ASA-groepsalias tsjin groep-URL: hoe't it profyl keazen wurdt
In groepsalias is in ynfier yn 'e oanmeldlist, net in URL-keppeling. Folgje hoe't de ASA it profyl kiest en lês dan it belied dat de sesje eins krijt.
In ferbyningsprofyl regelet in sesje pas neidat de ASA it keazen hat. Dy iene sin is it hiele model foar probleemoplossing by in âld portaal sûnder klant. In ûnbrûkt profyl kin perfekte tagongsregels hawwe en dochs foar nimmen jilde. Folgje it oanmeldpunt foardat jo belied wizigje.
De ûnderskieden hjirûnder folgje de 9.16-dokumintaasje; kliïntleaze SSL VPN waard fuorthelle yn 9.17(1) en letter.
It alias is in listynfier, net in URL
group-alias jout in label dat de brûker út 'e groeplist op 'e oanmeldside kiest. It toanen fan dy list is in aparte ynstelling, tunnel-group-list enable. It alias is in kearsnamme en net mear. In alias mei de namme staff konfigurearje makket gjin /staff-URL dy't it profyl kiest.
Minsken ferwachtsje dat it alias dûbel wurk docht, om't de list en de URL fanút in browser itselde kar lykje.
Wat group-url eins oerienkomt
group-url bynt in ynkommende URL oan in ferbyningsprofyl. As dy aktivearre URL oerienkomt, kiest de ASA it profyl sûnder de brûker te freegjen út 'e list te kiezen. De URL moat de folsleine bedoelde wêze, yn 'e syntaksis dy't jo ferzje stipet. De DNS-registraasje en it sertifikaat moatte oerienkomme mei wat brûkers yntype, oars komt de oerienkomst nea ta stân.
In kopiearre URL-ein stiet neat oer konfiguraasje ta. Kontrolearje it profyl, net de adresbalke.
Folgje de kar oant it belied dat rint
Sadree't in tunnelgroep keazen is, lost it apparaat de autentikaasjemetoade en it standertgroepsbelied op dat deroan ferbûn is. Dêrnei kinne brûkersspesifike attributen, wearden dy't autentikaasje weromjout, en dynamyske autorisaasje dielen fan dy basis oerskriuwe. Undersykje wat de sesje eins krigen hat. It neamde belied op himsels lêze jout jo de basis, net de útslach.
De kleau tusken dy twa is de boarne fan de measte meldingen «de regel is goed, mar de tagong is ferkeard».
Oererving is gjin isolaasje
Attributen dy't jo net spesifisearje kinne oererfje fan it standertgroepsbelied. In nij neamd belied is dêrom net ôfsletten fan dielde standertwearden, en it bewurkjen dêrfan berikt elk profyl dat se oererfjet. Fergelykje effektive tagong ta boarnen, DNS-ynstellingen en sesjebeperkingen per profyl. Doch dat foardat jo eat dield feroarje.
Hâld ek it hanthavenjen fan tagong apart fan de kar.
Foar in kliïntleaze sesje is it jildende filter de webtype ACL. In VPN-filter foar tunnelkliïnten ferfangt dat net allinne om't beide yn 'e konfiguraasje by itselde beliedsblok steane.
Beslis it net-oerienkommende gefal en test dan elk paad
Bepaal wat der barre moat by de generike portaal-URL en by oare net-oerienkommende yngongspunten. Sjoch nei it echte standertprofylpaad en syn autorisaasje ynstee fan in dielde standert te bewurkjen sadat ien testaccount trochkomt. Iepenje dan trije nije sesjes: de eksplisite URL, de aktivearre listynfier en it generike yngongspunt. Notearje it keazen profyl en it effektive belied foar elk fan har.
It werbrûken fan in browser-tab fan in eardere oanmelding bedjert de fergeliking, om't dy sesje al oan in profyl bûn is.
Dat register makket fan «it portaal iepenet» in mapping fan oanmelding nei belied dy't jo letter auditearje kinne, en dat is it iennichste duorsume antwurd as in profyl korrekt liket en nimmen regelet.