ASA-groepalias teenoor groep-URL: hoe die profiel gekies word

’n Verbindingsprofiel beheer eers ’n sessie nadat die ASA dit gekies het. Daardie een sin is die hele foutsporingsmodel vir ’n ou modus-portaal sonder kliënt. ’n Ongebruikte profiel kan foutlose toegangsreëls hê en tog op niemand van toepassing wees nie. Volg die aanmeldpunt voordat jy enige beleid wysig.

Die onderskeid hieronder volg die 9.16-dokumentasie; kliëntlose SSL VPN is in 9.17(1) en later verwyder.

Die alias is ’n lysinskrywing, nie ’n URL nie

group-alias verskaf ’n etiket wat die gebruiker uit die groeplys op die aanmeldbladsy kies. Om daardie lys te wys is ’n aparte instelling, tunnel-group-list enable. Die alias is ’n keusenaam en niks meer nie. Om ’n alias met die naam staff te konfigureer, skep nie ’n /staff-URL wat die profiel kies nie.

Mense verwag dat die alias dubbelwerk doen, want die lys en die URL lyk van binne ’n blaaier na dieselfde keuse.

Waarmee group-url werklik ooreenstem

group-url bind ’n inkomende URL aan ’n verbindingsprofiel. Wanneer daardie geaktiveerde URL pas, kies die ASA die profiel sonder om die gebruiker te vra om uit die lys te kies. Die URL moet die volledige bedoelde een wees, in die sintaksis wat jou weergawe ondersteun. Die DNS-rekord en die sertifikaat daarvan moet ooreenstem met wat gebruikers intik, anders kry die passing nooit ’n kans nie.

’n Gekopieerde URL-agtervoegsel bewys niks oor konfigurasie nie. Kontroleer die profiel, nie die adresbalk nie.

Volg die keuse tot in die beleid wat loop

Sodra ’n tunnelegroep gekies is, bepaal die toestel die verifikasiemetode en die verstekgroepbeleid wat daaraan gekoppel is. Dan kan gebruiker-spesifieke eienskappe, waardes wat deur verifikasie teruggegee word, en dinamiese magtiging dele van daardie basislyn oorheers. Ondersoek wat die sessie werklik ontvang het. Om die genoemde beleid op sy eie te lees, gee jou die basislyn, nie die uitkoms nie.

Die gaping tussen daardie twee is waar die meeste berigte van “die reël is reg, maar toegang is verkeerd” vandaan kom.

Oorerwing is nie isolasie nie

Eienskappe wat jy ongespesifiseer laat, kan van die verstekgroepbeleid oorerf. ’n Nuwe genoemde beleid is dus nie van gedeelde verstekke afgesluit nie, en om daardie verstekke te wysig, bereik elke profiel wat hulle oorerf. Vergelyk doeltreffende hulpbrontoegang, DNS-instellings en sessiebeperkings per profiel. Doen dit voordat jy iets gedeel verander.

Hou toegangsafdwinging ook apart van die keuse.

Vir ’n kliëntlose sessie is die toepaslike filter die webtype-ACL. ’n VPN-filter vir tonnelkliënte is nie ’n plaasvervanger net omdat albei naby dieselfde beleidsblok in die konfigurasie sit nie.

Besluit die ongepaarde geval, en toets dan elke pad

Werk uit wat by die generiese portaal-URL en by ander ongepaarde ingangspunte moet gebeur. Kyk na die werklike verstekprofiel-pad en sy magtiging eerder as om ’n gedeelde verstek te wysig sodat een toetsrekening deurkom. Maak dan drie nuwe sessies oop: die eksplisiete URL, die geaktiveerde lysinskrywing en die generiese ingangspunt. Teken die gekose profiel en die doeltreffende beleid vir elkeen aan.

Om ’n blaaier-oortjie van ’n vroeëre aanmelding te hergebruik, bederf die vergelyking, want daardie sessie is al aan ’n profiel gebind.

Daardie rekord verander “die portaal maak oop” in ’n aanmelding-tot-beleid-kartering wat jy later kan oudit, en dit is die enigste duursame antwoord wanneer ’n profiel korrek lyk en niemand beheer nie.