Àlies de grup d'ASA versus URL de grup: com es tria el perfil

Un perfil de connexió governa una sessió només després que l'ASA el triï. Aquesta frase és tot el model de diagnòstic per a un portal antic sense client. Un perfil no utilitzat pot tenir regles d'accés perfectes i no aplicar-se a ningú. Seguiu el punt d'entrada d'inici de sessió abans de modificar qualsevol política.

Les distincions següents segueixen la documentació del 9.16; l'SSL VPN sense client es va eliminar al 9.17(1) i posteriors.

L'àlies és una entrada de llista, no una URL

group-alias proporciona una etiqueta que l'usuari tria de la llista de grups a la pàgina d'inici de sessió. Mostrar aquesta llista és un paràmetre a part, tunnel-group-list enable. L'àlies és un nom de selecció i res més. Configurar un àlies anomenat staff no crea cap URL /staff que triï el perfil.

La gent espera que l'àlies faci doble feina perquè, des del navegador, la llista i la URL semblen la mateixa elecció.

Què fa coincidir realment group-url

group-url lliga una URL entrant a un perfil de connexió. Quan aquesta URL habilitada coincideix, l'ASA tria el perfil sense demanar a l'usuari que triï de la llista. La URL ha de ser la completa que es vol, en la sintaxi que admet la vostra versió. El seu registre DNS i el seu certificat han de coincidir amb el que escriuen els usuaris, o la coincidència no arribarà mai a produir-se.

Un sufix d'URL copiat no demostra res sobre la configuració. Reviseu el perfil, no la barra d'adreces.

Seguiu la selecció fins a la política que s'executa

Un cop triat un grup de túnel, l'aparell resol el mètode d'autenticació i la política de grup per defecte que hi va associada. Després, els atributs específics d'usuari, els valors que retorna l'autenticació i l'autorització dinàmica poden substituir parts d'aquesta base. Inspeccioneu què ha rebut realment la sessió. Llegir la política anomenada per si sola us dona la base, no el resultat.

La diferència entre les dues és l'origen de la majoria d'informes de «la regla és correcta però l'accés és incorrecte».

L'herència no és aïllament

Els atributs que deixeu sense especificar poden heretar de la política de grup per defecte. Per tant, una política anomenada nova no està aïllada dels valors per defecte compartits, i editar aquests valors arriba a cada perfil que els hereta. Compareu l'accés efectiu als recursos, els paràmetres DNS i les restriccions de sessió per perfil. Feu-ho abans de canviar res compartit.

Mantingueu també l'aplicació de l'accés separada de la selecció.

En una sessió sense client, el filtre aplicable és l'ACL webtype. Un filtre VPN per a client de túnel no és un substitut només perquè tots dos estiguin a prop del mateix bloc de política a la configuració.

Decidiu el cas sense coincidència i després proveu cada camí

Determineu què ha de passar a la URL genèrica del portal i als altres punts d'entrada sense coincidència. Mireu el camí real del perfil per defecte i la seva autorització en lloc d'editar un valor compartit per fer passar un sol compte de prova. Després obriu tres sessions noves: la URL explícita, l'entrada habilitada de la llista i el punt d'entrada genèric. Anoteu el perfil seleccionat i la política efectiva de cadascuna.

Reutilitzar una pestanya del navegador d'un inici de sessió anterior espatlla la comparació, perquè aquesta sessió ja està lligada a un perfil.

Aquest registre converteix «el portal s'obre» en un mapa d'inici de sessió a política que podeu auditar més endavant, i és l'única resposta duradora quan un perfil sembla correcte i no governa ningú.