NetExtender oturum açıyor ama erişim yok: SonicWall yerel + LDAP

Oturum açma başarılı olur, tünel açılır ve güvenlik duvarının arkasında hiçbir şey yanıt vermez. Bir SonicWall üzerindeki bu örüntü SSL VPN genellikle hesabın kimlik doğrulamayı geçtiği ve iki sonraki izinden birinde durduğu anlamına gelir: SSL VPN hizmetine kabul veya bir kaynağa erişme izni. Yerel ve LDAP hesaplarının karışık olması durumu kötüleştirir, çünkü iki depo bu izinlere farklı yollardan ulaşır. Belirti istemci tarafında aynıdır, bu yüzden katmanların bilinçli olarak ayrılması gerekir.

Belirti ve arkasındaki üç izin

Bir kullanıcı adı ile erişilebilir sunucu arasında üç bağımsız karar vardır. Kimlik doğrulama yöntemi, kimlik bilgisinin kabul edilip edilmeyeceğine ve hangi depo tarafından kabul edileceğine karar verir. SSL VPN hizmeti üyeliği, bu kimliğin SSL VPN'i kullanıp kullanamayacağına karar verir. VPN Erişimi listesi, oturumun hangi özel hedeflere ulaşabileceğine karar verir. Birini geçmek diğer ikisi hakkında hiçbir şey söylemez.

Kimlik doğrulaması yapan ancak SSL VPN hizmet grubunda olmayan kullanıcı, kurulan ve sonra hiçbir şey taşımayan bir bağlantı görür ve güvenlik duvarı günlüğü hata yerine kabul edilmiş bir oturum açma gösterir. Hızlı tanınmaya değer durum budur, çünkü çözüm bir grup üyeliğidir, parola sıfırlama değil.

Kabul edilen ancak kaynağı olmayan kullanıcı, bağlanan ve yararlı hiçbir yere yönlendirmeyen bir oturum görür. İkisi de yardım masasından kırık tünel gibi görünür ve ikisi de bağlantı değil yapılandırmadır.

Etki alanı kutusu dizin değildir

NetExtender bir etki alanı sorar ve bu alan Active Directory için arama tabanı değildir. Varsayılan düzenlemede alan, güvenlik duvarının yapılandırdığı SSL VPN kullanıcı etki alanına eşit olmalıdır ve bunun için belgelenen varsayılan değer LocalDomain. Karşılaştırma büyük-küçük harfe duyarlıdır, bu yüzden farklı büyük harfle yazılan bir değer hesap doğru olsa bile başarısız olur.

Kimlik doğrulama bölümlemesi yapılandırıldığında, bölüm adları dış kimlik doğrulama bağlamını seçer ve yapılandırılmış varsayılan kendi rolünü korur. Her iki düzenlemede de istemci tarafındaki etki alanı etiketi, kullanıcı adının parçası olarak LDAP veya RADIUS'a iletilmez, bu yüzden bir dizin aramasını yönlendirmek için kullanılamaz.

Üç dizeyi notlarınızda ayrı tutun: şirketin DNS son eki, LDAP arama tabanı ve NetExtender etki alanı etiketi. Birbirine benzerler ve hiçbiri diğerinin yerini almaz. Bu kurulum için operatörün değerini kopyalayın, farklı bir ürün yazılımı sürümü hakkındaki forum gönderisinden bir değeri değil.

Kabul ve kaynak erişimi ayrı izinlerdir

Yerel hesaplar, hizmet onları kabul etmeden önce SSL VPN hizmeti grubunda üyelik gerektirir. Dizin hesapları aynı gruba desteklenen grup eşleme iş akışıyla ulaşır, bu da LDAP grup ilişkisinin yapılandırılması ve ardından dizin tarafından varsayılmak yerine etkili üyelik olarak doğrulanması gerektiği anlamına gelir.

Kaynak erişimi sonra gelir, kullanıcı veya grup üzerindeki VPN Erişimi altında. Rolün ihtiyaç duyduğu belirli alt ağları ve hizmetleri verin ve bir uygulama gerektiği için tüm LAN'ı verme kısa yoluna direnin. Oturumun rotaları, erişim kuralları ve hedef hizmet izinleri bu kapsamla uyumlu olmalıdır.

İstemcideki bir rota bir hedefi seçilebilir kılar ve onu yetkilendirmez. SSL VPN grubuna üyelik de hesabı güvenlik duvarı yöneticisi yapmaz ve genel bir ayrıcalık verilmesi olarak ele alınmamalıdır.

İki kimlik, her biri dört kontrol

Bir yerel hesap ve bir dizin hesabıyla test edin, ikisi de dar yetkili ve ikisi de test hesabı olarak belgelenmiş olsun. Her biri için oturum açmayı kabul eden kimlik doğrulama kaynağını, etkili grupları, atanan kaynak erişimini ve izin verilen bir uygulama işlemini kaydedin. Dört kontrol, iki depo ve her kombinasyon için yazılı bir sonuç.

Ardından olumsuz durumları test edin: hesabın ulaşmaması gereken bir kaynak ve hemen reddedilmesi gereken bir hesap. Yalnızca olumlu yolu kanıtlayan bir tasarım, özellikle aynı kısa kullanıcı adı her iki depoda da bulunduğunda ikinci bir girişi açık bırakma eğilimindedir. Dizin hesabını devre dışı bırakın ve yerel hesabın sessizce çalışmaya devam etmediğini doğrulayın.

Yinelenen adları olaydan sonra değil, kullanıma alma sürecinin parçası olarak gözden geçirin. Aynı kişinin iki depoda olması hem destek kolaylığı hem de denetim sorunudur ve güvenlik duvarı yapılandırdığınız olanı memnuniyetle doğrular.

Kurtarma yolunu dar tutun

Yerel hesapları muaf tutmak yerine her hesap sınıfı için MFA ilkesini koruyun. Yerel hesaplar bir dizin kesintisi için onaylanmış bir kurtarma yolu sunuyorsa, bu yolu adlandırılmış yöneticilerle sınırlayın ve bilinçli olarak işletin, çünkü her çalışan için yerel bir acil durum hesabı daha zayıf gözetimli ikinci bir kimlik doğrulama sistemidir.

İstemci etki alanını, kimlik doğrulama kaynağını ve etkili erişimi aynı kayda yazın. Sonraki yönetici böylece oturum açma başarılı olana kadar etki alanı dizelerini denemek yerine çalışan bir karma hesap tasarımını yeniden üretebilir.