Cén fáth a sroicheann úsáideoir cianda ASA an fhoilíon ach ní an aip
Cruthaíonn bealaí go n-oibríonn an tollán, ní go bhfuil cead ag an úsáideoir an aip a oscailt. Léigh an scagaire a fuair an seisiún, ansin tástáil nasc ceadaithe agus nasc diúltaithe.
Ceanglaíonn d’úsáideoir, faigheann seoladh, pingíonn freastalaí in fhoilíon na haipe, agus fós ní féidir leis an tseirbhís a oscailt uirthi. Tá an teaglaim sin gnách ar ASA, mar cinneann socruithe éagsúla tollán rathúil agus cead inúsáidte. Roghnaigh liosta an tolláin scoilte na cinn scríbe a chuaigh isteach sa tollán; cinneann scagaire VPN agus rialacha rochtana na cinn scríbe féin cad is féidir leis an iarraidh dhíchriptithe a shroichint. Oibrigh trí na cinntí in ord seachas an liosta bealaí a leathnú go dtí go n-athraíonn rud éigin.
Trí chinneadh is furasta a mheascadh
Freagraíonn an ligean isteach an féidir leis an úsáideoir an tollán a bhunú ar chor ar bith: dintiúir, deimhniú agus aon dara fachtóir. Freagraíonn roghnú bealaigh cé na cinn scríbe a sheolann an cliant isteach sa tollán sin. Freagraíonn an t-údarú an féidir leis an iarraidh dhíchriptithe an tseirbhís a shroichint. Ní chruthaíonn ach an tríú ceann an earráid a thuairiscíonn an t-úsáideoir.
Bealach tapa chun iad a idirdhealú is ea fiafraí cad a bhriseadh athrú. Stopann baint bealaigh ón liosta scoilte trácht chuig an bhfoilíon sin gan aon rud a dheonú; tugann ACE a chur le scagaire VPN ceann scríbe gan athrú a dhéanamh ar an méid a thollánaíonn an cliant.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Léigh an scagaire a fuair an seisiún i ndáiríre
Tosaigh ón seisiún beo seachas ón gcumraíocht a cheapann tú atá i bhfeidhm. show vpn-sessiondb detail anyconnect priontálann sé an grúppholasaí a shanntar agus ainm an scagaire atá ceangailte leis an seisiún sin. Má tá an réimse folamh, ní chuirfidh aon scagaire aon rud i bhfeidhm agus tagann an bac ó áit éigin eile.
Ansin léigh an polasaí ar leis an luach é, lena n-áirítear réamhshocruithe, mar is féidir scagaire a oidhreachtú seachas a bheith scríofa san áit a bhfuil tú ag féachaint:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Déan comparáid idir ainm an scagaire ar an seisiún agus an ACL a chuir tú in eagar díreach. Ní féidir le ACL ar a bhfuil ainm cosúil nach bhfuair an t-úsáideoir riamh polasaí acmhainní an tseisiúin sin a athrú, agus sin an chúis is coitianta nach mbíonn aon éifeacht ag athrú atá cosúil le bheith ceart.
Míníonn tosaíocht an chuid eile. Maidir le socrú an scagaire, sáraíonn taifead DAP tréithe ainm úsáideora, agus sáraíonn tréithe ainm úsáideora an grúppholasaí. Nuair a thaispeánann seisiún scagaire nár thug tú leis, féach le haghaidh polasaí DAP a mheaitseálann an t-úsáideoir sin sula mbaineann tú leis an ngrúpa.
Tá an liosta scoilte agus an scagaire ina réimsí ar leithligh
Ar ASA 9.x coinníonn an grúppholasaí split-tunnel-network-list agus vpn-filter mar shocruithe éagsúla, agus déanann treoir ghrúppholasaí 9.22 iad a dhoiciméadú ar leithligh ar an gcúis sin go díreach. Is leid ródaithe don chliant é an liosta líonra; is liosta rialaithe rochtana é an scagaire a chuirtear i bhfeidhm ar thrácht díchriptithe.
Tá an t-idirdhealú sin tábhachtach nuair a theastaíonn aon tseirbhís HTTPS amháin ó úsáideoir ar fhoilíon. Cuir an fhoilíon sa liosta scoilte ionas go rachaidh na paicéid isteach sa tollán, ansin ná ceadaigh ach an tseirbhís sin sa scagaire. Ní údaraíonn leathnú an liosta bealaí aon rud, agus ní meicníocht forfheidhmithe é a laghdú.
Seiceáil an bhfuil ACL comhéadain sa chonair ar chor ar bith
Ní théann trácht díchriptithe rochtana cianda trí ACL an chomhéadain sheachtraigh i gcónaí mar a shamhlaíonn daoine. Nuair a bhíonn sysopt connection permit-vpn cumasaithe, cuireann an ASA a sheachbhóthar VPN doiciméadaithe i bhfeidhm maidir leis an trácht sin, agus fanann scagairí VPN infheidhme i bhfeidhm ina dhiaidh sin fós. Seiceáil an socrú le show run all sysopt seachas réasúnaíocht a dhéanamh ón léaráid toipeolaíochta.
Cibé acu, fanann balla dóiteáin an óstaigh scríbe féin agus údarú na haipe sa chonair. Ní chiallaíonn riail ASA a cheadaíonn TCP 443 go nglacfaidh an aip leis an úsáideoir.
Glac leis an athrú le nasc diúltaithe freisin
Ní chruthaíonn tástáil cheadaithe amháin mórán, mar táirgeann tollán oibre an chéad phaicéad céanna cibé an bhfuil scagaire ann nó nach bhfuil. Oscail an tseirbhís bheartaithe ón gcliant, ansin déan iarracht ar cheann scríbe ar cheart dó fanacht dúnta agus deimhnigh go dteipeann air ar an gcúis cheart.
Taifead ceithre fhíric nuair a dhúnann tú an ticéad: an t-aitheantas a ligeadh isteach, an polasaí agus an scagaire a fuair an seisiún i ndáiríre, na cinn scríbe sa liosta scoilte, agus an acmhainn a raibh cead ag an úsáideoir í a shroichint. Míníonn na ceithre rud sin cá bhfuil an trácht á rialú gan liosta bealaí a iompú ina bhall dóiteáin.
Má dhiúltaíonn an tseirbhís fós tar éis don scagaire í a cheadú, téigh chuig an óstaigh: seoladh éisteachta, balla dóiteáin an óstaigh agus mapáil úsáideoirí na haipe féin. Rinne an tollán a chuid oibre ag an bpointe sin, agus ní chuireann tuilleadh athruithe ar an ASA ach riosca leis.