Alias de grupo fronte a URL de grupo en ASA: como se selecciona o perfil

Un perfil de conexión goberna unha sesión só despois de que o ASA o seleccione. Esa frase é todo o modelo de diagnóstico para un portal antigo sen cliente. Un perfil sen usar pode ter regras de acceso perfectas e aínda así non aplicarse a ninguén. Siga o punto de entrada do inicio de sesión antes de editar calquera política.

As distincións seguintes seguen a documentación da 9.16; o SSL VPN sen cliente eliminouse na 9.17(1) e posteriores.

O alias é unha entrada de lista, non unha URL

group-alias fornece unha etiqueta que o usuario escolle da lista de grupos na páxina de inicio de sesión. Amosar esa lista é un axuste aparte, tunnel-group-list enable. O alias é un nome de selección e nada máis. Configurar un alias chamado staff non crea unha URL /staff que seleccione o perfil.

A xente espera que o alias faga dobre traballo porque, desde o navegador, a lista e a URL parecen a mesma escolla.

Que fai coincidir realmente group-url

group-url vincula unha URL entrante a un perfil de conexión. Cando esa URL habilitada coincide, o ASA selecciona o perfil sen pedirlle ao usuario que escolla da lista. A URL ten que ser a completa que se pretende, na sintaxe que admite a súa versión. O seu rexistro DNS e o seu certificado deben coincidir co que escriben os usuarios, ou a coincidencia nunca chegará a producirse.

Un sufixo de URL copiado non demostra nada sobre a configuración. Revise o perfil, non a barra de enderezos.

Siga a selección ata a política que se executa

Unha vez seleccionado un grupo de túnel, o dispositivo resolve o método de autenticación e a política de grupo predeterminada asociada. Despois, os atributos específicos do usuario, os valores devoltos pola autenticación e a autorización dinámica poden anular partes desa base. Inspeccione que recibiu realmente a sesión. Ler a política nomeada por si soa dá a base, non o resultado.

A fenda entre ambas é a orixe da maioría dos informes de «a regra é correcta pero o acceso é incorrecto».

A herdanza non é illamento

Os atributos que deixe sen especificar poden herdarse da política de grupo predeterminada. Por iso unha política nomeada nova non está illada dos valores predeterminados compartidos, e editar eses valores chega a cada perfil que os herda. Compare o acceso efectivo a recursos, os axustes de DNS e as restricións de sesión por perfil. Fágao antes de cambiar algo compartido.

Manteña tamén a aplicación do acceso separada da selección.

Nunha sesión sen cliente, o filtro aplicable é a ACL webtype. Un filtro VPN para cliente de túnel non o substitúe só porque ambos estean preto do mesmo bloque de política na configuración.

Decida o caso sen coincidencia e despois probe cada ruta

Determine que debe ocorrer na URL xenérica do portal e noutros puntos de entrada sen coincidencia. Mire a ruta real do perfil predeterminado e a súa autorización en lugar de editar un valor predeterminado compartido para que pase unha soa conta de proba. Despois abra tres sesións novas: a URL explícita, a entrada habilitada da lista e o punto de entrada xenérico. Anote o perfil seleccionado e a política efectiva de cada unha.

Reutilizar unha lapela do navegador dun inicio de sesión anterior estraga a comparación, porque esa sesión xa está vinculada a un perfil.

Ese rexistro converte «o portal ábrese» nunha asignación de inicio de sesión a política que pode auditar máis adiante, e é a única resposta duradeira cando un perfil parece correcto e non goberna a ninguén.