ASA grupi alias vs grupi URL: kuidas profiil valitakse

Ühenduse profiil hakkab sessiooni juhtima alles pärast seda, kui ASA selle valib. See lause on kogu tõrkeotsingu mudel vana kliendita portaali jaoks. Kasutamata profiil võib omada täiuslikke juurdepääsureegleid ja mitte kehtida ikkagi kellegi jaoks. Jälgige sisselogimise sisendpunkti enne mis tahes poliitika muutmist.

Allpool toodud eristused järgivad 9.16 dokumentatsiooni; kliendita SSL VPN eemaldati versioonis 9.17(1) ja hiljem.

Alias on nimekirjakirje, mitte URL

group-alias annab sildi, mille kasutaja valib sisselogimislehe grupiloendist. Selle loendi kuvamine on eraldi säte, tunnel-group-list enable. Alias on ainult valikunimi ja mitte midagi enamat. Aliase nimega staff seadistamine ei loo URL-i /staff, mis profiili valiks.

Inimesed eeldavad, et alias teeb topeltööd, sest brauseri seest vaadates näevad loend ja URL välja nagu sama valik.

Mida group-url tegelikult sobitab

group-url seob sissetuleva URL-i ühenduse profiiliga. Kui see lubatud URL sobib, valib ASA profiili ilma kasutajalt loendist valimist küsimata. URL peab olema täielik kavandatud aadress, sellises süntaksis, mida teie versioon toetab. Selle DNS-kirje ja sertifikaat peavad ühtima sellega, mida kasutajad sisestavad, muidu ei jõua sobivus kunagi tekkida.

Kopeeritud URL-i järelliide ei tõesta konfiguratsiooni kohta midagi. Kontrollige profiili, mitte aadressiriba.

Jälgige valikut kuni poliitikani, mis käivitub

Kui tunneligrupp on valitud, lahendab seade autentimismeetodi ja sellega seotud vaikimisi grupipoliitika. Seejärel võivad kasutajapõhised atribuudid, autentimise tagastatud väärtused ja dünaamiline autoriseerimine osa sellest baasist üle kirjutada. Uurige, mida sessioon tegelikult sai. Nimetatud poliitika lugemine üksi annab baasi, mitte tulemuse.

Nende kahe vahe on enamate teadete «reegel on õige, aga juurdepääs on vale» allikas.

Pärandamine ei ole isolatsioon

Atribuudid, mille jätate määramata, võivad päranduda vaikimisi grupipoliitikast. Seetõttu ei ole uus nimetatud poliitika jagatud vaikeväärtustest eraldatud, ja nende muutmine jõuab igasse profiili, mis neid pärib. Võrrelge tegelikku ressursijuurdepääsu, DNS-i sätteid ja sessioonipiiranguid profiili kaupa. Tehke seda enne, kui muudate midagi jagatut.

Hoidke ka juurdepääsu jõustamine valikust eraldi.

Kliendita sessiooni puhul on kohaldatav filter webtype ACL. Tunnelikliendi VPN-filter ei asenda seda ainult seetõttu, et mõlemad asuvad konfiguratsioonis sama poliitikabloki lähedal.

Otsustage sobimatu juhtum ja seejärel testige iga teed

Määrake, mis peaks juhtuma portaali üldisel URL-il ja teistes sobimatutes sisendpunktides. Vaadake tegelikku vaikimisi profiili teed ja selle autoriseerimist, selle asemel et muuta jagatud vaikeväärtust, et üks testkonto läbi läheks. Seejärel avage kolm uut sessiooni: selgesõnaline URL, lubatud nimekirjakirje ja üldine sisendpunkt. Märkige üles valitud profiil ja tegelik poliitika igaühe jaoks.

Varasemast sisselogimisest pärit brauserivahekaardi uuesti kasutamine rikub võrdluse, sest see sessioon on juba profiiliga seotud.

See kirje muudab «portaal avaneb» sisselogimisest poliitikani vastenduseks, mida saate hiljem auditeerida, ja see on ainus püsiv vastus, kui profiil tundub õige ega juhi kedagi.