Alias ομάδας ASA έναντι URL ομάδας: πώς επιλέγεται το προφίλ

Ένα προφίλ σύνδεσης διέπει μια συνεδρία μόνο αφού το ASA το επιλέξει. Αυτή η φράση είναι ολόκληρο το μοντέλο αντιμετώπισης προβλημάτων για μια παλιά πύλη χωρίς πελάτη. Ένα αχρησιμοποίητο προφίλ μπορεί να έχει άψογους κανόνες πρόσβασης και παρ' όλα αυτά να μην ισχύει για κανέναν. Ακολουθήστε το σημείο εισόδου σύνδεσης πριν επεξεργαστείτε οποιαδήποτε πολιτική.

Οι παρακάτω διακρίσεις ακολουθούν την τεκμηρίωση του 9.16· το SSL VPN χωρίς πελάτη αφαιρέθηκε στην 9.17(1) και μετά.

Το alias είναι καταχώριση λίστας, όχι URL

Το group-alias παρέχει μια ετικέτα που ο χρήστης επιλέγει από τη λίστα ομάδων στη σελίδα σύνδεσης. Η εμφάνιση αυτής της λίστας είναι ξεχωριστή ρύθμιση, το tunnel-group-list enable. Το alias είναι όνομα επιλογής και τίποτα περισσότερο. Η ρύθμιση ενός alias με όνομα staff δεν δημιουργεί URL /staff που επιλέγει το προφίλ.

Οι άνθρωποι περιμένουν το alias να κάνει διπλή δουλειά, επειδή από μέσα σε ένα πρόγραμμα περιήγησης η λίστα και το URL μοιάζουν με την ίδια επιλογή.

Τι αντιστοιχίζει πραγματικά το group-url

Το group-url δεσμεύει ένα εισερχόμενο URL σε ένα προφίλ σύνδεσης. Όταν αυτό το ενεργοποιημένο URL ταιριάζει, το ASA επιλέγει το προφίλ χωρίς να ζητήσει από τον χρήστη να διαλέξει από τη λίστα. Το URL πρέπει να είναι το πλήρες που προορίζεται, στη σύνταξη που υποστηρίζει η έκδοσή σας. Η εγγραφή DNS και το πιστοποιητικό του πρέπει να συμφωνούν με ό,τι πληκτρολογούν οι χρήστες, αλλιώς η αντιστοίχιση δεν θα συμβεί ποτέ.

Ένα αντιγραμμένο επίθεμα URL δεν αποδεικνύει τίποτα για τη διαμόρφωση. Ελέγξτε το προφίλ, όχι τη γραμμή διευθύνσεων.

Ακολουθήστε την επιλογή μέχρι την πολιτική που εκτελείται

Μόλις επιλεγεί μια ομάδα σήραγγας, η συσκευή επιλύει τη μέθοδο ελέγχου ταυτότητας και την προεπιλεγμένη πολιτική ομάδας που συνδέεται με αυτήν. Έπειτα χαρακτηριστικά ειδικά για τον χρήστη, τιμές που επιστρέφει ο έλεγχος ταυτότητας και η δυναμική εξουσιοδότηση μπορούν να παρακάμψουν μέρη αυτής της βάσης. Εξετάστε τι έλαβε πραγματικά η συνεδρία. Η ανάγνωση της ονομασμένης πολιτικής από μόνη της σας δίνει τη βάση, όχι το αποτέλεσμα.

Το χάσμα μεταξύ των δύο είναι η πηγή των περισσότερων αναφορών «ο κανόνας είναι σωστός αλλά η πρόσβαση λάθος».

Η κληρονομικότητα δεν είναι απομόνωση

Χαρακτηριστικά που αφήνετε απροσδιόριστα μπορούν να κληρονομηθούν από την προεπιλεγμένη πολιτική ομάδας. Άρα μια νέα ονομασμένη πολιτική δεν είναι αποκλεισμένη από τις κοινές προεπιλογές, και η επεξεργασία τους φτάνει σε κάθε προφίλ που τις κληρονομεί. Συγκρίνετε την πραγματική πρόσβαση σε πόρους, τις ρυθμίσεις DNS και τους περιορισμούς συνεδρίας ανά προφίλ. Κάντε το πριν αλλάξετε οτιδήποτε κοινό.

Κρατήστε και την επιβολή πρόσβασης ξεχωριστή από την επιλογή.

Για συνεδρία χωρίς πελάτη, το κατάλληλο φίλτρο είναι το ACL webtype. Ένα φίλτρο VPN για πελάτη σήραγγας δεν το υποκαθιστά μόνο επειδή και τα δύο βρίσκονται κοντά στο ίδιο μπλοκ πολιτικής στη διαμόρφωση.

Αποφασίστε την περίπτωση χωρίς αντιστοίχιση και μετά δοκιμάστε κάθε διαδρομή

Καθορίστε τι πρέπει να συμβεί στο γενικό URL της πύλης και σε άλλα σημεία εισόδου χωρίς αντιστοίχιση. Κοιτάξτε την πραγματική διαδρομή του προεπιλεγμένου προφίλ και την εξουσιοδότησή της αντί να επεξεργάζεστε μια κοινή προεπιλογή ώστε να περάσει ένας δοκιμαστικός λογαριασμός. Έπειτα ανοίξτε τρεις νέες συνεδρίες: το ρητό URL, την ενεργοποιημένη καταχώριση λίστας και το γενικό σημείο εισόδου. Καταγράψτε το επιλεγμένο προφίλ και την πραγματική πολιτική για καθεμία.

Η επαναχρησιμοποίηση καρτέλας περιήγησης από προηγούμενη σύνδεση χαλάει τη σύγκριση, επειδή αυτή η συνεδρία είναι ήδη δεσμευμένη σε ένα προφίλ.

Αυτή η καταγραφή μετατρέπει το «η πύλη ανοίγει» σε αντιστοίχιση σύνδεσης-προς-πολιτική που μπορείτε να ελέγξετε αργότερα, και είναι η μόνη διαρκής απάντηση όταν ένα προφίλ φαίνεται σωστό και δεν διέπει κανέναν.