NetExtender ล็อกอินได้แต่เข้าไม่ถึง: SonicWall โลคัล + LDAP
NetExtender เชื่อมต่อได้แต่ไม่มีอะไรตอบกลับ: แยกการตรวจสอบสิทธิ์ของ SonicWall การเป็นสมาชิกบริการ SSL VPN และสิทธิ์การเข้าถึง VPN สำหรับผู้ใช้โลคัลและ LDAP ออกจากกัน
การล็อกอินสำเร็จ อุโมงค์เชื่อมต่อขึ้น แต่ไม่มีอะไรหลังไฟร์วอลล์ตอบกลับ รูปแบบนี้บน SonicWall SSL VPN มักหมายความว่าบัญชีผ่านการตรวจสอบสิทธิ์แล้วแต่ไปหยุดที่สิทธิ์สองอย่างถัดมา คือ การได้รับอนุญาตให้ใช้บริการ SSL VPN หรือสิทธิ์ในการเข้าถึงทรัพยากรใดทรัพยากรหนึ่ง บัญชีโลคัลและ LDAP ที่ปนกันทำให้แย่ลง เพราะที่เก็บสองแห่งไปถึงสิทธิ์เหล่านี้ด้วยเส้นทางที่ต่างกัน อาการที่เห็นจากไคลเอนต์เหมือนกันทุกประการ จึงต้องแยกชั้นออกจากกันอย่างตั้งใจ
อาการและสิทธิ์สามชั้นที่อยู่เบื้องหลัง
มีสามการตัดสินใจที่เป็นอิสระต่อกันคั่นอยู่ระหว่างชื่อผู้ใช้กับเซิร์ฟเวอร์ที่เข้าถึงได้ วิธีการตรวจสอบสิทธิ์ตัดสินว่าข้อมูลรับรองจะถูกยอมรับหรือไม่และที่เก็บใดเป็นผู้ยอมรับ การเป็นสมาชิกบริการ SSL VPN ตัดสินว่าตัวตนนั้นใช้ SSL VPN ได้หรือไม่ รายการสิทธิ์การเข้าถึง VPN ตัดสินว่าเซสชันจะไปถึงปลายทางส่วนตัวใดได้บ้าง การผ่านชั้นหนึ่งไม่บอกอะไรเกี่ยวกับอีกสองชั้นที่เหลือ
ผู้ใช้ที่ผ่านการตรวจสอบสิทธิ์แต่ไม่ได้อยู่ในกลุ่มบริการ SSL VPN จะเห็นการเชื่อมต่อที่ถูกสร้างขึ้นแล้วไม่ส่งข้อมูลใด ๆ และบันทึกของไฟร์วอลล์จะแสดงการล็อกอินที่ถูกยอมรับแทนที่จะเป็นความล้มเหลว นี่คือกรณีที่ควรรู้ให้เร็ว เพราะวิธีแก้คือการเพิ่มเข้ากลุ่ม ไม่ใช่การรีเซ็ตรหัสผ่าน
ผู้ใช้ที่ได้รับอนุญาตแต่ไม่มีทรัพยากรจะเห็นเซสชันที่เชื่อมต่อได้แต่ไม่ได้กำหนดเส้นทางไปที่ใดที่มีประโยชน์ ทั้งสองกรณีดูเหมือนอุโมงค์เสียจากมุมมองของฝ่ายสนับสนุน และทั้งสองกรณีเป็นการกำหนดค่าไม่ใช่การเชื่อมต่อ
ช่องโดเมนไม่ใช่ไดเรกทอรี
NetExtender ถามหาโดเมน และช่องนั้นไม่ใช่ฐานการค้นหาของ Active Directory ในการตั้งค่าเริ่มต้น ช่องนี้ต้องเท่ากับโดเมนผู้ใช้ SSL VPN ที่ไฟร์วอลล์กำหนดไว้ และค่าเริ่มต้นที่มีเอกสารระบุคือ LocalDomain. การเปรียบเทียบแยกตัวพิมพ์ใหญ่และตัวพิมพ์เล็ก ดังนั้นค่าที่พิมพ์ด้วยตัวพิมพ์ต่างกันจะล้มเหลวแม้บัญชีจะถูกต้อง
เมื่อกำหนดการแบ่งพาร์ทิชันการตรวจสอบสิทธิ์แล้ว ชื่อพาร์ทิชันจะเป็นตัวเลือกบริบทการตรวจสอบสิทธิ์ภายนอก และค่าเริ่มต้นที่กำหนดไว้ยังคงบทบาทของตัวเอง ในทั้งสองรูปแบบ ป้ายชื่อโดเมนฝั่งไคลเอนต์จะไม่ถูกส่งต่อไปยัง LDAP หรือ RADIUS เป็นส่วนหนึ่งของชื่อผู้ใช้ จึงใช้กำหนดทิศทางการค้นหาไดเรกทอรีไม่ได้
เก็บสามสตริงแยกจากกันในบันทึกของคุณ ได้แก่ ส่วนต่อท้าย DNS ของบริษัท ฐานการค้นหา LDAP และป้ายชื่อโดเมนของ NetExtender ทั้งสามดูคล้ายกันและไม่มีอันใดแทนกันได้ ให้คัดลอกค่าที่ผู้ดูแลระบบใช้กับการติดตั้งนี้ ไม่ใช่ค่าจากโพสต์ในฟอรัมเกี่ยวกับเฟิร์มแวร์คนละรุ่น
การอนุญาตให้เข้าและการเข้าถึงทรัพยากรเป็นสิทธิ์คนละชั้น
บัญชีโลคัลต้องเป็นสมาชิกกลุ่มบริการ SSL VPN ก่อนที่บริการจะยอมรับบัญชีเหล่านั้น บัญชีจากไดเรกทอรีไปถึงกลุ่มเดียวกันผ่านเวิร์กโฟลว์การแมปกลุ่มที่รองรับ ซึ่งหมายความว่าต้องกำหนดความสัมพันธ์ของกลุ่ม LDAP ก่อน แล้วจึง ตรวจสอบว่าเป็นสมาชิกที่มีผลจริง แทนที่จะสันนิษฐานจากฝั่งไดเรกทอรี.
การเข้าถึงทรัพยากรมาถัดมา ภายใต้การเข้าถึง VPN บนผู้ใช้หรือกลุ่ม ให้สิทธิ์เฉพาะซับเน็ตและบริการที่บทบาทนั้นต้องการ และอย่าใช้ทางลัดให้ทั้ง LAN เพราะต้องใช้แอปพลิเคชันเดียว เส้นทางของเซสชัน กฎการเข้าถึง และสิทธิ์ของบริการปลายทางทั้งหมดต้องสอดคล้องกับขอบเขตนั้น
| Layer | What it decides | Where it is set |
|---|---|---|
| Authentication | Whether the credential is accepted, and by which store | Authentication method and directory configuration |
| Admission | Whether the identity may use the SSL VPN | SSL VPN service group membership |
| Resource | Which destinations the session may reach | VPN Access on the user or group |
เส้นทางบนไคลเอนต์ทำให้ปลายทางเลือกได้ แต่ไม่ได้ให้สิทธิ์ การเป็นสมาชิกกลุ่ม SSL VPN ก็ไม่ได้ทำให้บัญชีเป็นผู้ดูแลไฟร์วอลล์ และไม่ควรถือว่าเป็นการให้สิทธิ์โดยทั่วไป
สองตัวตน สี่การตรวจสอบต่อราย
ทดสอบด้วยบัญชีโลคัลหนึ่งบัญชีและบัญชีไดเรกทอรีหนึ่งบัญชี ทั้งคู่ได้รับสิทธิ์อย่างแคบและได้รับการบันทึกว่าเป็นบัญชีทดสอบ สำหรับแต่ละบัญชี ให้บันทึกแหล่งตรวจสอบสิทธิ์ที่ยอมรับการล็อกอิน กลุ่มที่มีผลจริง สิทธิ์การเข้าถึงทรัพยากรที่กำหนดให้ และการดำเนินการของแอปพลิเคชันหนึ่งอย่างที่อนุญาต สี่การตรวจสอบ ที่เก็บสองแห่ง และผลลัพธ์เป็นลายลักษณ์อักษรสำหรับทุกชุดค่า
จากนั้นทดสอบกรณีลบ คือ ทรัพยากรที่บัญชีไม่ควรเข้าถึง และบัญชีที่ควรถูกปฏิเสธทันที การออกแบบที่พิสูจน์เฉพาะเส้นทางบวกมักเปิดทางเข้าที่สองค้างไว้ โดยเฉพาะเมื่อชื่อผู้ใช้สั้นชื่อเดียวกันมีอยู่ทั้งสองที่เก็บ ปิดใช้งานบัญชีไดเรกทอรีและยืนยันว่าบัญชีโลคัลไม่ทำงานต่อไปอย่างเงียบ ๆ
ตรวจทานชื่อที่ซ้ำกันเป็นส่วนหนึ่งของการนำไปใช้ ไม่ใช่หลังเกิดเหตุ คนเดียวกันอยู่ในสองที่เก็บเป็นทั้งความสะดวกของฝ่ายสนับสนุนและปัญหาในการตรวจสอบในเวลาเดียวกัน และไฟร์วอลล์จะยินดีตรวจสอบสิทธิ์บัญชีที่คุณกำหนดไว้
ทำให้เส้นทางกู้คืนแคบ
รักษานโยบาย MFA ไว้สำหรับบัญชีแต่ละประเภท แทนที่จะยกเว้นบัญชีโลคัล หากบัญชีโลคัลเป็นเส้นทางกู้คืนที่ได้รับอนุมัติสำหรับกรณีไดเรกทอรีล่ม ให้จำกัดเส้นทางนั้นไว้เฉพาะผู้ดูแลที่ระบุชื่อและใช้งานอย่างตั้งใจ เพราะบัญชีฉุกเฉินโลคัลสำหรับพนักงานทุกคนคือระบบตรวจสอบสิทธิ์ชุดที่สองที่มีการกำกับดูแลอ่อนกว่า
บันทึกโดเมนของไคลเอนต์ แหล่งตรวจสอบสิทธิ์ และสิทธิ์การเข้าถึงที่มีผลจริงไว้ในระเบียนเดียวกัน ผู้ดูแลคนถัดไปจะทำซ้ำการออกแบบบัญชีผสมที่ใช้งานได้ แทนที่จะลองสตริงโดเมนไปเรื่อย ๆ จนกว่าการล็อกอินจะสำเร็จ