ASA LDAP taldeen mapaketa DAP-ren aurka VPN talde-politikarako

Bi erregistro berezik erabakitzen dute AnyConnect saio batek zein talde-politika jasotzen duen, eta konfigurazioaren zati desberdinetan bizi dira, hutsegite-modu desberdinekin. LDAP atributu-mapa batek direktorioaren balio bat ASA baimen-atributu bihurtzen du autentifikazioan zehar; DAP erregistro batek baldintzak ebaluatzen ditu geroago eta atributuak gehitu edo gainidatzi ditzake. Biak politika-izen berean amaitu daitezke, beraz, funtzionatzen duen saio-hasteak ez dizu ezer esaten zein mekanismok sortu zuen. Hauek alderatzearen helburua bat nahita aukeratzea da, bigarrenak lehenengoa isilka gaindi ez dezan.

Bi mekanismo, bi erabaki-puntu

Aukera hiru galderetara laburtzen da. Direktorioko atributu-balio bakar baten mende dago erabakia, balio hori baino gehiago behar du, eta zein mekanismori baimentzen zaio irabaztea biak bat datozenean?

Sarrera bakarra talde-kidetasuna bada, atributu-mapa tresna txikiagoa da eta errazagoa ikuskatzeko: mapa bat, AAA zerbitzari bakarrari lotua, talde bakoitzeko lerro batekin. Hautaketak gailuaren egoera, amaierako puntuaren identitatea, bigarren atributu bat edo denbora-leiho bat kontuan hartu behar baditu, maparen sarrerak agortzen dira eta DAP da araua adieraz dezakeen mekanismoa. Biak jokoan badaude, ikasi lehentasuna zure bertsioan, bietako bat idatzi aurretik, DAP erregistro batekin bat datorren saio batek mapak itzulitako politika gorde ez baitu. Gainerako guztia kontabilitatea da.

Atributu-maparen bidea, konfigurazio-ordenean

Maparen bidea AAA zerbitzariaren definizioan hasten da. Atributu-mapa konexio-profilak benetan erabiltzen duen LDAP zerbitzariaren sarrerari lotu behar zaio; exekuzioko konfigurazioan badagoen baina zerbitzari horrek erreferentziatzen ez duen mapa batek ez du ezer aldatzen. Lotura-lerro horixe da gainerako konfigurazioa bizirik egiten duena. ASA LDAP mapatze-gida da maparen sintaxiaren erreferentzia 9.x bertsioetan.

Maparen barruan, adierazpen batek direktorioaren atributua eta elikatzen duen ASA atributua izendatzen ditu, eta beste adierazpenek balio zehatzak itzultzen dituzte. map-name memberOf Group-Policy eta ondoren map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly da forma: ezkerraldea direktorioak itzuli duena da, eskuinaldea lehendik existitu behar duen talde-politika baten izena. Izen bereizlea eta politikaren bistaratzeko izena ez dira trukagarriak, eta bi kateetako edozeinetan ia-bat etortzeak ez du errorearik sortzen saio-hastean.

Bi xehetasunek hozka egiten dute hemen: memberOf kontuak dituen talde guztiak itzultzen ditu, beraz bi talde mapatutan dagoen erabiltzaileak bi balio hautagai ematen dizkio mapari, eta gidaren arau alfabetikoa da zure lehentasun-ordenaren ordez fidatu zaitezkeen berdinketa hausteko modu bakarra. Mapatzen ez den balioak ezer ez du ematen, eta isilka profileko politika lehenetsira erortzen da.

DAP bidea, eta zer gehitzen duen

DAPek baldintzak ebaluatzen ditu eta atributuak AAA emaitzaren gainean aplikatzen ditu. Erregistro batek lehentasun bat, ekintza bat eta baldintza multzo bat daramatza; erregistroak lehentasun-ordenan ebaluatzen dira eta ekintzak erabakitzen du ebaluazioak jarraitzen duen edo gelditzen den. Balio-bilaketa batetik desberdina den exekuzio-eredua da, eta horregatik bertatik mapa ezin dituen arauak adieraz ditzake.

DAPek gehitzen duena sarrerak dira. Baldintzek direktorioko atributuak, amaierako puntuko atributuak eta gailuaren egoera erreferentzia ditzakete, eta bat datorren erregistro batek ACLak, URL zerrendak edo iragazkiak eraman ditzake saio horretarako. Horrela, kudeatutako eramangarri batean dagoen laguntza-langileek irakurketa soiliko politika jasotzea, eta langile berberek kudeatu gabeko gailu batean murriztua jasotzea, DAPen adieraz daiteke, baina ez atributu-mapa batean. Mapak sarrera bakarra du: direktorioak izendatu duzun atributuarentzat itzuli duen balioa.

DAPek bigarren begiratzeko leku bat ere gehitzen du saioa politika okerrean amaitzen denean. Jarraitu ekintzarekin bat datorren erregistro batek ez du ebaluazioa amaitzen, eta geroagoko erregistro batek emaitza alda dezake oraindik, beraz ikusten duzuna sekuentzia baten emaitza da, bilaketa bakarrarena ez. Irakurri lehentasun-zenbakiak hurrenez hurren, eta gogoratu erreserba-erregistroa izan daitekeela lana egiten duena. Mapak, aldiz, ez du sekuentziarik: atributu bat, balio bat, erantzun bat.

Biak bat ez datozen tokia

Lehentasuna da diseinuak hausten dituen zatia. Saio bat maparen sarrera batekin eta DAP erregistro batekin bat datorrenean, emaitza bertsioaren eta erregistroaren ekintzaren araberakoa da, beraz egiaztatu zure ASAn, mekanismoren batek emaitza daukala suposatu ordez.

Hutsegite-modu hiruk azaltzen dute nahastearen zatirik handiena. Definitua baina profilak erabiltzen duen zerbitzari-etiketari inoiz lotu ez zaion mapa batek politika lehenetsia ematen du inon errore hitzik gabe. Direktorioaren balioarekiko maiuskula/minuskula edo zuriuneetan desberdina den DAP baldintza-kate bat ez da inoiz bat etortzen, eta erreserba-erregistroa isilka aplikatzen da. Eta oraindik existitzen ez den talde-politika bat mapek onartzen du, mapek izena baino ez baitute itzultzen, beraz saioak ez du nahi den baimenik jasotzen eta ez dago ezer logean falta den objektua seinalatzen duenik. Egiazta itzazu hirurak talde-kidetasuna ukitu aurretik.

Froga bizirik dagoen saio batetik irakurtzea

Irakurri erantzuna saio berri batetik, konfiguraziotik edo. show vpn-sessiondb detail anyconnect filter name jdoe saioak benetan jaso zuen talde-politika inprimatzen du, eta show running-config ldap attribute-map mapek zein balio itzul zitzakeen baieztatzen du. Direktorioaren aldean, test aaa-server authentication LDAP-AD username jdoe password <password> ASAk atzera jaso zituen atributuak erakusten ditu, eta debug ldap 255 probak zure itxaropenarekin bat egiten ez duenean trukaketa erakusten du.

Ondoren adostu lau erregistro idatziz: direktorioaren balioa, konfiguratutako mapa edo DAP baldintza, tokiko talde-politika eta erabiltzaileak benetan irits zitekeen baliabidea. Lehen hirurak bat badatoz eta laugarrena ez, arazoa politikaren gorputzean dago, ez hautaketan. Saioak politika-izen zuzena baina ACL okerra erakusten badu, utzi LDAP-i begiratzeari erabat. Aldatu erregistro bat aldiko eta egiaztatu saio berri bat, berriz konektatutako saioa baita idatzi berri duzun konfigurazioa islatzen duen ebidentzia bakarra.