ASA qrup aliası və qrup URL-i: profil necə seçilir

Bağlantı profili sessiyanı yalnız ASA onu seçdikdən sonra idarə edir. Bu cümlə köhnə, müştərisiz portal üçün bütün nasazlıq axtarış modelidir. İstifadə olunmayan profil mükəmməl giriş qaydalarına malik ola bilər və yenə də heç kimə tətbiq olunmaz. Hər hansı siyasəti redaktə etməzdən əvvəl giriş nöqtəsini izləyin.

Aşağıdakı fərqlər 9.16 sənədləşməsinə əsaslanır; müştərisiz SSL VPN 9.17(1) və sonrakı versiyalarda çıxarıldı.

Alias URL deyil, siyahı qeydidir

group-alias istifadəçinin giriş səhifəsindəki qrup siyahısından seçdiyi etiketi təmin edir. Həmin siyahının göstərilməsi ayrı parametrdir: tunnel-group-list enable. Alias sadəcə seçim adıdır, başqa heç nə deyil. staff adlı aliasın konfiqurasiyası profili seçən /staff URL-i yaratmır.

İnsanlar aliasın iki iş görməsini gözləyir, çünki brauzerin içindən siyahı ilə URL eyni seçim kimi görünür.

group-url əslində nəyə uyğun gəlir

group-url daxil olan URL-i bağlantı profilinə bağlayır. Həmin aktiv URL uyğun gəldikdə ASA istifadəçidən siyahıdan seçim etməyi xahiş etmədən profili seçir. URL tam nəzərdə tutulan ünvan olmalıdır, versiyanızın dəstəklədiyi sintaksisdə. Onun DNS qeydi və sertifikatı istifadəçilərin yazdığı ilə uyğun olmalıdır, əks halda uyğunluq heç vaxt baş vermir.

Kopyalanmış URL şərti konfiqurasiya haqqında heç nə sübut etmir. Ünvan sətrini deyil, profili yoxlayın.

Seçimi icra olunan siyasətə qədər izləyin

Tunnel qrupu seçildikdən sonra cihaz autentifikasiya metodunu və ona bağlı default qrup siyasətini həll edir. Sonra istifadəçiyə xas atributlar, autentifikasiyanın qaytardığı dəyərlər və dinamik avtorizasiya bu bazanın hissələrini üstələyə bilər. Sessiyanın həqiqətən nə aldığını yoxlayın. Adlandırılmış siyasəti təkbaşına oxumaq sizə nəticəni deyil, bazanı verir.

Bu ikisi arasındakı boşluq «qayda düzdür, amma giriş səhvdir» tipli şikayətlərin çoxunun mənbəyidir.

Miras izolyasiya deyil

Göstərmədiyiniz atributlar default qrup siyasətindən miras alına bilər. Yeni adlandırılmış siyasət buna görə paylaşılan defaultlardan təcrid olunmur və həmin defaultları redaktə etmək onları miras alan hər profilə çatır. Hər profil üzrə effektiv resurs girişini, DNS parametrlərini və sessiya məhdudiyyətlərini müqayisə edin. Paylaşılan bir şeyi dəyişməzdən əvvəl bunu edin.

Giriş məcburiyyətini seçimdən də ayrı saxlayın.

Müştərisiz sessiya üçün tətbiq olunan filtr webtype ACL-dir. Tunnel müştərisi üçün VPN filtri yalnız hər ikisi konfiqurasiyada eyni siyasət blokunun yanında yerləşdiyi üçün onu əvəz etmir.

Uyğun gəlməyən halı qərarlaşdırın, sonra hər yolu sınayın

Ümumi portal URL-ində və digər uyğun gəlməyən giriş nöqtələrində nə baş verməli olduğunu müəyyən edin. Bir test hesabının keçməsi üçün paylaşılan defaultu redaktə etmək əvəzinə real default-profil yoluna və onun avtorizasiyasına baxın. Sonra üç təzə sessiya açın: açıq URL, aktiv siyahı qeydi və ümumi giriş nöqtəsi. Hər biri üçün seçilmiş profili və effektiv siyasəti qeyd edin.

Əvvəlki girişdən brauzer vərəqini təkrar istifadə etmək müqayisəni pozur, çünki o sessiya artıq profilə bağlıdır.

Bu qeyd «portal açılır» ifadəsini sonradan audit edə biləcəyiniz girişdən-siyasətə xəritəyə çevirir və profil düzgün görünüb heç kimi idarə etmədikdə yeganə davamlı cavab budur.