ASA গ্রুপ Alias বনাম গ্রুপ URL: প্রোফাইল কীভাবে নির্বাচিত হয়

ASA প্রোফাইলটি বেছে নেওয়ার পরেই একটি সংযোগ প্রোফাইল সেশন নিয়ন্ত্রণ করে। এই বাক্যটিই একটি পুরোনো ক্লায়েন্টবিহীন পোর্টালের সম্পূর্ণ সমস্যা-অনুসন্ধান মডেল। অব্যবহৃত প্রোফাইলে নিখুঁত অ্যাক্সেস নিয়ম থাকতে পারে, তবুও তা কারও ওপর প্রযোজ্য হয় না। যেকোনো পলিসি সম্পাদনার আগে লগইন প্রবেশপথটি অনুসরণ করুন।

নিচের পার্থক্যগুলো 9.16 ডকুমেন্টেশন অনুসরণ করে; ক্লায়েন্টবিহীন SSL VPN 9.17(1) এবং পরবর্তীতে সরিয়ে দেওয়া হয়েছে।

alias হলো তালিকার এন্ট্রি, URL নয়

group-alias এমন একটি লেবেল দেয় যা ব্যবহারকারী লগইন পৃষ্ঠার গ্রুপ তালিকা থেকে বেছে নেন। ওই তালিকা দেখানো একটি আলাদা সেটিং, tunnel-group-list enable। alias শুধু একটি নির্বাচনের নাম, এর বেশি কিছু নয়। staff নামের alias কনফিগার করলে /staff নামের কোনো URL তৈরি হয় না যা প্রোফাইলটি নির্বাচন করে।

মানুষ alias-কে দ্বৈত ভূমিকা পালন করবে বলে আশা করে, কারণ ব্রাউজারের ভেতর থেকে তালিকা ও URL একই পছন্দের মতো দেখায়।

group-url আসলে কী মেলায়

group-url একটি আগত URL-কে সংযোগ প্রোফাইলের সঙ্গে বাঁধে। ওই সক্রিয় URL মিললে ASA ব্যবহারকারীকে তালিকা থেকে বেছে নিতে না বলেই প্রোফাইলটি নির্বাচন করে। URL-টি অবশ্যই সম্পূর্ণ অভীষ্ট একটি হতে হবে, আপনার রিলিজ যে সিনট্যাক্স সমর্থন করে তাতে। এর DNS রেকর্ড ও সার্টিফিকেট ব্যবহারকারীরা যা টাইপ করেন তার সঙ্গে মিলতে হবে, নাহলে মিলটি ঘটার সুযোগই পায় না।

কপি করা URL প্রত্যয় কনফিগারেশন সম্পর্কে কিছুই প্রমাণ করে না। অ্যাড্রেস বার নয়, প্রোফাইলটি যাচাই করুন।

নির্বাচনকে অনুসরণ করুন যে পলিসি চলে সেখানে

একবার টানেল গ্রুপ নির্বাচিত হলে, যন্ত্রটি প্রমাণীকরণ পদ্ধতি এবং তার সঙ্গে যুক্ত ডিফল্ট গ্রুপ পলিসি নির্ধারণ করে। এরপর ব্যবহারকারী-নির্দিষ্ট অ্যাট্রিবিউট, প্রমাণীকরণ থেকে ফেরত আসা মান এবং ডায়নামিক অনুমোদন সেই ভিত্তির অংশগুলো অগ্রাহ্য করতে পারে। সেশনটি বাস্তবে কী পেয়েছে তা পরীক্ষা করুন। শুধু নামযুক্ত পলিসি পড়লে আপনি ভিত্তিটি পান, ফলাফল নয়।

এই দুয়ের মধ্যবর্তী ব্যবধান থেকেই বেশিরভাগ «নিয়ম ঠিক আছে কিন্তু অ্যাক্সেস ভুল» অভিযোগ আসে।

উত্তরাধিকার বিচ্ছিন্নতা নয়

আপনি যেসব অ্যাট্রিবিউট অনির্দিষ্ট রাখেন সেগুলো ডিফল্ট গ্রুপ পলিসি থেকে উত্তরাধিকার পেতে পারে। তাই নতুন নামযুক্ত পলিসি ভাগ করা ডিফল্ট থেকে আলাদা নয়, এবং ওই ডিফল্ট সম্পাদনা করা প্রতিটি প্রোফাইলে পৌঁছায় যা সেগুলো উত্তরাধিকার করে। প্রতি প্রোফাইলে কার্যকর রিসোর্স অ্যাক্সেস, DNS সেটিংস ও সেশন নিষেধাজ্ঞা তুলনা করুন। ভাগ করা কিছু বদলানোর আগে এটি করুন।

অ্যাক্সেস প্রয়োগকে নির্বাচন থেকে আলাদাও রাখুন।

ক্লায়েন্টবিহীন সেশনের জন্য প্রযোজ্য ফিল্টার হলো webtype ACL। টানেলড-ক্লায়েন্ট VPN ফিল্টার এর বিকল্প নয়, শুধু এই কারণে যে দুটোই কনফিগারেশনে একই পলিসি ব্লকের কাছে বসে থাকে।

অমিলিত ক্ষেত্রটি ঠিক করুন, তারপর প্রতিটি পথ পরীক্ষা করুন

সাধারণ পোর্টাল URL এবং অন্য অমিলিত প্রবেশপথগুলোতে কী হওয়া উচিত তা নির্ধারণ করুন। একটি টেস্ট অ্যাকাউন্ট পাস করানোর জন্য ভাগ করা ডিফল্ট সম্পাদনার বদলে প্রকৃত ডিফল্ট-প্রোফাইল পথ ও তার অনুমোদন দেখুন। তারপর তিনটি নতুন সেশন খুলুন: স্পষ্ট URL, সক্রিয় তালিকা এন্ট্রি এবং সাধারণ প্রবেশপথ। প্রতিটির জন্য নির্বাচিত প্রোফাইল ও কার্যকর পলিসি লিখে রাখুন।

আগের লগইনের ব্রাউজার ট্যাব পুনরায় ব্যবহার করলে তুলনাটি নষ্ট হয়, কারণ ওই সেশন ইতিমধ্যে একটি প্রোফাইলে বাঁধা।

এই রেকর্ড «পোর্টাল খোলে»-কে লগইন-থেকে-পলিসি ম্যাপিংয়ে পরিণত করে যা পরে নিরীক্ষা করা যায়, আর প্রোফাইল সঠিক দেখালেও কাউকে নিয়ন্ত্রণ না করলে এটিই একমাত্র টেকসই উত্তর।