Grupa aliaso kontraŭ grupa URL en ASA: kiel la profilo estas elektata
Grupa aliaso estas ero en la ensaluta listo, ne URL-mapado. Spuru, kiel la ASA elektas la profilon, poste legu la politikon, kiun la seanco efektive ricevas.
Konekta profilo regas seancon nur post kiam la ASA elektis ĝin. Tiu frazo estas la tuta modelo por solvado de problemoj ĉe malnova senklienta portalo. Neuzata profilo povas havi perfektajn alirregulojn kaj tamen validi por neniu. Spuru la ensalutan enirpunkton antaŭ ol vi ŝanĝos ajnan politikon.
La subaj distingoj sekvas la dokumentaron de 9.16; senklienta SSL VPN estis forigita en 9.17(1) kaj poste.
La aliaso estas lista ero, ne URL
group-alias provizas etikedon, kiun la uzanto elektas el la grupa listo sur la ensaluta paĝo. Montri tiun liston estas aparta agordo, tunnel-group-list enable. La aliaso estas elektnomo kaj nenio pli. Agordi aliason nomatan staff ne kreas URL /staff, kiu elektas la profilon.
Homoj atendas, ke la aliaso plenumu duoblan taskon, ĉar el la retumilo la listo kaj la URL aspektas kiel la sama elekto.
Kion group-url efektive kongruigas
group-url ligas envenantan URL al konekta profilo. Kiam tiu ebligita URL kongruas, la ASA elektas la profilon sen peti la uzanton elekti el la listo. La URL devas esti la kompleta celata, en la sintakso, kiun subtenas via eldono. Ĝia DNS-rikordo kaj ĝia atestilo devas kongrui kun tio, kion tajpas la uzantoj, alie la kongruo neniam okazos.
Kopiita URL-sufikso pruvas nenion pri la agordo. Kontrolu la profilon, ne la adresbreton.
Spuru la elekton ĝis la politiko, kiu efektive ruliĝas
Post kiam tunela grupo estas elektita, la aparato solvas la aŭtentikigan metodon kaj la defaŭltan grupan politikon ligitan al ĝi. Poste uzantospecifaj atributoj, valoroj redonitaj de aŭtentikigo kaj dinamika rajtigo povas anstataŭigi partojn de tiu bazo. Kontrolu, kion la seanco vere ricevis. Legi la nomitan politikon sole donas al vi la bazon, ne la rezulton.
La diferenco inter tiuj du estas la fonto de plej multaj raportoj «la regulo estas ĝusta sed la aliro malĝustas».
Heredo ne estas izoligo
Atributoj, kiujn vi lasas nespecifitaj, povas herediĝi el la defaŭlta grupa politiko. Nova nomita politiko do ne estas izolita de komunaj defaŭltoj, kaj redakti tiujn defaŭltojn atingas ĉiun profilon, kiu heredas ilin. Komparu efektivan rimedaliron, DNS-agordojn kaj seanctan limigojn por ĉiu profilo. Faru tion antaŭ ol ŝanĝi ion komunan.
Tenu ankaŭ altrudon de aliro aparte de la elekto.
Por senklienta seanco la aplikebla filtrilo estas la webtype ACL. VPN-filtrilo por tunela kliento ne anstataŭas ĝin nur ĉar ambaŭ staras apud la sama politika bloko en la agordo.
Decidu la nekongruan kazon, poste testu ĉiun vojon
Difinu, kio devus okazi ĉe la ĝenerala portala URL kaj ĉe aliaj nekongruaj enirpunktoj. Rigardu la realan defaŭltprofilan vojon kaj ĝian rajtigon anstataŭ redakti komunan defaŭlton, por ke unu testa konto trapasu. Poste malfermu tri freŝajn seancojn: la eksplicitan URL, la ebligitan listan eron kaj la ĝeneralan enirpunkton. Notu la elektitan profilon kaj la efektivan politikon por ĉiu el ili.
Reuzi retumilan langeton el pli frua ensaluto difektas la komparon, ĉar tiu seanco jam estas ligita al profilo.
Tiu noto transformas «la portalo malfermiĝas» en mapadon de ensaluto al politiko, kiun vi povas revizii poste, kaj tio estas la sola daŭra respondo, kiam profilo aspektas ĝusta kaj regas neniun.