ASA LDAP -ryhmien yhdistäminen vs. DAP VPN-ryhmäkäytäntöä varten

Kaksi erillistä tietuetta päättää, minkä ryhmäkäytännön AnyConnect-istunto saa, ja ne sijaitsevat konfiguraation eri osissa erilaisilla vikatiloilla. LDAP-määritemap kääntää hakemiston arvon ASA:n valtuutusmääreeksi todennuksen aikana; DAP-tietue arvioi ehtoja sen jälkeen ja voi lisätä tai ohittaa määreitä. Molemmat voivat päätyä samaan käytännön nimeen, joten toimiva kirjautuminen ei kerro mitään siitä, mikä mekanismi sen tuotti. Vertailun tarkoitus on valita toinen tietoisesti sen sijaan, että antaisi toisen hiljaa ohittaa ensimmäisen.

Kaksi mekanismia, kaksi päätöspistettä

Valinta tiivistyy kolmeen kysymykseen. Riippuuko päätös yhdestä hakemiston määrearvosta, tarvitaanko siihen enemmän kuin se arvo, ja millä mekanismilla on lupa voittaa, kun molemmat täsmäävät?

Jos ainoa syöte on ryhmäjäsenyys, määritemap on pienempi työkalu ja helpommin auditoitava: yksi kartta, liitettynä yhteen AAA-palvelimeen, yksi rivi ryhmää kohden. Jos valinnan on otettava huomioon laitteen tila, päätepisteen identiteetti, toinen määre tai aikaväli, kartan syötteet loppuvat ja DAP on mekanismi, joka pystyy ilmaisemaan säännön. Jos molemmat ovat pelissä, opi ensisijaisuus omassa versiossasi ennen kuin kirjoitat kumpaakaan, sillä DAP-tietueeseen täsmäävä istunto ei välttämättä säilytä käytäntöä, jonka kartta palautti. Kaikki muu on kirjanpitoa.

Määritemapin polku, konfiguraatiojärjestyksessä

Kartan polku alkaa AAA-palvelimen määritelmästä. Määritemap on liitettävä sen LDAP-palvelimen tietueeseen, jota yhteysprofiili todella käyttää; kartta, joka on olemassa käynnissä olevassa konfiguraatiossa mutta johon kyseinen palvelin ei viittaa, ei muuta mitään. Juuri se liitosrivi tekee muusta konfiguraatiosta elävän. ASA:n LDAP-kartoitusopas on viite kartan syntaksille versioissa 9.x.

Kartan sisällä yksi lause nimeää hakemiston määreen ja ASA-määreen, jota se ruokkii, ja muut lauseet kääntävät tiettyjä arvoja. map-name memberOf Group-Policy ja sen jälkeen map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly on muoto: vasen puoli on se, mitä hakemisto palautti, oikea puoli on ryhmäkäytännön nimi, jonka on jo oltava olemassa. Erottava nimi ja käytännön näyttönimi eivät ole vaihdettavissa, ja lähes täsmäys kummassa tahansa merkkijonossa ei tuota mitään virhettä kirjautumisessa.

Kaksi yksityiskohtaa puree tässä: memberOf palauttaa jokaisen ryhmän, johon tili kuuluu, joten kahdessa karttaan merkityssä ryhmässä oleva käyttäjä antaa kartalle kaksi ehdokasarvoa, ja oppaan aakkosjärjestyssääntö on ainoa tasapelin ratkaisu, johon voit luottaa oman prioriteettijärjestyksesi sijaan. Kartoittamaton arvo ei anna mitään, mikä putoaa hiljaa profiilin oletuskäytäntöön.

DAP-polku ja mitä se lisää

DAP arvioi ehtoja ja soveltaa määreitä AAA-tuloksen päälle. Tietue kantaa prioriteetin, toiminnon ja joukon ehtoja; tietueet arvioidaan prioriteettijärjestyksessä ja toiminto päättää, jatkuuko arviointi vai pysähtyykö se. Se on erilainen suoritusmalli kuin arvonhaku, ja juuri siksi se pystyy ilmaisemaan sääntöjä, joita kartta ei pysty.

Se, mitä DAP lisää, on syötteitä. Ehdot voivat viitata hakemiston määreisiin, päätepisteen määreisiin ja laitteen tilaan, ja täsmäävä tietue voi kantaa ACL:iä, URL-luetteloita tai suodattimia kyseiselle istunnolle. Niinpä sääntö, jossa hallitulla kannettavalla oleva tukihenkilöstö saa vain luku -käytännön ja sama henkilöstö hallitsemattomalla laitteella rajoitetun käytännön, on ilmaistavissa DAP:ssa eikä määritemapissa. Kartalla on täsmälleen yksi syöte: arvo, jonka hakemisto palautti nimeämällesi määreelle.

DAP lisää myös toisen paikan katsoa, kun istunto päätyy väärään käytäntöön. Tietue, joka täsmää jatka-toiminnolla, ei lopeta arviointia, ja myöhempi tietue voi vielä muuttaa tulosta, joten se mitä havaitset on sekvenssin eikä yksittäisen haun tulos. Lue prioriteettinumerot järjestyksessä ja muista, että varatietue voi olla se, joka tekee työn. Kartalla sitä vastoin ei ole sekvenssiä: yksi määre, yksi arvo, yksi vastaus.

Missä kaksi eroavat

Ensisijaisuus on se osa, joka rikkoo suunnitelmat. Kun istunto täsmää sekä kartan tietueeseen että DAP-tietueeseen, tulos riippuu versiosta ja tietueen toiminnosta, joten varmista se omassa ASA:ssasi sen sijaan, että olettaisit toisen mekanismin omistavan tuloksen.

Kolme vikatilaa selittää suurimman osan sekaannuksesta. Kartta, joka on määritelty mutta jota ei ole koskaan liitetty profiilin käyttämään palvelintunnisteeseen, tuottaa oletuskäytännön ilman mitään virhettä missään. DAP-ehtomerkkijono, joka eroaa hakemiston arvosta kirjainkoon tai välilyöntien osalta, ei koskaan täsmää, ja varatietue soveltuu hiljaa. Ja ryhmäkäytäntö, jota ei vielä ole, hyväksytään kartalta, koska kartta palauttaa vain nimen, joten istunto ei saa yhtään aiottua käyttöoikeutta eikä lokissa ole mitään, mikä osoittaisi puuttuvaan objektiin. Tarkista kaikki kolme ennen kuin kosket ryhmäjäsenyyteen.

Todisteiden lukeminen elävästä istunnosta

Lue vastaus tuoreesta istunnosta, älä konfiguraatiosta. show vpn-sessiondb detail anyconnect filter name jdoe tulostaa ryhmäkäytännön, jonka istunto todella sai, ja show running-config ldap attribute-map vahvistaa, mitkä arvot kartta olisi voinut palauttaa. Hakemiston puolella test aaa-server authentication LDAP-AD username jdoe password <password> näyttää määreet, jotka ASA sai takaisin, ja debug ldap 255 näyttää vaihdon, kun testi ei vastaa odotuksiasi.

Sovita sitten neljä tietuetta kirjallisesti: hakemiston arvo, konfiguroitu kartta tai DAP-ehto, paikallinen ryhmäkäytäntö ja resurssi, johon käyttäjä todella pääsi. Jos kolme ensimmäistä täsmäävät eikä neljäs, ongelma on käytännön rungossa eikä valinnassa. Jos istunto näyttää oikean käytännön nimen mutta väärän ACL:n, lopeta LDAP:n katsominen kokonaan. Muuta yhtä tietuetta kerrallaan ja tarkista uusi istunto uudelleen, sillä uudelleen yhdistetty istunto on ainoa todiste, joka heijastaa juuri kirjoittamaasi konfiguraatiota.