Mapáil ghrúpaí LDAP in ASA i gcoinne DAP do bheartas grúpa VPN

Cinneann dhá thaifead ar leithligh cén beartas grúpa a fhaigheann seisiún AnyConnect, agus maireann siad in áiteanna éagsúla den chumraíocht le modhanna teipe éagsúla. Aistríonn mapa tréithe LDAP luach ón eolaire go tréith údaraithe ASA le linn fíordheimhniúcháin; measann taifead DAP coinníollacha ina dhiaidh sin agus féadann sé tréithe a chur leis nó a shárú. Féadann an dá rud críoch a chur ar an ainm céanna beartais, mar sin ní insíonn logáil isteach a oibríonn aon rud duit faoin meicníocht a tháirg é. Is é an pointe a bhaineann le comparáid a dhéanamh eatarthu ná ceann a roghnú go feasach in ionad ligean don dara ceann an chéad cheann a shárú go ciúin.

Dhá mheicníocht, dhá phointe cinnteoireachta

Tagann an rogha síos go dtí trí cheist. An mbraitheann an cinneadh ar luach tréithe amháin ón eolaire, an dteastaíonn níos mó ná an luach sin uaidh, agus cén mheicníocht a bhfuil cead aici buachan nuair a mheaitseálann an dá cheann?

Más é ballraíocht ghrúpa an t-aon ionchur, is é an mapa tréithe an uirlis is lú agus an ceann is éasca le hiniúchadh: mapa amháin, ceangailte le freastalaí AAA amháin, le líne amháin in aghaidh an ghrúpa. Má chaithfidh an roghnú postúr, féiniúlacht an chríochphointe, dara tréith nó fuinneog ama a mheas, téann ionchuir an mhapa i léig agus is é DAP an mheicníocht is féidir leis an riail a chur in iúl. Má tá an dá rud i bhfeidhm, foghlaim an tosaíocht ar do eisiúint féin sula scríobhann tú ceachtar acu, mar b'fhéidir nach gcoimeádfaidh seisiún a mheaitseálann taifead DAP an beartas a d'fhill an mapa. Is cuntasaíocht gach rud eile.

Conair an mhapa tréithe, in ord na cumraíochta

Tosaíonn conair an mhapa ag sainmhíniú an fhreastalaí AAA. Caithfidh an mapa tréithe a bheith ceangailte leis an iontráil freastalaí LDAP a úsáideann an próifíl nasctha i ndáiríre; ní athraíonn mapa atá sa chumraíocht reatha ach nach ndéanann an freastalaí sin tagairt dó aon rud. Is é an líne cheangail sin a choinníonn an chuid eile den chumraíocht beo. An treoir mhapála LDAP ASA is tagairt don chomhréir mhapa sna heisiúintí 9.x.

Laistigh den mhapa, ainmníonn ráiteas amháin tréith an eolaire agus an tréith ASA a chothaíonn sé, agus aistríonn ráitis eile luachanna ar leith. map-name memberOf Group-Policy agus ina dhiaidh sin map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly is ea an chruth: is é an taobh clé an rud a d'fhill an t-eolaire, is é an taobh deas ainm beartais ghrúpa a chaithfidh a bheith ann cheana. Ní féidir ainm idirdhealaitheach agus ainm taispeána beartais a mhalartú, agus ní tháirgeann beagnach-mheaitseáil i gceachtar den dá shreang aon earráid ag logáil isteach.

Bíonn dhá mhionsonra ag baint anseo: memberOf filleann sé gach grúpa a bhfuil an cuntas ann, mar sin tugann úsáideoir i dhá ghrúpa mhapáilte dhá luach iarrthach don mhapa, agus is é an riail aibítreach sa treoir an t-aon bhriseadh comhionannais ar féidir leat brath air in ionad d'ord tosaíochta féin. Ní thugann luach neamh-mhapáilte aon rud, a thiteann go ciúin ar ais chuig beartas réamhshocraithe na próifíle.

Conair DAP, agus an rud a chuireann sé leis

Measann DAP coinníollacha agus cuireann sé tréithe i bhfeidhm os cionn thoradh AAA. Iompraíonn taifead tosaíocht, gníomh agus tacar coinníollacha; meastar taifid in ord tosaíochta agus cinneann an gníomh an leanann an mheasúnú nó an stopann sé. Is samhail fhorghníomhaithe éagsúil é sin ó chuardach luach, agus is ar an gcúis sin go díreach is féidir leis rialacha a chur in iúl nach féidir leis an mapa.

Is ionchuir an rud a chuireann DAP leis. Féadann coinníollacha tagairt do thréithe eolaire, tréithe críochphointe agus staid postúir, agus féadann taifead meaitseála ACLanna, liostaí URL nó scagairí don seisiún sin a iompar. Mar sin is féidir riail ar nós foireann tacaíochta ar ríomhaire glúine bainistithe ag fáil an bheartais inléite amháin agus an fhoireann chéanna ar ghléas neamhbhainistithe ag fáil ceann srianta a chur in iúl i DAP agus ní i mapa tréithe. Tá ionchur amháin go beacht ag an mapa: an luach a d'fhill an t-eolaire don tréith a d'ainmnigh tú.

Cuireann DAP dara háit le breathnú air freisin nuair a thagann seisiún i dtír sa bheartas mícheart. Ní chríochnaíonn taifead a mheaitseálann le gníomh leanúna an mheasúnú, agus féadann taifead níos déanaí an toradh a athrú fós, mar sin is é an rud a fheiceann tú toradh seichimh seachas cuardaigh amháin. Léigh na huimhreacha tosaíochta in ord, agus cuimhnigh gurb é an taifead cúltaca a d'fhéadfadh a bheith ag déanamh na hoibre. Níl aon seicheamh ag an mapa, i gcodarsnacht leis sin: tréith amháin, luach amháin, freagra amháin.

San áit a n-easaontaíonn an dá rud

Is í an tosaíocht an chuid a bhriseann dearaí. Nuair a mheaitseálann seisiún iontráil mhapa agus taifead DAP araon, braitheann an toradh ar an eisiúint agus ar ghníomh an taifead, mar sin fíoraigh é ar do ASA féin in ionad glacadh leis go bhfuil an toradh ag ceann de na meicníochtaí.

Míníonn trí mhodh teipe an chuid is mó den mhearbhall. Táirgeann mapa atá sainithe ach nár ceanglaíodh riamh le clib an fhreastalaí a úsáideann an phróifíl an beartas réamhshocraithe gan aon earráid in aon áit. Ní mheaitseálann sreang choinníll DAP a bhfuil difríocht idir í agus luach an eolaire ó thaobh cásanna nó spásanna riamh, agus cuirtear an taifead cúltaca i bhfeidhm go ciúin. Agus glacann an mapa le beartas grúpa nach bhfuil ann fós, toisc nach bhfilleann an mapa ach ainm, mar sin ní fhaigheann an seisiún aon cheann de na ceadanna beartaithe agus níl aon rud sa loga a threoraíonn chuig an réad atá ar iarraidh. Seiceáil an triúr sula dtéann tú i dteagmháil le ballraíocht ghrúpa.

An fhianaise a léamh ó sheisiún beo

Léigh an freagra ó sheisiún úr seachas ón gcumraíocht. show vpn-sessiondb detail anyconnect filter name jdoe priontálann sé an beartas grúpa a fuair an seisiún i ndáiríre, agus show running-config ldap attribute-map deimhníonn sé cé na luachanna a d'fhéadfadh an mapa a bheith tar éis a fhilleadh. Ar thaobh an eolaire, taispeánann test aaa-server authentication LDAP-AD username jdoe password <password> na tréithe a fuair an ASA ar ais, agus taispeánann debug ldap 255 an malartú nuair nach n-aontaíonn an tástáil le do ionchas.

Ansin réitigh ceithre thaifead i scríbhinn: luach an eolaire, an mapa nó coinníoll DAP cumraithe, an beartas grúpa áitiúil agus an acmhainn a raibh an t-úsáideoir in ann teacht uirthi i ndáiríre. Má thagann an chéad triúr le chéile agus nach dtagann an ceathrú ceann, tá an fhadhb i gcorp an bheartais seachas sa roghnú. Má thaispeánann an seisiún an t-ainm beartais ceart ach an ACL micheart, stop ag féachaint ar LDAP ar fad. Athraigh taifead amháin ag an am agus seiceáil seisiún nua, mar is é seisiún athnascadh an t-aon fhianaise a léiríonn an chumraíocht a scríobh tú díreach.