ASA-Gruppenalias vs. Gruppen-URL: Wie das Profil ausgewählt wird

Ein Verbindungsprofil steuert eine Sitzung erst, nachdem die ASA es ausgewählt hat. Dieser Satz ist das gesamte Fehlersuchmodell für ein altes clientloses Portal. Ein ungenutztes Profil kann perfekte Zugriffsregeln haben und trotzdem für niemanden gelten. Verfolgen Sie den Anmelde-Einstiegspunkt, bevor Sie eine Richtlinie ändern.

Die folgenden Unterscheidungen folgen der Dokumentation zu 9.16; clientloses SSL VPN wurde in 9.17(1) und später entfernt.

Der Alias ist ein Listeneintrag, keine URL

group-alias liefert eine Bezeichnung, die der Benutzer aus der Gruppenliste auf der Anmeldeseite auswählt. Das Anzeigen dieser Liste ist eine separate Einstellung, tunnel-group-list enable. Der Alias ist ein Auswahlname und nichts weiter. Die Konfiguration eines Alias namens staff erzeugt keine /staff-URL, die das Profil auswählt.

Man erwartet, dass der Alias doppelte Arbeit leistet, weil Liste und URL aus dem Browser heraus wie dieselbe Wahl aussehen.

Was group-url tatsächlich abgleicht

group-url bindet eine eingehende URL an ein Verbindungsprofil. Wenn diese aktivierte URL übereinstimmt, wählt die ASA das Profil aus, ohne den Benutzer nach einer Auswahl aus der Liste zu fragen. Die URL muss die vollständige beabsichtigte sein, in der Syntax, die Ihre Version unterstützt. Ihr DNS-Eintrag und ihr Zertifikat müssen mit dem übereinstimmen, was Benutzer eingeben, sonst kommt der Abgleich nie zustande.

Ein kopiertes URL-Suffix beweist nichts über die Konfiguration. Prüfen Sie das Profil, nicht die Adressleiste.

Verfolgen Sie die Auswahl bis in die Richtlinie, die ausgeführt wird

Sobald eine Tunnelgruppe ausgewählt ist, ermittelt das Gerät die Authentifizierungsmethode und die daran gebundene Standard-Gruppenrichtlinie. Danach können benutzerspezifische Attribute, von der Authentifizierung zurückgegebene Werte und dynamische Autorisierung Teile dieser Basis überschreiben. Prüfen Sie, was die Sitzung tatsächlich erhalten hat. Das Lesen der benannten Richtlinie allein liefert die Basis, nicht das Ergebnis.

Die Lücke zwischen beidem ist die Quelle der meisten Meldungen „die Regel stimmt, aber der Zugriff ist falsch“.

Vererbung ist keine Isolation

Attribute, die Sie unspezifiziert lassen, können von der Standard-Gruppenrichtlinie erben. Eine neue benannte Richtlinie ist daher nicht von gemeinsam genutzten Standardwerten abgeschottet, und deren Änderung erreicht jedes Profil, das sie erbt. Vergleichen Sie den effektiven Ressourcenzugriff, die DNS-Einstellungen und die Sitzungsbeschränkungen pro Profil. Tun Sie das, bevor Sie etwas Gemeinsames ändern.

Halten Sie auch die Zugriffsdurchsetzung getrennt von der Auswahl.

Für eine clientlose Sitzung ist der zutreffende Filter die webtype-ACL. Ein VPN-Filter für Tunnelclients ersetzt sie nicht, nur weil beide in der Konfiguration nahe am selben Richtlinienblock stehen.

Entscheiden Sie den unpassenden Fall und testen Sie dann jeden Pfad

Legen Sie fest, was an der generischen Portal-URL und an anderen nicht passenden Einstiegspunkten geschehen soll. Sehen Sie sich den echten Standardprofil-Pfad und seine Autorisierung an, statt einen gemeinsamen Standard zu ändern, damit ein Testkonto durchkommt. Öffnen Sie dann drei frische Sitzungen: die explizite URL, den aktivierten Listeneintrag und den generischen Einstiegspunkt. Notieren Sie für jede das ausgewählte Profil und die effektive Richtlinie.

Die Wiederverwendung eines Browser-Tabs aus einer früheren Anmeldung verdirbt den Vergleich, weil diese Sitzung bereits an ein Profil gebunden ist.

Diese Aufzeichnung macht aus „das Portal öffnet sich“ eine Zuordnung von Anmeldung zu Richtlinie, die Sie später prüfen können, und das ist die einzige dauerhafte Antwort, wenn ein Profil korrekt aussieht und niemanden steuert.