Mapio grwpiau LDAP ASA yn erbyn DAP ar gyfer polisi grŵp VPN

Mae dau gofnod ar wahân yn penderfynu pa bolisi grŵp y mae sesiwn AnyConnect yn ei dderbyn, ac maent yn byw mewn gwahanol rannau o'r ffurfweddiad gyda gwahanol foddau methu. Mae map priodoleddau LDAP yn cyfieithu gwerth o'r cyfeiriadur yn briodoledd awdurdodi ASA yn ystod dilysu; mae cofnod DAP yn gwerthuso amodau wedyn ac yn gallu ychwanegu neu ddiystyru priodoleddau. Gall y ddau orffen ar yr un enw polisi, felly nid yw mewngofnodi sy'n gweithio yn dweud dim wrthych am ba fecanwaith a'i cynhyrchodd. Pwrpas eu cymharu yw dewis un yn fwriadol yn lle gadael i'r ail ddiystyru'r cyntaf yn dawel.

Dau fecanwaith, dau bwynt penderfynu

Mae'r dewis yn dod i lawr i dri chwestiwn. A yw'r penderfyniad yn dibynnu ar un gwerth priodoledd o'r cyfeiriadur, a oes angen mwy na'r gwerth hwnnw, a pha fecanwaith ganiateir i ennill pan fydd y ddau yn cyfateb?

Os mai aelodaeth grŵp yw'r unig fewnbwn, y map priodoleddau yw'r offeryn llai a'r un hawsaf i'w archwilio: un map, ynghlwm wrth un gweinydd AAA, gyda llinell y grŵp. Os oes rhaid i'r dewis ystyried postur, hunaniaeth y pen draw, ail briodoledd neu ffenestr amser, mae mewnbynnau'r map yn dod i ben a DAP yw'r mecanwaith sy'n gallu mynegi'r rheol. Os yw'r ddau ar waith, dysgwch y flaenoriaeth ar eich rhyddhad cyn ysgrifennu'r naill na'r llall, oherwydd efallai na fydd sesiwn sy'n cyfateb i gofnod DAP yn cadw'r polisi a ddychwelwyd gan y map. Mae popeth arall yn gyfrifeg.

Llwybr y map priodoleddau, yn nhrefn y ffurfweddiad

Mae llwybr y map yn dechrau yn niffiniad y gweinydd AAA. Rhaid i'r map priodoleddau gael ei atodi i gofnod y gweinydd LDAP y mae'r proffil cysylltiad yn ei ddefnyddio mewn gwirionedd; nid yw map sy'n bodoli yn y ffurfweddiad rhedegol ond nad yw'r gweinydd hwnnw'n cyfeirio ato yn newid dim. Y llinell atodi honno sy'n gwneud gweddill y ffurfweddiad yn fyw. Mae'r canllaw mapio LDAP ASA yn gyfeiriad ar gyfer cystrawen y map ar fersiynau 9.x.

Y tu mewn i'r map, mae un datganiad yn enwi priodoledd y cyfeiriadur a'r briodoledd ASA y mae'n ei bwydo, ac mae datganiadau pellach yn cyfieithu gwerthoedd penodol. map-name memberOf Group-Policy ac yna map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly yw'r siâp: yr ochr chwith yw'r hyn a ddychwelwyd gan y cyfeiriadur, yr ochr dde yw enw polisi grŵp sy'n rhaid bodoli eisoes. Nid yw enw gwahaniaethol ac enw arddangos polisi yn gyfnewidiol, ac nid yw bron-gyfateb yn y naill linyn na'r llall yn cynhyrchu unrhyw wall wrth fewngofnodi.

Mae dau fanylyn yn brathu yma: memberOf yn dychwelyd pob grŵp y mae'r cyfrif yn perthyn iddo, felly mae defnyddiwr mewn dau grŵp wedi'u mapio yn rhoi dau werth ymgeisiol i'r map, a'r rheol wyddorol yn y canllaw yw'r unig dorri cyfartal y gallwch ddibynnu arno yn lle eich trefn flaenoriaeth eich hun. Nid yw gwerth heb ei fapio yn rhoi dim, sy'n syrthio'n dawel yn ôl i bolisi diofyn y proffil.

Llwybr DAP, a'r hyn y mae'n ei ychwanegu

Mae DAP yn gwerthuso amodau ac yn cymhwyso priodoleddau ar ben canlyniad AAA. Mae cofnod yn cario blaenoriaeth, gweithred a set o amodau; mae cofnodion yn cael eu gwerthuso yn ôl trefn blaenoriaeth ac mae'r weithred yn penderfynu a yw'r gwerthusiad yn parhau neu'n stopio. Mae hwnnw'n fodel gweithredu gwahanol i chwiliad gwerth, a dyna'n union pam y gall fynegi rheolau na all y map.

Yr hyn y mae DAP yn ei ychwanegu yw mewnbynnau. Gall amodau gyfeirio priodoleddau'r cyfeiriadur, priodoleddau'r pen draw a chyflwr postur, a gall cofnod sy'n cyfateb gario ACLau, rhestrau URL neu hidlwyr ar gyfer y sesiwn honno. Felly mae rheol fel staff cymorth ar liniadur dan reolaeth yn cael y polisi darllen yn unig tra bod yr un staff ar ddyfais heb ei rheoli yn cael un cyfyngedig yn fynegiadol yn DAP ac nid mewn map priodoleddau. Mae gan y map un mewnbwn yn union: y gwerth a ddychwelodd y cyfeiriadur ar gyfer y briodoledd a enwyd gennych.

Mae DAP hefyd yn ychwanegu ail le i edrych pan fydd sesiwn yn glanio yn y polisi anghywir. Nid yw cofnod sy'n cyfateb gyda gweithred parhau yn gorffen y gwerthusiad, a gall cofnod diweddarach newid y canlyniad o hyd, felly'r hyn a welwch yw cynnyrch dilyniant yn hytrach na chwiliad sengl. Darllenwch y rhifau blaenoriaeth mewn trefn, a chofiwch mai'r cofnod wrth gefn allai fod yr un sy'n gwneud y gwaith. Yn wahanol i hynny, nid oes gan y map ddilyniant: un briodoledd, un gwerth, un ateb.

Lle mae'r ddau yn anghytuno

Blaenoriaeth yw'r rhan sy'n torri dyluniadau. Pan fydd sesiwn yn cyfateb i gofnod map a chofnod DAP ill dau, mae'r canlyniad yn dibynnu ar y rhyddhad ac ar weithred y cofnod, felly gwiriwch hynny ar eich ASA eich hun yn lle tybio bod y canlyniad yn eiddo i'r naill fecanwaith na'r llall.

Mae tri modd methu yn cyfrif am y rhan fwyaf o'r dryswch. Mae map sydd wedi'i ddiffinio ond erioed wedi'i atodi i dag y gweinydd y mae'r proffil yn ei ddefnyddio yn cynhyrchu'r polisi diofyn heb unrhyw wall yn unman. Nid yw llinyn amod DAP sy'n wahanol i werth y cyfeiriadur o ran maint llythrennau neu fylchau byth yn cyfateb, ac mae'r cofnod wrth gefn yn berthnasol yn dawel. Ac mae polisi grŵp nad yw'n bodoli eto yn cael ei dderbyn gan y map, oherwydd nid yw'r map yn dychwelyd dim ond enw, felly nid yw'r sesiwn yn cael dim o'r caniatadau bwriadedig ac nid oes dim yn y log yn cyfeirio at y gwrthrych ar goll. Gwiriwch y tri cyn cyffwrdd ag aelodaeth grŵp.

Darllen y dystiolaeth oddi ar sesiwn fyw

Darllenwch yr ateb oddi ar sesiwn newydd yn hytrach nag oddi ar y ffurfweddiad. show vpn-sessiondb detail anyconnect filter name jdoe yn argraffu'r polisi grŵp a gafodd y sesiwn mewn gwirionedd, ac mae show running-config ldap attribute-map yn cadarnhau pa werthoedd y gallai'r map fod wedi'u dychwelyd. Ar ochr y cyfeiriadur, mae test aaa-server authentication LDAP-AD username jdoe password <password> yn dangos y priodoleddau a gafodd ASA yn ôl, ac mae debug ldap 255 yn dangos y cyfnewidiad pan fydd y prawf yn anghytuno â'r hyn a ddisgwyliasoch.

Yna cysoniwch bedwar cofnod yn ysgrifenedig: gwerth y cyfeiriadur, y map neu'r amod DAP a ffurfweddwyd, y polisi grŵp lleol, a'r adnodd y gallai'r defnyddiwr gyrraedd mewn gwirionedd. Os yw'r tri cyntaf yn cyd-fynd ac nad yw'r pedwerydd, mae'r broblem yng nghorff y polisi yn hytrach nag yn y dewis. Os yw'r sesiwn yn dangos yr enw polisi cywir ond yr ACL anghywir, stopiwch edrych ar LDAP yn gyfan gwbl. Newidiwch un cofnod ar y tro ac ailwirio sesiwn newydd, oherwydd sesiwn sydd wedi ailgysylltu yw'r unig dystiolaeth sy'n adlewyrchu'r ffurfweddiad rydych newydd ei ysgrifennu.