ASA LDAP mapiranje grupa nasuprot DAP-u za VPN grupnu politiku

Dva odvojena zapisa odlučuju koju grupnu politiku prima AnyConnect sesija, i oni žive u različitim dijelovima konfiguracije s različitim načinima otkaza. LDAP mapa atributa prevodi vrijednost iz direktorija u ASA atribut autorizacije tokom autentifikacije; DAP zapis zatim ocjenjuje uslove i može dodati ili nadjačati atribute. Oba mogu završiti na istom imenu politike, pa prijava koja radi ne govori ništa o tome koji je mehanizam to proizveo. Smisao njihovog poređenja je da svjesno odaberete jedan, umjesto da drugi tiho nadjača prvi.

Dva mehanizma, dvije tačke odluke

Izbor se svodi na tri pitanja. Zavisi li odluka od jedne vrijednosti atributa iz direktorija, treba li joj više od te vrijednosti, i koji mehanizam smije pobijediti kada se oba poklope?

Ako je jedini ulaz članstvo u grupi, mapa atributa je manji alat i onaj koji se lakše revidira: jedna mapa, vezana za jedan AAA server, s jednim redom po grupi. Ako izbor mora uzeti u obzir stanje uređaja, identitet krajnje tačke, drugi atribut ili vremenski prozor, mapi ponestaje ulaza i DAP je mehanizam koji može izraziti pravilo. Ako su oba u igri, naučite prioritet na svom izdanju prije nego što napišete ijedan od njih, jer sesija koja se poklopi s DAP zapisom možda neće zadržati politiku koju je mapa vratila. Sve ostalo je knjigovodstvo.

Putanja mape atributa, po redu konfiguracije

Putanja mape počinje kod definicije AAA servera. Mapa atributa mora biti vezana za unos LDAP servera koji profil veze stvarno koristi; mapa koja postoji u radnoj konfiguraciji ali na koju taj server ne upućuje ne mijenja ništa. Upravo taj red vezivanja čini ostatak konfiguracije živim. Vodič za LDAP mapiranje u ASA je referenca za sintaksu mape u izdanjima 9.x.

Unutar mape jedan iskaz imenuje atribut direktorija i ASA atribut koji on hrani, a dalji iskazi prevode konkretne vrijednosti. map-name memberOf Group-Policy nakon čega slijedi map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly je oblik: lijeva strana je ono što je direktorij vratio, desna strana je ime grupne politike koja mora već postojati. Prepoznatljivo ime i prikazno ime politike nisu zamjenjivi, a skoro poklapanje u bilo kojem od stringova ne proizvodi grešku pri prijavi.

Dva detalja ovdje ujedaju: memberOf vraća svaku grupu kojoj račun pripada, pa korisnik u dvije mapirane grupe daje mapi dvije kandidat-vrijednosti, a abecedno pravilo u vodiču je jedini način razrješenja izjednačenja na koji se možete osloniti umjesto vlastitog redoslijeda prioriteta. Nemapirana vrijednost ne daje ništa, što tiho pada natrag na zadanu politiku profila.

Putanja DAP-a i šta ona dodaje

DAP ocjenjuje uslove i primjenjuje atribute povrh AAA rezultata. Zapis nosi prioritet, akciju i skup uslova; zapisi se ocjenjuju po redu prioriteta, a akcija odlučuje da li se ocjenjivanje nastavlja ili zaustavlja. To je drugačiji model izvršavanja od traženja vrijednosti, i upravo zato može izraziti pravila koja mapa ne može.

Ono što DAP dodaje jesu ulazi. Uslovi mogu upućivati na atribute direktorija, atribute krajnje tačke i stanje uređaja, a odgovarajući zapis može nositi ACL-ove, URL liste ili filtere za tu sesiju. Zato je pravilo poput „osoblje podrške na upravljanom laptopu dobija politiku samo za čitanje, a isto osoblje na neupravljanom uređaju dobija ograničenu“ izrazivo u DAP-u, ali ne u mapi atributa. Mapa ima tačno jedan ulaz: vrijednost koju je direktorij vratio za atribut koji ste naveli.

DAP dodaje i drugo mjesto za provjeru kada sesija završi u pogrešnoj politici. Zapis koji se poklopi s akcijom nastavljanja ne završava ocjenjivanje, a kasniji zapis još može promijeniti ishod, pa je ono što vidite proizvod niza, a ne jednog traženja. Čitajte brojeve prioriteta po redu i zapamtite da rezervni zapis može biti onaj koji obavlja posao. Mapa, nasuprot tome, nema niz: jedan atribut, jedna vrijednost, jedan odgovor.

Gdje se njih dvije razilaze

Prioritet je dio koji lomi dizajne. Kada se sesija poklopi i s unosom mape i s DAP zapisom, ishod zavisi od izdanja i od akcije zapisa, pa to provjerite na svom ASA uređaju umjesto da pretpostavljate da bilo koji mehanizam posjeduje ishod.

Tri načina otkaza objašnjavaju većinu zabune. Mapa koja je definisana ali nikada vezana za oznaku servera koju profil koristi daje zadanu politiku bez ikakve greške igdje. String uslova DAP-a koji se od vrijednosti direktorija razlikuje po velikom i malom slovu ili razmacima nikada se ne poklapa, i rezervni zapis se tiho primjenjuje. A grupna politika koja još ne postoji biva prihvaćena od mape, jer mapa vraća samo ime, pa sesija ne dobija nijednu od predviđenih dozvola i u logu nema ničega što pokazuje na objekat koji nedostaje. Provjerite sva tri prije nego što dirate članstvo u grupama.

Čitanje dokaza sa žive sesije

Čitajte odgovor sa svježe sesije, a ne iz konfiguracije. show vpn-sessiondb detail anyconnect filter name jdoe ispisuje grupnu politiku koju je sesija stvarno primila, a show running-config ldap attribute-map potvrđuje koje je vrijednosti mapa mogla vratiti. Na strani direktorija test aaa-server authentication LDAP-AD username jdoe password <password> pokazuje atribute koje je ASA dobio natrag, a debug ldap 255 pokazuje razmjenu kada se test ne slaže s vašim očekivanjem.

Zatim usaglasite četiri zapisa napismeno: vrijednost iz direktorija, konfigurisanu mapu ili DAP uslov, lokalnu grupnu politiku i resurs do kojeg je korisnik stvarno mogao stići. Ako se prva tri slažu, a četvrti ne, problem je u tijelu politike, a ne u izboru. Ako sesija pokazuje ispravno ime politike ali pogrešan ACL, prestanite potpuno gledati u LDAP. Mijenjajte jedan zapis po jedan i provjerite novu sesiju, jer je ponovo povezana sesija jedini dokaz koji odražava konfiguraciju koju ste upravo napisali.