖాతాను ఫైర్‌వాల్ నిర్వాహకుడిగా కూడా చేయదు, దాన్ని సాధారణ ప్రత్యేక హక్కుల ఇవ్వడంగా పరిగణించకూడదు.
రెండు గుర్తింపులు, ఒక్కొక్కటికి నాలుగు తనిఖీలు
ఒక స్థానిక ఖాతా మరియు ఒక డైరెక్టరీ ఖాతాతో పరీక్షించండి, రెండింటికీ సన్నిహిత అనుమతి ఇవ్వండి, రెండింటినీ పరీక్షా ఖాతాలుగా పత్రబద్ధం చేయండి. ఒక్కొక్కదానికి లాగిన్‌ను అంగీకరించిన ప్రామాణీకరణ మూలం, ప్రభావవంతమైన సమూహాలు, కేటాయించిన వనరు యాక్సెస్ మరియు ఒక అనుమతించిన అప్లికేషన్ చర్యను నమోదు చేయండి. నాలుగు తనిఖీలు, రెండు నిల్వలు, ప్రతి కలయికకు లిఖిత ఫలితం.
తర్వాత ప్రతికూల సందర్భాలను పరీక్షించండి: ఖాతా చేరకూడని వనరు, వెంటనే తిరస్కరించాల్సిన ఖాతా. సానుకూల మార్గాన్ని మాత్రమే నిరూపించే రూపకల్పన తరచుగా రెండో ప్రవేశద్వారాన్ని తెరిచే ఉంచుతుంది, ముఖ్యంగా అదే చిన్న వినియోగదారు పేరు రెండు నిల్వల్లో ఉన్నప్పుడు. డైరెక్టరీ ఖాతాను నిలిపివేయండి, స్థానిక ఖాతా నిశ్శబ్దంగా కొనసాగుతోందో లేదో నిర్ధారించండి.
పునరావృత పేర్ల సమీక్షను విస్తరణలో భాగంగా చేయండి, సంఘటన తర్వాత కాదు. ఒకే వ్యక్తి రెండు నిల్వల్లో ఉండటం ఒకేసారి మద్దతు సౌలభ్యం మరియు ఆడిట్ సమస్య, ఫైర్‌వాల్ మీరు కాన్ఫిగర్ చేసినదే సంతోషంగా ప్రామాణీకరిస్తుంది.
పునరుద్ధరణ మార్గాన్ని ఇరుకుగా ఉంచండి
స్థానిక ఖాతాలకు మినహాయింపు ఇవ్వకుండా ప్రతి ఖాతా తరగతికి MFA విధానాన్ని నిలబెట్టండి. స్థానిక ఖాతాలు డైరెక్టరీ అంతరాయానికి ఆమోదించిన పునరుద్ధరణ మార్గాన్ని అందిస్తే, ఆ మార్గాన్ని పేరు పేర్కొన్న నిర్వాహకులకే పరిమితం చేయండి, ఉద్దేశపూర్వకంగా నడపండి, ఎందుకంటే ప్రతి ఉద్యోగికి స్థానిక అత్యవసర ఖాతా బలహీన పర్యవేక్షణ ఉన్న రెండో ప్రామాణీకరణ వ్యవస్థ.
క్లయింట్ డొమైన్, ప్రామాణీకరణ మూలం మరియు ప్రభావవంతమైన యాక్సెస్‌ను ఒకే రికార్డులో రాయండి. తర్వాతి నిర్వాహకుడు పనిచేసే మిశ్రమ ఖాతా రూపకల్పనను తిరిగి సృష్టించగలడు, లాగిన్ విజయవంతమయ్యే వరకు డొమైన్ స్ట్రింగ్‌లను ప్రయత్నించే బదులు.