ASA grupni alias naspram grupne URL adrese: kako se bira profil

Profil veze upravlja sesijom tek nakon što ga ASA odabere. Ta rečenica je cijeli model za rješavanje problema na starom portalu bez klijenta. Nekorišten profil može imati besprijekorna pravila pristupa i ipak se ne primjenjivati ni na koga. Pratite ulaznu tačku prijave prije nego što izmijenite bilo koju politiku.

Razlike u nastavku prate dokumentaciju za 9.16; SSL VPN bez klijenta uklonjen je u 9.17(1) i kasnije.

Alias je stavka na listi, a ne URL

group-alias daje oznaku koju korisnik bira sa liste grupa na stranici za prijavu. Prikaz te liste je zasebno podešavanje, tunnel-group-list enable. Alias je samo naziv za odabir i ništa više. Konfigurisanje aliasa pod nazivom staff ne stvara URL /staff koji bira profil.

Ljudi očekuju da alias obavlja dvostruku ulogu jer, gledano iz preglednika, lista i URL izgledaju kao isti izbor.

Šta group-url zapravo uparuje

group-url veže dolazni URL za profil veze. Kada se ta omogućena URL adresa poklopi, ASA bira profil bez pitanja korisnika da bira sa liste. URL mora biti potpun i upravo onaj koji se želi, u sintaksi koju vaše izdanje podržava. Njegov DNS zapis i certifikat moraju se slagati s onim što korisnici upisuju, inače se poklapanje nikada neće dogoditi.

Kopirani sufiks URL adrese ne dokazuje ništa o konfiguraciji. Provjerite profil, a ne adresnu traku.

Pratite odabir do politike koja se izvršava

Nakon što se odabere tunelska grupa, uređaj razrješava metod autentifikacije i zadanu grupnu politiku koja je uz nju vezana. Zatim korisnički atributi, vrijednosti koje vrati autentifikacija i dinamička autorizacija mogu nadjačati dijelove te osnove. Provjerite šta je sesija zaista dobila. Čitanje samo imenovane politike daje vam osnovu, a ne ishod.

Razmak između to dvoje izvor je većine prijava „pravilo je ispravno, ali pristup je pogrešan“.

Nasljeđivanje nije izolacija

Atributi koje ostavite neodređenima mogu se naslijediti iz zadane grupne politike. Nova imenovana politika zato nije odvojena od zajedničkih zadanih vrijednosti, a izmjena tih vrijednosti dopire do svakog profila koji ih nasljeđuje. Uporedite stvarni pristup resursima, DNS postavke i ograničenja sesije po profilu. Uradite to prije nego što promijenite bilo što zajedničko.

Držite i provođenje pristupa odvojeno od odabira.

Za sesiju bez klijenta primjenjivi filter je webtype ACL. VPN filter za tunelskog klijenta nije zamjena samo zato što oba stoje blizu istog bloka politike u konfiguraciji.

Odlučite o slučaju bez poklapanja, pa testirajte svaki put

Odredite šta treba da se dogodi na generičkoj URL adresi portala i na ostalim ulaznim tačkama bez poklapanja. Pogledajte stvarni put zadanog profila i njegovu autorizaciju umjesto da mijenjate zajedničku zadanu vrijednost da bi jedan testni račun prošao. Zatim otvorite tri nove sesije: eksplicitnu URL adresu, omogućenu stavku liste i generičku ulaznu tačku. Zabilježite odabrani profil i stvarnu politiku za svaku od njih.

Ponovno korištenje kartice preglednika iz ranije prijave kvari poređenje, jer je ta sesija već vezana za profil.

Taj zapis pretvara „portal se otvara“ u mapiranje prijave na politiku koje možete kasnije revidirati, i to je jedini trajan odgovor kada profil izgleda ispravno i nikim ne upravlja.