Групавы alias і групавы URL у ASA: як выбіраецца профіль

Профіль злучэння кіруе сесіяй толькі пасля таго, як ASA яго выбера. Гэтае сказу — уся мадэль пошуку няспраўнасцяў для старога партала без кліента. Нявыкарыстаны профіль можа мець бездакорныя правілы доступу і ўсё роўна не дзейнічаць ні для каго. Прасачыце пункт уваходу, перш чым змяняць любую палітыку.

Апісаныя ніжэй адрозненні грунтуюцца на дакументацыі 9.16; SSL VPN без кліента быў выдалены ў 9.17(1) і пазней.

Alias — гэта запіс у спісе, а не URL

group-alias дае пазнаку, якую карыстальнік выбірае са спісу груп на старонцы ўваходу. Паказ гэтага спісу — асобная налада, tunnel-group-list enable. Alias — гэта толькі імя для выбару, і нічога больш. Налада alias з імем staff не стварае URL /staff, які выбірае профіль.

Людзі чакаюць, што alias будзе выконваць дзве ролі, бо з браўзера спіс і URL выглядаюць як адзін і той жа выбар.

Што насамрэч супастаўляе group-url

group-url прывязвае ўваходны URL да профілю злучэння. Калі гэты ўключаны URL супадае, ASA выбірае профіль, не просячы карыстальніка выбраць са спісу. URL павінен быць поўным і менавіта тым, у сінтаксісе, які падтрымлівае ваша версія. Яго DNS-запіс і сертыфікат павінны адпавядаць таму, што ўводзяць карыстальнікі, інакш супадзенне не адбудзецца.

Скапіяваны суфікс URL нічога не даказвае пра канфігурацыю. Правярайце профіль, а не адрасны радок.

Прасачыце выбар да палітыкі, якая выконваецца

Пасля выбару групы тунеля прылада вызначае метад аўтэнтыфікацыі і прывязаную да яе палітыку групы па змаўчанні. Затым атрыбуты карыстальніка, значэнні, вернутыя аўтэнтыфікацыяй, і дынамічная аўтарызацыя могуць перакрываць часткі гэтай базы. Праверце, што сесія атрымала насамрэч. Чытанне названай палітыкі асобна дае вам базу, а не вынік.

Разрыў паміж гэтымі двума — крыніца большасці скаргаў «правіла правільнае, але доступ няправільны».

Успадкаванне — не ізаляцыя

Атрыбуты, якія вы не ўказалі, могуць успадкавацца з палітыкі групы па змаўчанні. Таму новая названая палітыка не аддзелена ад агульных значэнняў па змаўчанні, і змяненне гэтых значэнняў даходзіць да кожнага профілю, які іх успадкоўвае. Параўнайце фактычны доступ да рэсурсаў, налады DNS і абмежаванні сесіі для кожнага профілю. Зрабіце гэта, перш чым змяняць што-небудзь агульнае.

Трымайце забеспячэнне доступу асобна ад выбару.

Для сесіі без кліента падыходзіць фільтр webtype ACL. Фільтр VPN для тунельнага кліента не замяняе яго толькі таму, што абодва стаяць побач з адным блокам палітыкі ў канфігурацыі.

Вызначце выпадак без супадзення, затым праверце кожны шлях

Вызначце, што павінна адбывацца на агульным URL партала і на іншых пунктах уваходу без супадзення. Глядзіце на рэальны шлях профілю па змаўчанні і яго аўтарызацыю, а не змяняйце агульнае значэнне па змаўчанні, каб прайшоў адзін тэставы ўліковы запіс. Затым адкрыйце тры новыя сесіі: яўны URL, уключаны запіс спісу і агульны пункт уваходу. Запішыце выбраны профіль і фактычную палітыку для кожнай.

Паўторнае выкарыстанне ўкладкі браўзера з папярэдняга ўваходу псуе параўнанне, бо гэтая сесія ўжо прывязана да профілю.

Гэты запіс пераўтварае «партал адкрываецца» ў сувязь «уваход — палітыка», якую можна праверыць пазней, і гэта адзіны надзейны адказ, калі профіль выглядае правільным і не кіруе нікім.