VPN qrup siyasəti üçün ASA LDAP qrup xəritələşdirməsi və DAP

AnyConnect sessiyasının hansı qrup siyasəti alacağına iki ayrı qeyd qərar verir və onlar konfiqurasiyanın müxtəlif yerlərində, müxtəlif uğursuzluq rejimləri ilə durur. LDAP atribut xəritəsi autentifikasiya zamanı kataloq dəyərini ASA avtorizasiya atributuna çevirir; DAP qeydi isə sonra şərtləri qiymətləndirir və atributları əlavə edə və ya üstələyə bilər. Hər ikisi eyni siyasət adı ilə bitə bilər, ona görə də işləyən bir giriş hansı mexanizmin onu yaratdığını sizə demir. Onları müqayisə etməyin mənası ikincinin birincini səssizcə üstələməsinə imkan vermək əvəzinə birini qəsdən seçməkdir.

İki mexanizm, iki qərar nöqtəsi

Seçim üç suala qədər azalır. Qərar tək bir kataloq atribut dəyərindən asılıdır, o dəyərdən daha çoxuna ehtiyac var, və hər ikisi uyğun gəldikdə hansı mexanizmin qalib gəlməsinə icazə verilir?

Yeganə giriş qrup üzvlüyüdürsə, atribut xəritəsi daha kiçik alətdir və audit etmək daha asandır: bir xəritə, bir AAA serverinə bağlanır, hər qrup üçün bir sətir. Əgər seçim posturu, son nöqtə kimliyini, ikinci atributu və ya zaman pəncərəsini nəzərə almalıdırsa, xəritənin girişləri tükənir və qaydanı ifadə edə bilən mexanizm DAP olur. Hər ikisi işdədirsə, hər hansı birini yazmazdan əvvəl buraxılışınızda prioriteti öyrənin, çünki DAP qeydi ilə uyğun gələn sessiya xəritənin qaytardığı siyasəti saxlamaya bilər. Qalan hər şey sadəcə uçotdur.

Atribut xəritəsi yolu, konfiqurasiya sırası ilə

Xəritə yolu AAA server tərifindən başlayır. Atribut xəritəsi əlaqə profilinin həqiqətən istifadə etdiyi LDAP server qeydinə bağlanmalıdır; işlək konfiqurasiyada olan, lakin həmin server tərəfindən istinad edilməyən xəritə heç nəyi dəyişmir. Konfiqurasiyanın qalanını canlı edən məhz həmin bağlama sətridir. ASA LDAP xəritələşdirmə bələdçisi 9.x buraxılışlarında xəritə sintaksisi üçün istinad mənbəyidir.

Xəritənin içində bir bəyanat kataloq atributunu və onun qidalandırdığı ASA atributunu adlandırır, sonrakı bəyanatlar isə konkret dəyərləri çevirir. map-name memberOf Group-Policy ardınca gələn map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly forması belədir: sol tərəf kataloqun qaytardığıdır, sağ tərəf isə artıq mövcud olmalı olan qrup siyasətinin adıdır. Fərqləndirici ad və siyasətin göstərilən adı bir-birini əvəz etmir və hər iki sətirdə az qala uyğunluq girişdə heç bir xəta yaratmır.

Burada iki detal dişləyir: memberOf hesabın aid olduğu bütün qrupları qaytarır, yəni iki xəritələnmiş qrupdakı istifadəçi xəritəyə iki namizəd dəyər verir və bələdçidəki əlifba qaydası öz prioritet sıranız yerinə arxalana biləcəyiniz yeganə bərabərlik həllidir. Xəritələnməmiş dəyər heç nə vermir və səssizcə profilin standart siyasətinə qayıdır.

DAP yolu və onun əlavə etdikləri

DAP şərtləri qiymətləndirir və AAA nəticəsinin üstünə atributlar tətbiq edir. Qeyd prioritet, əməliyyat və şərtlər toplusu daşıyır; qeydlər prioritet sırası ilə qiymətləndirilir və əməliyyat qiymətləndirmənin davam edib-etmədiyini müəyyən edir. Bu, dəyər axtarışından fərqli icra modelidir və məhz buna görə xəritənin ifadə edə bilmədiyi qaydaları ifadə edə bilir.

DAP-ın əlavə etdiyi şey girişlərdir. Şərtlər kataloq atributlarına, son nöqtə atributlarına və postur vəziyyətinə istinad edə bilər və uyğun gələn qeyd həmin sessiya üçün ACL-lər, URL siyahıları və ya filtrlər daşıya bilər. Beləliklə, idarə olunan noutbukdakı dəstək işçilərinin yalnız oxuma siyasəti alması, eyni işçilərin idarə olunmayan cihazda məhdudlaşdırılmış siyasət alması kimi qayda DAP-da ifadə oluna bilər, atribut xəritəsində isə yox. Xəritənin tam olaraq bir girişi var: kataloqun adını çəkdiyiniz atribut üçün qaytardığı dəyər.

DAP həm də sessiya səhv siyasətə düşəndə baxmaq üçün ikinci yer əlavə edir. Davam əməliyyatı ilə uyğun gələn qeyd qiymətləndirməni bitirmir və sonrakı qeyd nəticəni hələ də dəyişə bilər, yəni gördüyünüz şey tək axtarışın deyil, ardıcıllığın məhsuludur. Prioritet nömrələrini sıra ilə oxuyun və unutmayın ki, işi görən ehtiyat qeyd ola bilər. Xəritədə isə ardıcıllıq yoxdur: bir atribut, bir dəyər, bir cavab.

İkisinin ayrıldığı yerlər

Prioritet dizaynları pozan hissədir. Sessiya həm xəritə qeydi, həm də DAP qeydi ilə uyğun gəldikdə nəticə buraxılışdan və qeydin əməliyyatından asılıdır, ona görə də mexanizmlərdən birinin nəticəyə sahib olduğunu fərz etmək yerinə bunu öz ASA-nızda yoxlayın.

Qarışıqlığın çoxuna üç uğursuzluq rejimi səbəb olur. Müəyyən edilmiş, lakin profilin istifadə etdiyi server etiketinə heç vaxt bağlanmamış xəritə heç bir yerdə xəta olmadan standart siyasəti verir. Kataloq dəyərindən hərf registrinə və ya boşluqlara görə fərqlənən DAP şərt sətri heç vaxt uyğun gəlmir və ehtiyat qeyd səssizcə tətbiq olunur. Hələ mövcud olmayan qrup siyasəti isə xəritə tərəfindən qəbul edilir, çünki xəritə yalnız ad qaytarır, beləliklə sessiya nəzərdə tutulan icazələrin heç birini almır və logda itkin obyektə işarə edən heç nə olmur. Qrup üzvlüyünə toxunmazdan əvvəl hər üçünü yoxlayın.

Canlı sessiyadan sübutların oxunması

Cavabı konfiqurasiyadan deyil, təzə sessiyadan oxuyun. show vpn-sessiondb detail anyconnect filter name jdoe sessiyanın həqiqətən aldığı qrup siyasətini çap edir və show running-config ldap attribute-map xəritənin hansı dəyərləri qaytara biləcəyini təsdiqləyir. Kataloq tərəfində test aaa-server authentication LDAP-AD username jdoe password <password> ASA-nın geri aldığı atributları göstərir və debug ldap 255 test gözləntinizlə ziddiyyət təşkil edəndə mübadiləni göstərir.

Sonra dörd qeydi yazılı şəkildə uzlaşdırın: kataloq dəyəri, konfiqurasiya edilmiş xəritə və ya DAP şərti, yerli qrup siyasəti və istifadəçinin həqiqətən çata bildiyi resurs. Əgər ilk üçü üst-üstə düşür, dördüncüsü düşmürsə, problem seçimdə deyil, siyasətin gövdəsindədir. Əgər sessiya düzgün siyasət adını, lakin səhv ACL-i göstərirsə, LDAP-a baxmağı tamamilə dayandırın. Bir dəfə bir qeydi dəyişin və yeni sessiyanı yenidən yoxlayın, çünki yenidən qoşulmuş sessiya yenicə yazdığınız konfiqurasiyanı əks etdirən yeganə sübutdur.