Αντιστοίχιση ομάδων LDAP στο ASA έναντι DAP για πολιτική ομάδας VPN

Δύο ξεχωριστές εγγραφές αποφασίζουν ποια πολιτική ομάδας λαμβάνει μια συνεδρία AnyConnect, και ζουν σε διαφορετικά σημεία της διαμόρφωσης με διαφορετικούς τρόπους αποτυχίας. Ένας χάρτης χαρακτηριστικών LDAP μεταφράζει μια τιμή του καταλόγου σε χαρακτηριστικό εξουσιοδότησης του ASA κατά την ταυτοποίηση· μια εγγραφή DAP αξιολογεί συνθήκες στη συνέχεια και μπορεί να προσθέσει ή να υπερισχύσει χαρακτηριστικών. Και τα δύο μπορούν να καταλήξουν στο ίδιο όνομα πολιτικής, οπότε μια σύνδεση που λειτουργεί δεν σας λέει τίποτα για το ποιος μηχανισμός την παρήγαγε. Το νόημα της σύγκρισης είναι να επιλέξετε έναν σκόπιμα αντί να αφήσετε τον δεύτερο να υπερισχύσει σιωπηλά του πρώτου.

Δύο μηχανισμοί, δύο σημεία απόφασης

Η επιλογή ανάγεται σε τρία ερωτήματα. Εξαρτάται η απόφαση από μία μόνο τιμή χαρακτηριστικού του καταλόγου, χρειάζεται κάτι περισσότερο από αυτή την τιμή, και ποιος μηχανισμός επιτρέπεται να κερδίσει όταν ταιριάζουν και οι δύο;

Αν η μόνη είσοδος είναι η ιδιότητα μέλους ομάδας, ο χάρτης χαρακτηριστικών είναι το μικρότερο εργαλείο και εκείνο που ελέγχεται ευκολότερα: ένας χάρτης, συνδεδεμένος με έναν διακομιστή AAA, με μία γραμμή ανά ομάδα. Αν η επιλογή πρέπει να λάβει υπόψη την κατάσταση της συσκευής, την ταυτότητα του τελικού σημείου, ένα δεύτερο χαρακτηριστικό ή ένα χρονικό παράθυρο, οι είσοδοι του χάρτη εξαντλούνται και το DAP είναι ο μηχανισμός που μπορεί να εκφράσει τον κανόνα. Αν και τα δύο είναι σε παιχνίδι, μάθετε την προτεραιότητα στην έκδοσή σας πριν γράψετε οποιοδήποτε από τα δύο, γιατί μια συνεδρία που ταιριάζει με εγγραφή DAP μπορεί να μη διατηρήσει την πολιτική που επέστρεψε ο χάρτης. Όλα τα άλλα είναι λογιστική.

Η διαδρομή του χάρτη χαρακτηριστικών, κατά σειρά διαμόρφωσης

Η διαδρομή του χάρτη ξεκινά από τον ορισμό του διακομιστή AAA. Ο χάρτης χαρακτηριστικών πρέπει να συνδεθεί με την καταχώριση του διακομιστή LDAP που χρησιμοποιεί πραγματικά το προφίλ σύνδεσης· ένας χάρτης που υπάρχει στη διαμόρφωση λειτουργίας αλλά δεν αναφέρεται από αυτόν τον διακομιστή δεν αλλάζει τίποτα. Εκείνη η γραμμή σύνδεσης είναι αυτό που κάνει ζωντανή την υπόλοιπη διαμόρφωση. Ο οδηγός αντιστοίχισης LDAP του ASA είναι η αναφορά για τη σύνταξη του χάρτη στις εκδόσεις 9.x.

Μέσα στον χάρτη, μία δήλωση ονομάζει το χαρακτηριστικό του καταλόγου και το χαρακτηριστικό του ASA που τροφοδοτεί, και περαιτέρω δηλώσεις μεταφράζουν συγκεκριμένες τιμές. map-name memberOf Group-Policy ακολουθούμενο από map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly είναι η μορφή: η αριστερή πλευρά είναι ό,τι επέστρεψε ο κατάλογος, η δεξιά πλευρά είναι το όνομα μιας πολιτικής ομάδας που πρέπει να υπάρχει ήδη. Ένα διακεκριμένο όνομα και ένα εμφανιζόμενο όνομα πολιτικής δεν είναι ανταλλάξιμα, και μια σχεδόν αντιστοιχία σε οποιοδήποτε από τα δύο αλφαριθμητικά δεν παράγει κανένα σφάλμα κατά τη σύνδεση.

Δύο λεπτομέρειες δαγκώνουν εδώ: memberOf επιστρέφει κάθε ομάδα στην οποία ανήκει ο λογαριασμός, οπότε ένας χρήστης σε δύο αντιστοιχισμένες ομάδες δίνει στον χάρτη δύο υποψήφιες τιμές, και ο αλφαβητικός κανόνας στον οδηγό είναι η μόνη επίλυση ισοπαλίας στην οποία μπορείτε να βασιστείτε αντί για τη δική σας σειρά προτεραιότητας. Μια μη αντιστοιχισμένη τιμή δεν δίνει τίποτα, κάτι που πέφτει σιωπηλά στην προεπιλεγμένη πολιτική του προφίλ.

Η διαδρομή DAP και τι προσθέτει

Το DAP αξιολογεί συνθήκες και εφαρμόζει χαρακτηριστικά πάνω στο αποτέλεσμα του AAA. Μια εγγραφή φέρει προτεραιότητα, ενέργεια και σύνολο συνθηκών· οι εγγραφές αξιολογούνται κατά σειρά προτεραιότητας και η ενέργεια αποφασίζει αν η αξιολόγηση συνεχίζεται ή σταματά. Αυτό είναι διαφορετικό μοντέλο εκτέλεσης από μια αναζήτηση τιμής, και γι' αυτό ακριβώς μπορεί να εκφράσει κανόνες που ο χάρτης δεν μπορεί.

Αυτό που προσθέτει το DAP είναι είσοδοι. Οι συνθήκες μπορούν να αναφέρονται σε χαρακτηριστικά καταλόγου, χαρακτηριστικά τελικού σημείου και κατάσταση συσκευής, και μια εγγραφή που ταιριάζει μπορεί να φέρει ACL, λίστες URL ή φίλτρα για εκείνη τη συνεδρία. Έτσι, ένας κανόνας όπως το προσωπικό υποστήριξης σε διαχειριζόμενο φορητό υπολογιστή να λαμβάνει την πολιτική μόνο ανάγνωσης, ενώ το ίδιο προσωπικό σε μη διαχειριζόμενη συσκευή να λαμβάνει περιορισμένη, είναι εκφράσιμος στο DAP και όχι σε χάρτη χαρακτηριστικών. Ο χάρτης έχει ακριβώς μία είσοδο: την τιμή που επέστρεψε ο κατάλογος για το χαρακτηριστικό που ονομάσατε.

Το DAP προσθέτει επίσης ένα δεύτερο σημείο αναζήτησης όταν μια συνεδρία καταλήγει σε λάθος πολιτική. Μια εγγραφή που ταιριάζει με ενέργεια συνέχισης δεν τερματίζει την αξιολόγηση, και μια μεταγενέστερη εγγραφή μπορεί ακόμη να αλλάξει το αποτέλεσμα, οπότε αυτό που παρατηρείτε είναι το γινόμενο μιας ακολουθίας και όχι μιας μεμονωμένης αναζήτησης. Διαβάστε τους αριθμούς προτεραιότητας με τη σειρά, και θυμηθείτε ότι η εγγραφή εφεδρείας μπορεί να είναι αυτή που κάνει τη δουλειά. Ο χάρτης, αντίθετα, δεν έχει ακολουθία: ένα χαρακτηριστικό, μία τιμή, μία απάντηση.

Πού διαφωνούν τα δύο

Η προτεραιότητα είναι το κομμάτι που σπάει σχέδια. Όταν μια συνεδρία ταιριάζει και με καταχώριση του χάρτη και με εγγραφή DAP, το αποτέλεσμα εξαρτάται από την έκδοση και από την ενέργεια της εγγραφής, οπότε επαληθεύστε το στη δική σας ASA αντί να υποθέτετε ότι ένας από τους μηχανισμούς κατέχει το αποτέλεσμα.

Τρεις τρόποι αποτυχίας εξηγούν το μεγαλύτερο μέρος της σύγχυσης. Ένας χάρτης που ορίζεται αλλά δεν συνδέεται ποτέ με την ετικέτα του διακομιστή που χρησιμοποιεί το προφίλ παράγει την προεπιλεγμένη πολιτική χωρίς κανένα σφάλμα πουθενά. Ένα αλφαριθμητικό συνθήκης DAP που διαφέρει από την τιμή του καταλόγου σε πεζά-κεφαλαία ή κενά δεν ταιριάζει ποτέ, και η εγγραφή εφεδρείας εφαρμόζεται σιωπηλά. Και μια πολιτική ομάδας που δεν υπάρχει ακόμη γίνεται δεκτή από τον χάρτη, γιατί ο χάρτης επιστρέφει μόνο ένα όνομα, οπότε η συνεδρία δεν λαμβάνει καμία από τις προβλεπόμενες άδειες και δεν υπάρχει τίποτα στο αρχείο καταγραφής που να δείχνει το απόν αντικείμενο. Ελέγξτε και τα τρία πριν αγγίξετε την ιδιότητα μέλους ομάδας.

Διαβάζοντας τα στοιχεία από μια ζωντανή συνεδρία

Διαβάστε την απάντηση από μια νέα συνεδρία και όχι από τη διαμόρφωση. show vpn-sessiondb detail anyconnect filter name jdoe εκτυπώνει την πολιτική ομάδας που έλαβε πραγματικά η συνεδρία, και show running-config ldap attribute-map επιβεβαιώνει ποιες τιμές θα μπορούσε να έχει επιστρέψει ο χάρτης. Στην πλευρά του καταλόγου, test aaa-server authentication LDAP-AD username jdoe password <password> δείχνει τα χαρακτηριστικά που έλαβε πίσω ο ASA, και debug ldap 255 δείχνει την ανταλλαγή όταν το τεστ διαφωνεί με αυτό που περιμένατε.

Στη συνέχεια συμφιλιώστε τέσσερις εγγραφές γραπτώς: την τιμή του καταλόγου, τον διαμορφωμένο χάρτη ή τη συνθήκη DAP, την τοπική πολιτική ομάδας και τον πόρο στον οποίο μπόρεσε πραγματικά να φτάσει ο χρήστης. Αν τα τρία πρώτα συμφωνούν και το τέταρτο όχι, το πρόβλημα είναι στο σώμα της πολιτικής και όχι στην επιλογή. Αν η συνεδρία δείχνει το σωστό όνομα πολιτικής αλλά λάθος ACL, σταματήστε να κοιτάτε καθόλου το LDAP. Αλλάξτε μία εγγραφή τη φορά και ελέγξτε ξανά μια νέα συνεδρία, γιατί μια επανασυνδεδεμένη συνεδρία είναι η μόνη απόδειξη που αντανακλά τη διαμόρφωση που μόλις γράψατε.