اسم مجموعة ASA مقابل عنوان URL للمجموعة: كيف يُختار الملف

لا يحكم ملف الاتصال الجلسة إلا بعد أن يختاره ASA. تلك الجملة هي نموذج استكشاف الأخطاء بالكامل لبوابة قديمة بلا عميل. قد يحمل ملف غير مستخدم قواعد وصول سليمة ومع ذلك لا ينطبق على أحد. تتبَّع نقطة إدخال تسجيل الدخول قبل أن تعدّل أي سياسة.

تتبع الفروق أدناه توثيق الإصدار 9.16؛ وقد أُزيل SSL VPN بلا عميل في الإصدار 9.17(1) وما بعده.

الاسم مُدخل في قائمة، وليس عنوان URL

group-alias يوفّر تسمية يختارها المستخدم من قائمة المجموعات في صفحة تسجيل الدخول. عرض تلك القائمة إعداد منفصل، وهو tunnel-group-list enable. الاسم مجرد اسم اختيار ولا شيء أكثر. تكوين اسم يُسمّى staff لا ينشئ عنوان URL باسم /staff يختار الملف.

يتوقع الناس أن يؤدي الاسم وظيفتين، لأن القائمة وعنوان URL يبدوان من داخل المتصفح الخيار نفسه.

ما يطابقه group-url فعلاً

group-url يربط عنوان URL الوارد بملف اتصال. وعندما يطابق ذلك العنوان المُمكَّن، يختار ASA الملف دون أن يطلب من المستخدم الاختيار من القائمة. يجب أن يكون العنوان هو المقصود الكامل، بالصيغة التي يدعمها إصدارك. ويجب أن يتوافق سجل DNS والشهادة مع ما يكتبه المستخدمون، وإلا فلن تُتاح للمطابقة أي فرصة.

لاحقة عنوان URL منسوخة لا تثبت شيئًا عن التكوين. افحص الملف، لا شريط العناوين.

تتبَّع الاختيار حتى السياسة التي تُنفَّذ

بعد اختيار مجموعة نفق، يحلّ الجهاز طريقة المصادقة وسياسة المجموعة الافتراضية المرتبطة بها. ثم يمكن للسمات الخاصة بالمستخدم، والقيم التي تُرجعها المصادقة، والتفويض الديناميكي أن تتجاوز أجزاء من ذلك الأساس. افحص ما تلقّته الجلسة فعلاً. فقراءة السياسة المسمّاة وحدها تعطيك الأساس، لا النتيجة.

الفجوة بين الاثنين هي مصدر معظم التقارير التي تقول «القاعدة صحيحة لكن الوصول خاطئ».

الوراثة ليست عزلاً

السمات التي تتركها غير محددة قد ترث من سياسة المجموعة الافتراضية. لذا فسياسة مسمّاة جديدة ليست معزولة عن الافتراضيات المشتركة، وتعديل تلك الافتراضيات يصل إلى كل ملف يرثها. قارن الوصول الفعلي إلى الموارد وإعدادات DNS وقيود الجلسة لكل ملف. افعل ذلك قبل تغيير أي شيء مشترك.

افصل أيضًا إنفاذ الوصول عن الاختيار.

في الجلسة بلا عميل يكون المرشِّح الملائم هو قائمة webtype ACL. ومرشِّح VPN لعميل النفق ليس بديلاً لمجرد أن كليهما يقع قرب كتلة السياسة نفسها في التكوين.

احسم الحالة غير المطابقة، ثم اختبر كل مسار

حدّد ما ينبغي أن يحدث عند عنوان URL العام للبوابة وعند نقاط الدخول الأخرى غير المطابقة. انظر إلى مسار الملف الافتراضي الحقيقي وتفويضه بدل تعديل افتراضي مشترك كي ينجح حساب اختبار واحد. ثم افتح ثلاث جلسات جديدة: العنوان الصريح، ومُدخل القائمة المُمكَّن، ونقطة الدخول العامة. سجّل الملف المختار والسياسة الفعلية لكل واحدة منها.

إعادة استخدام تبويب متصفح من تسجيل دخول سابق تُفسد المقارنة، لأن تلك الجلسة مرتبطة بملف بالفعل.

يحوّل ذلك السجل «البوابة تُفتح» إلى خريطة من تسجيل الدخول إلى السياسة يمكنك تدقيقها لاحقًا، وهي الإجابة الدائمة الوحيدة حين يبدو الملف صحيحًا ولا يحكم أحدًا.