Autenticar a los usuarios remotos y locales con un solo grupo

3) Cree el grupo de usuarios «SSLVPN», añada usuarios locales y el servidor remoto ‘MyLDAP’.

# configurar grupo de usuarios
editar «SSLVPN»
set member «MyLDAP» «student» «student1»
# config match
editar 1
set nombre-servidor «MyLDAP»
set group-name «CN=test,OU=test,DC=mywork,DC=local»
siguiente
end
siguiente
end

4)Configurar SSLVPN.

# config vpn ssl settings
# config authentication-rule
editar 1
set groups «SSLVPN»
set portal «web-access»
siguiente
end
fin

5)Configure la política del cortafuegos y añada el grupo ‘SSLVPN’ al campo Fuente.

# Configurar la política del cortafuegos
editar 0
set name «IncomingSSLVPN»
set srcintf «ssl.root»
set dstintf «puerto4»
set srcaddr «all»
set dstaddr «todos»
set action accept
fijar horario «siempre»
set service «ALL»
set logtraffic all
set groups «SSLVPN»
siguiente
end

RESOLUCIÓN DE PROBLEMAS.

1) Pruebe la autenticación de usuarios y depure los registros.

– Pruebe el usuario LDAP existente ‘test.user’ a través de la CLI.

 

# diagnosticar prueba authserver ldap MyLDAP test.user Contraseña12
autenticación de ‘test.user’ contra ‘MyLDAP’ ¡con éxito!
Membresía(s) del grupo – CN=Domain Users,CN=Users,DC=mywork,DC=local

– Inicio de sesión remoto a través del Portal SSL-VPN , Monitorización y depuración de SSL-VPN.

# diagnosticar la aplicación de depuración sslvpn -1
Los mensajes de depuración estarán activados durante 30 minutos.

# diagnostic debug enable
…
[359:root:4b]sslvpn_authenticate_user:191 autenticar usuario: [test.user] [359:root:4b]sslvpn_authenticate_user:198 crear estado fam
[359:root:4b]fam_auth_send_req:583 con lista negra de servidores:
[359:root:4b]fam_auth_send_req_internal:461 fnbam_auth return: 4
[359:root:4b]Autoría exitosa para el grupo SSLVPN
[359:root:4b]fam_do_cb:654 fnbamd return auth success.
[359:root:4b]El inicio de sesión de SSL VPN coincidió con la regla (1).
…

2) Inicie sesión en el portal SSL-VPN con el usuario local ‘estudiante’, monitoree y depure SSL-VPN.

# diagnosticar la aplicación de depuración sslvpn -1
Los mensajes de depuración estarán activados durante 30 minutos.

# diagnose debug console timestamp enable

# diagnostic debug enable
…
2020-04-16 10:32:39 [359:root:33]sslvpn_authenticate_user:191 autenticar usuario: [student] 2020-04-16 10:32:39 [359:root:33]sslvpn_authenticate_user:198 create fam state
2020-04-16 10:32:39 [359:root:33]fam_auth_send_req:583 con lista negra del servidor:
2020-04-16 10:32:39 La autentificación local se realiza con el usuario ‘estudiante’, ret=0
2020-04-16 10:32:39 [359:root:33]fam_auth_send_req_internal:461 fnbam_auth return: 0
2020-04-16 10:32:39 [359:root:33]fam_auth_send_req_internal:470 autenticación OK
2020-04-16 10:32:39 [359:root:33]fam_do_cb:654 fnbamd return auth success.
2020-04-16 10:32:39 [359:root:33]El inicio de sesión de SSL VPN coincidió con la regla (1). <—– La regla se refiere a la sección ‘config authentication-rule’ en la configuración de SSLVPN o la orden de la GUI o la coincidencia del portal. La primera regla que coincida dejará de procesarse.
…

3) Acceda al portal SSL-VPN con el usuario local ‘student1’, monitorice y depure SSL-VPN.

# diagnosticar la aplicación de depuración sslvpn -1
Los mensajes de depuración estarán activados durante 30 minutos.

# diagnostic debug enable

[359:root:3c]sslvpn_authenticate_user:191 autenticar usuario: [student1] [359:root:3c]sslvpn_authenticate_user:198 crear estado fam
[359:root:3c]fam_auth_send_req:583 con lista negra de servidores:
[359:root:3c]fam_auth_send_req_internal:461 fnbam_auth return: 0
[359:root:3c]fam_auth_send_req_internal:470 autenticación OK
[359:root:3c]fam_do_cb:654 fnbamd return auth success.
[359:root:3c]El inicio de sesión SSL VPN ha coincidido con la regla (1).

Nota:
En caso de que el LDAP contenga un usuario llamado ‘estudiante’ (igual que el usuario local), entonces el usuario LDAP tendrá prioridad y el usuario local con un token asignado puede ser anulado.