ASA-ryhmäalias vs. ryhmä-URL: miten profiili valitaan
Ryhmäalias on kirjautumisluettelon merkintä, ei URL-kuvaus. Seuraa, miten ASA valitsee profiilin, ja lue sitten käytäntö, jonka istunto todella saa.
Yhteysprofiili ohjaa istuntoa vasta, kun ASA on valinnut sen. Tuo lause on koko vianetsintämalli vanhalle asiakasohjelmattomalle portaalille. Käyttämätön profiili voi sisältää täydelliset käyttösäännöt ja olla silti soveltumatta kenellekään. Seuraa kirjautumisen aloituspistettä ennen kuin muutat mitään käytäntöä.
Alla olevat erot noudattavat 9.16-dokumentaatiota; asiakasohjelmaton SSL VPN poistettiin versiossa 9.17(1) ja myöhemmin.
Alias on luettelomerkintä, ei URL
group-alias tarjoaa tunnisteen, jonka käyttäjä valitsee kirjautumissivun ryhmäluettelosta. Luettelon näyttäminen on erillinen asetus, tunnel-group-list enable. Alias on vain valintanimi eikä muuta. Aliaksen nimeltä staff määrittäminen ei luo /staff URL-osoitetta, joka valitsisi profiilin.
Ihmiset odottavat aliaksen tekevän kaksinkertaista työtä, koska selaimesta käsin luettelo ja URL näyttävät samalta valinnalta.
Mitä group-url todella täsmää
group-url sitoo saapuvan URL-osoitteen yhteysprofiiliin. Kun tämä käytössä oleva URL täsmää, ASA valitsee profiilin kysymättä käyttäjältä luettelosta valintaa. URL:n on oltava täydellinen aiottu osoite, siinä syntaksissa, jota versiosi tukee. Sen DNS-tietueen ja varmenteen on vastattava sitä, mitä käyttäjät kirjoittavat, muuten täsmäytystä ei koskaan tapahdu.
Kopioitu URL-pääte ei todista konfiguraatiosta mitään. Tarkista profiili, älä osoiteriviä.
Seuraa valintaa käytäntöön, joka suoritetaan
Kun tunneliryhmä on valittu, laite ratkaisee todennusmenetelmän ja siihen liitetyn oletusryhmäkäytännön. Sen jälkeen käyttäjäkohtaiset attribuutit, todennuksen palauttamat arvot ja dynaaminen valtuutus voivat ohittaa osia tästä perustasta. Tarkista, mitä istunto todella sai. Nimetyn käytännön lukeminen yksin antaa perustan, ei tulosta.
Näiden kahden välinen ero on useimpien raporttien «sääntö on oikein mutta pääsy on väärin» lähde.
Periytyminen ei ole eristäytymistä
Määrittämättä jättämäsi attribuutit voivat periytyä oletusryhmäkäytännöstä. Siksi uusi nimetty käytäntö ei ole erillään jaetuista oletuksista, ja niiden muokkaaminen ulottuu jokaiseen profiiliin, joka ne perii. Vertaa tehollista resurssipääsyä, DNS-asetuksia ja istuntorajoituksia profiilikohtaisesti. Tee se ennen kuin muutat mitään jaettua.
Pidä myös pääsyn valvonta erillään valinnasta.
Asiakasohjelmattomassa istunnossa soveltuva suodatin on webtype ACL. Tunneliasiakasohjelman VPN-suodatin ei korvaa sitä vain siksi, että molemmat ovat konfiguraatiossa saman käytäntölohkon lähellä.
Ratkaise täsmäämätön tapaus ja testaa sitten jokainen polku
Selvitä, mitä portaalissa yleisessä URL-osoitteessa ja muissa täsmäämättömissä aloituspisteissä pitäisi tapahtua. Katso todellista oletusprofiilin polkua ja sen valtuutusta sen sijaan, että muokkaisit jaettua oletusta yhden testitilin läpäisemiseksi. Avaa sitten kolme uutta istuntoa: eksplisiittinen URL, käytössä oleva luettelomerkintä ja yleinen aloituspiste. Kirjaa valittu profiili ja tehollinen käytäntö kullekin.
Aiemmasta kirjautumisesta peräisin olevan selainvälilehden uudelleenkäyttö pilaa vertailun, koska se istunto on jo sidottu profiiliin.
Tuo kirjaus muuttaa «portaali avautuu» kirjautumisesta käytäntöön -kartoitukseksi, jonka voit auditoida myöhemmin, ja se on ainoa kestävä vastaus, kun profiili näyttää oikealta eikä ohjaa ketään.