سؤال:
الأعراض: يطلب المستعرض بيانات الاعتماد عند إستخدام مصادقة NTLM.
البيئة: Cisco Web Security Appliance (WSA)، جميع إصدارات AsyncOS
قد تؤثر عدة عوامل على ما إذا كان العميل يرسل بيانات الاعتماد الخاصة به تلقائيا (SSO - تسجيل الدخول الأحادي)، أو قد يطلب من المستخدم النهائي إدخال بيانات الاعتماد يدويا.
تحقق من العناصر التالية عند محاولة تنفيذ NTLM باستخدام SSO:
تكوين مصادقة WSA:
تحقق من إعداد WSA لاستخدام NTLMSSP وليس NTLM Basic فقط
يمكن العثور على هذا الإعداد على واجهة المستخدم الرسومية (GUI) تحت إدارة أمان الويب > الهويات في الصفحة. قم بتحرير الهوية المناسبة ثم تحقق من تعريف الأعضاء من خلال المصادقة > إعداد أنظمة المصادقة.
حدد أحد الخيارات التالية:
-
إستخدام NTLMSSP
-
إستخدام أساسي أو NTLMSSP
-
إستخدام أساسي
تمكن NTLMSSP وظائف العميل لإرسال بيانات الاعتماد بشكل آمن وشفاف إلى وكيل الويب.
يسمح NTLM Basic للعميل بإرسال اسم المستخدم وكلمة المرور في نص عادي عند مطالبته ببيانات الاعتماد.
يختار العميل أفضل طريقة متاحة عند تحديد خيار إستخدام أساسي أو NTLMSSP (مستحسن). إذا كان العميل يدعم NTLMSSP، فسيستخدم هذه الطريقة، وستستخدم جميع المستعرضات الأخرى "الأساسي". وهذا يسمح بأقصى قدر من التوافق.
ثقة العملاء:
إذا كان العميل لا يثق في WSA، فلن يرسل بيانات الاعتماد الخاصة به بشكل شفاف. فيما يلي إرشادات للمساعدة في أستكشاف أخطاء البيئات التي لا يثق فيها العميل في WSA وإصلاحها.
لا يثق العميل في URL لإعادة توجيه المصادقة (عمليات النشر الشفافة فقط)
في النشر الشفاف، يجب على WSA إعادة توجيه العميل إلى نفسه لإجراء المصادقة. قد يثق العميل بهذا الموقع المعاد توجيهه أو لا يثق فيه.
وبشكل افتراضي، تتم إعادة توجيه WSA إلى FQDN الخاص ب P1 (أو واجهة M1 إذا تم إستخدامها لبيانات الوكيل). نظرا لأن هذه شبكة FQDN، فلن يثق Internet Explorer بها، حيث أنه يعتقد أنها مورد خارج شبكته.
هناك طريقتان لجعل Internet Explorer تثق في WSA:
-
إضافة WSA interface FQDN إلى المواقع الموثوق بها. أختر أدوات > خيارات الإنترنت > التأمين > المواقع الموثوق بها وانقر زر المواقع.
ملاحظة: يجب تغيير هذا التكوين على كل عميل.
-
قم بتغيير عنوان URL لإعادة التوجيه الذي تستخدمه WSA ليكون اسم مضيف أحادي الكلمة قابل للحل DNS.
ويمكن القيام بذلك من خلال واجهة الويب. الرجاء تسجيل الدخول إلى WSA كمسؤول والانتقال إلى شبكة > مصادقة. ثم انقر على "تحرير الإعدادات العمومية ..." وقم بتعديل "اسم المضيف لإعادة توجيه المصادقة الشفافة"
إذا تعذر على WSA حل اسم المضيف هذا باستخدام DNS، ستظهر رسائل التنبيه لأخطاء التكوين. يوصى باستخدام الأمر DNSCONFIG > localhosts (ملاحظة: 'localhosts' هو أمر مخفي) وإضافة اسم المضيف هذا لحله إلى واجهة WSA المستخدمة لبيانات الوكيل.
إذا تعذر على عملائك حل اسم المضيف هذا، فلن يتمكن عملاؤك من الوكيل.
التعليقات