כינוי קבוצה מול כתובת URL של קבוצה ב-ASA: כיצד נבחר הפרופיל

פרופיל חיבור שולט בסשן רק אחרי שה-ASA בוחר בו. המשפט הזה הוא כל מודל פתרון התקלות של פורטל ישן ללא לקוח. פרופיל שאינו בשימוש יכול להחזיק כללי גישה מושלמים ובכל זאת לא לחול על איש. עקבו אחרי נקודת הכניסה לפני שאתם עורכים מדיניות כלשהי.

ההבחנות שלהלן עוקבות אחרי התיעוד של 9.16; SSL VPN ללא לקוח הוסר ב-9.17(1) ואילך.

הכינוי הוא רשומה ברשימה, לא כתובת URL

group-alias מספק תווית שהמשתמש בוחר מרשימת הקבוצות בעמוד הכניסה. הצגת הרשימה הזו היא הגדרה נפרדת, tunnel-group-list enable. הכינוי הוא שם בחירה ותו לא. הגדרת כינוי בשם staff אינה יוצרת כתובת /staff שבוחרת את הפרופיל.

אנשים מצפים שהכינוי יעשה עבודה כפולה, מפני שמתוך הדפדפן הרשימה וכתובת ה-URL נראות כמו אותה בחירה.

למה group-url באמת מתאים

group-url קושר כתובת נכנסת לפרופיל חיבור. כאשר הכתובת המופעלת הזו מתאימה, ה-ASA בוחר את הפרופיל בלי לבקש מהמשתמש לבחור מהרשימה. הכתובת חייבת להיות המלאה המיועדת, בתחביר שהמהדורה שלכם תומכת בו. רשומת ה-DNS והתעודה שלה חייבות להתאים למה שהמשתמשים מקלידים, אחרת ההתאמה לא תקרה לעולם.

סיומת כתובת שהועתקה אינה מוכיחה דבר על התצורה. בדקו את הפרופיל, לא את שורת הכתובת.

עקבו אחרי הבחירה אל תוך המדיניות שרצה

לאחר שנבחרה קבוצת מנהרה, ההתקן מפענח את שיטת האימות ואת מדיניות הקבוצה המוגדרת כברירת מחדל שמחוברת אליה. אחר כך מאפיינים ספציפיים למשתמש, ערכים שמוחזרים מהאימות והרשאה דינמית יכולים לעקוף חלקים מאותו בסיס. בדקו מה הסשן באמת קיבל. קריאת המדיניות הנקובה לבדה נותנת את הבסיס, לא את התוצאה.

הפער בין השניים הוא המקור לרוב הדיווחים «הכלל נכון אבל הגישה שגויה».

ירושה אינה בידוד

מאפיינים שנשארים לא מוגדרים יכולים לרשת ממדיניות הקבוצה כברירת מחדל. לכן מדיניות נקובה חדשה אינה אטומה מברירות המחדל המשותפות, ועריכה שלהן מגיעה לכל פרופיל שיורש אותן. השוו גישה אפקטיבית למשאבים, הגדרות DNS ומגבלות סשן לכל פרופיל. עשו זאת לפני שתשנו משהו משותף.

הפרידו גם את אכיפת הגישה מן הבחירה.

בסשן ללא לקוח המסנן הרלוונטי הוא ACL webtype. מסנן VPN ללקוח מנהרה אינו תחליף לו רק מפני ששניהם יושבים ליד אותו בלוק מדיניות בתצורה.

הכריעו את המקרה שאינו מתאים, ואז בדקו כל מסלול

קבעו מה אמור לקרות בכתובת הפורטל הכללית ובנקודות כניסה אחרות שאינן מתאימות. הביטו במסלול פרופיל ברירת המחדל האמיתי ובהרשאה שלו במקום לערוך ברירת מחדל משותפת כדי שחשבון בדיקה אחד יעבור. אחר כך פתחו שלושה סשנים חדשים: הכתובת המפורשת, רשומת הרשימה המופעלת ונקודת הכניסה הכללית. רשמו את הפרופיל הנבחר ואת המדיניות האפקטיבית לכל אחד מהם.

שימוש חוזר בלשונית דפדפן מכניסה קודמת הורס את ההשוואה, מפני שהסשן הזה כבר קשור לפרופיל.

הרשומה הזו הופכת את «הפורטל נפתח» למיפוי מכניסה למדיניות שתוכלו לבקר אחר כך, וזו התשובה היחידה בת-קיימא כשפרופיל נראה נכון ואינו שולט באיש.