NetExtender đăng nhập được nhưng không truy cập được: SonicWall cục bộ + LDAP

Đăng nhập thành công, đường hầm được thiết lập và không có gì phía sau tường lửa phản hồi. Mẫu này trên một SonicWall SSL VPN thường có nghĩa là tài khoản đã vượt qua xác thực và dừng ở một trong hai quyền cấp sau: được nhận vào dịch vụ SSL VPN, hoặc được phép truy cập một tài nguyên. Tài khoản cục bộ và LDAP trộn lẫn làm tình hình tệ hơn, vì hai kho lưu trữ đến các quyền đó theo những đường khác nhau. Triệu chứng giống hệt nhau từ phía máy khách, vì vậy các lớp phải được tách ra một cách có chủ đích.

Triệu chứng và ba quyền phía sau

Ba quyết định độc lập nằm giữa tên người dùng và một máy chủ có thể truy cập. Phương thức xác thực quyết định thông tin đăng nhập có được chấp nhận hay không và kho nào chấp nhận. Tư cách thành viên dịch vụ SSL VPN quyết định danh tính đó có được dùng SSL VPN hay không. Danh sách Truy cập VPN quyết định phiên có thể đến những đích riêng tư nào. Vượt qua một quyền không nói gì về hai quyền tiếp theo.

Người dùng xác thực thành công nhưng không thuộc nhóm dịch vụ SSL VPN sẽ thấy một kết nối được thiết lập rồi không mang theo gì, và nhật ký tường lửa hiển thị đăng nhập được chấp nhận thay vì lỗi. Đây là trường hợp đáng nhận ra nhanh, vì cách sửa là tư cách thành viên nhóm chứ không phải đặt lại mật khẩu.

Người dùng được nhận vào nhưng không có tài nguyên sẽ thấy một phiên kết nối và không định tuyến đến đâu hữu ích. Cả hai đều trông như đường hầm hỏng từ bộ phận hỗ trợ, và cả hai đều là cấu hình chứ không phải kết nối.

Ô tên miền không phải thư mục

NetExtender yêu cầu một tên miền, và ô đó không phải là cơ sở tìm kiếm cho Active Directory. Trong cách bố trí mặc định, ô phải bằng tên miền người dùng SSL VPN mà tường lửa đã cấu hình, và giá trị mặc định được ghi trong tài liệu là LocalDomain. Phép so sánh phân biệt chữ hoa chữ thường, nên một giá trị gõ với cách viết hoa khác sẽ thất bại ngay cả khi tài khoản đúng.

Khi đã cấu hình phân vùng xác thực, tên phân vùng chọn ngữ cảnh xác thực bên ngoài, và giá trị mặc định đã cấu hình giữ vai trò riêng của nó. Trong cả hai cách bố trí, nhãn tên miền phía máy khách không được chuyển tiếp đến LDAP hoặc RADIUS như một phần của tên người dùng, nên nó không thể điều hướng tìm kiếm thư mục.

Hãy giữ ba chuỗi riêng trong ghi chú của bạn: hậu tố DNS của công ty, cơ sở tìm kiếm LDAP và nhãn tên miền NetExtender. Chúng trông giống nhau và không cái nào thay thế cái nào. Hãy sao chép giá trị của người vận hành cho bản cài đặt này chứ không phải giá trị từ một bài đăng diễn đàn về bản firmware khác.

Nhận vào và truy cập tài nguyên là hai quyền riêng biệt

Tài khoản cục bộ cần tư cách thành viên trong nhóm dịch vụ SSL VPN trước khi dịch vụ chấp nhận chúng. Tài khoản thư mục đến cùng nhóm qua quy trình ánh xạ nhóm được hỗ trợ, nghĩa là quan hệ nhóm LDAP phải được cấu hình rồi xác minh như tư cách thành viên hiệu lực thay vì giả định từ phía thư mục.

Quyền truy cập tài nguyên đến tiếp theo, trong Truy cập VPN trên người dùng hoặc nhóm. Cấp các mạng con và dịch vụ cụ thể mà vai trò cần, và đừng đi đường tắt cấp toàn bộ LAN vì cần một ứng dụng. Các tuyến của phiên, quy tắc truy cập và quyền của dịch vụ đích đều phải khớp với phạm vi đó.

Một tuyến trên máy khách làm cho đích có thể chọn và không cấp quyền cho nó. Tư cách thành viên nhóm SSL VPN cũng không biến tài khoản thành quản trị viên tường lửa, và không nên coi đó là việc cấp đặc quyền chung.

Hai danh tính, bốn kiểm tra mỗi cái

Hãy thử với một tài khoản cục bộ và một tài khoản thư mục, cả hai đều được cấp quyền hẹp và cả hai đều được ghi nhận là tài khoản thử nghiệm. Với mỗi tài khoản, ghi lại nguồn xác thực đã chấp nhận đăng nhập, các nhóm hiệu lực, quyền truy cập tài nguyên được gán và một thao tác ứng dụng được phép. Bốn kiểm tra, hai kho lưu trữ và một kết quả bằng văn bản cho mỗi tổ hợp.

Sau đó thử các trường hợp phủ định: một tài nguyên mà tài khoản không được đến, và một tài khoản phải bị từ chối ngay. Một thiết kế chỉ chứng minh con đường tích cực thường để mở một lối vào thứ hai, đặc biệt khi cùng một tên người dùng ngắn tồn tại trong cả hai kho. Vô hiệu hóa tài khoản thư mục và xác nhận rằng tài khoản cục bộ không lặng lẽ tiếp tục hoạt động.

Hãy xem lại các tên trùng lặp như một phần của việc triển khai chứ không phải sau một sự cố. Cùng một người trong hai kho vừa là tiện lợi cho hỗ trợ vừa là vấn đề kiểm toán, và tường lửa sẽ sẵn lòng xác thực cái bạn đã cấu hình.

Giữ đường khôi phục hẹp

Hãy giữ chính sách MFA cho từng lớp tài khoản thay vì miễn trừ tài khoản cục bộ khỏi nó. Nếu tài khoản cục bộ cung cấp một đường khôi phục đã được phê duyệt cho sự cố thư mục, hãy giới hạn đường đó cho các quản trị viên được nêu tên và vận hành nó một cách có chủ đích, vì một tài khoản khẩn cấp cục bộ cho mỗi nhân viên là hệ thống xác thực thứ hai với giám sát yếu hơn.

Hãy ghi tên miền máy khách, nguồn xác thực và quyền truy cập hiệu lực vào cùng một bản ghi. Quản trị viên tiếp theo sau đó có thể tái tạo một thiết kế tài khoản hỗn hợp hoạt động thay vì thử các chuỗi tên miền cho đến khi đăng nhập thành công.