Групов alias срещу групов URL в ASA: как се избира профилът

Профилът на връзка управлява сесия само след като ASA го избере. Това изречение е целият модел за отстраняване на неизправности при стар безклиентски портал. Неизползван профил може да има безупречни правила за достъп и пак да не важи за никого. Проследете входната точка, преди да редактирате каквато и да е политика.

Разликите по-долу следват документацията за 9.16; безклиентският SSL VPN беше премахнат в 9.17(1) и по-късно.

Alias е запис в списък, а не URL

group-alias дава етикет, който потребителят избира от списъка с групи на страницата за вход. Показването на този списък е отделна настройка, tunnel-group-list enable. Alias е име за избор и нищо повече. Конфигурирането на alias с име staff не създава URL /staff, който избира профила.

Хората очакват alias да върши двойна работа, защото от браузъра списъкът и URL изглеждат като един и същ избор.

С какво group-url всъщност съвпада

group-url обвързва входящ URL с профил на връзка. Когато този включен URL съвпадне, ASA избира профила, без да пита потребителя да избира от списъка. URL трябва да е пълният желан адрес, в синтаксиса, който вашата версия поддържа. DNS записът и сертификатът му трябва да съвпадат с това, което потребителите въвеждат, иначе съвпадението няма шанс да се случи.

Копиран суфикс на URL не доказва нищо за конфигурацията. Проверете профила, а не адресната лента.

Проследете избора до политиката, която се изпълнява

След избор на тунелна група устройството определя метода за удостоверяване и прикачената към нея групова политика по подразбиране. След това атрибути за конкретния потребител, стойности, върнати от удостоверяването, и динамичното оторизиране могат да заменят части от тази основа. Проверете какво действително е получила сесията. Четенето на именуваната политика само по себе си ви дава основата, не резултата.

Разликата между двете е източникът на повечето оплаквания „правилото е вярно, но достъпът е грешен“.

Наследяването не е изолация

Атрибути, които оставите неуказани, могат да се наследят от груповата политика по подразбиране. Затова новата именувана политика не е отделена от споделените стойности по подразбиране и редактирането им достига до всеки профил, който ги наследява. Сравнете ефективния достъп до ресурси, DNS настройките и ограниченията на сесията за всеки профил. Направете това, преди да промените нещо споделено.

Дръжте прилагането на достъпа отделно от избора.

За безклиентска сесия подходящият филтър е webtype ACL. VPN филтър за тунелен клиент не е заместител само защото и двата стоят близо до един и същ блок с политики в конфигурацията.

Решете случая без съвпадение, после тествайте всеки път

Определете какво трябва да се случи на общия URL на портала и на другите входни точки без съвпадение. Погледнете реалния път на профила по подразбиране и неговото оторизиране, вместо да редактирате споделена стойност по подразбиране, за да мине един тестов акаунт. След това отворете три нови сесии: явния URL, включения запис в списъка и общата входна точка. Запишете избрания профил и ефективната политика за всяка от тях.

Използването на същия раздел на браузъра от предишен вход разваля сравнението, защото тази сесия вече е обвързана с профил.

Този запис превръща „порталът се отваря“ в съответствие вход-към-политика, което можете да одитирате по-късно, и това е единственият траен отговор, когато профилът изглежда правилен и не управлява никого.