ASA alias grupe nasuprot URL-u grupe: kako se odabire profil

Profil veze upravlja sesijom tek nakon što ga ASA odabere. Ta je rečenica cijeli model za rješavanje problema na starom portalu bez klijenta. Nekorišten profil može imati besprijekorna pravila pristupa i ipak se ne primjenjivati ni na koga. Pratite ulaznu točku prijave prije nego što izmijenite bilo koju politiku.

Razlike u nastavku slijede dokumentaciju za 9.16; SSL VPN bez klijenta uklonjen je u 9.17(1) i kasnije.

Alias je stavka popisa, a ne URL

group-alias daje oznaku koju korisnik odabire s popisa grupa na stranici za prijavu. Prikaz tog popisa zasebna je postavka, tunnel-group-list enable. Alias je samo naziv za odabir i ništa više. Konfiguriranje aliasa nazvanog staff ne stvara URL /staff koji odabire profil.

Ljudi očekuju da alias obavlja dvostruku ulogu jer, gledano iz preglednika, popis i URL izgledaju kao isti odabir.

Što group-url zapravo uparuje

group-url veže dolazni URL uz profil veze. Kad se taj omogućeni URL podudari, ASA odabire profil bez pitanja korisnika da bira s popisa. URL mora biti potpun i upravo onaj koji se želi, u sintaksi koju vaše izdanje podržava. Njegov DNS zapis i certifikat moraju se slagati s onim što korisnici upisuju, inače se podudaranje nikada neće dogoditi.

Kopirani sufiks URL-a ne dokazuje ništa o konfiguraciji. Provjerite profil, a ne adresnu traku.

Pratite odabir do politike koja se izvršava

Nakon što se odabere tunelska grupa, uređaj razrješava metodu autentifikacije i zadanu grupnu politiku koja je uz nju vezana. Zatim korisnički atributi, vrijednosti koje vrati autentifikacija i dinamička autorizacija mogu nadjačati dijelove te osnove. Provjerite što je sesija doista dobila. Čitanje samo imenovane politike daje vam osnovu, a ne ishod.

Razmak između to dvoje izvor je većine prijava „pravilo je ispravno, ali pristup je pogrešan“.

Nasljeđivanje nije izolacija

Atribute koje ostavite neodređenima možete naslijediti iz zadane grupne politike. Nova imenovana politika zato nije odvojena od zajedničkih zadanih vrijednosti, a izmjena tih vrijednosti dopire do svakog profila koji ih nasljeđuje. Usporedite stvarni pristup resursima, DNS postavke i ograničenja sesije po profilu. Učinite to prije nego što promijenite bilo što zajedničko.

Držite i provođenje pristupa odvojeno od odabira.

Za sesiju bez klijenta primjenjiv filtar je webtype ACL. VPN filtar za tunelskog klijenta nije zamjena samo zato što oba stoje blizu istog bloka politike u konfiguraciji.

Odlučite o slučaju bez podudaranja, pa isprobajte svaki put

Odredite što se treba dogoditi na generičkom URL-u portala i na ostalim ulaznim točkama bez podudaranja. Pogledajte stvarni put zadanog profila i njegovu autorizaciju umjesto da mijenjate zajedničku zadanu vrijednost da bi jedan testni račun prošao. Zatim otvorite tri nove sesije: eksplicitni URL, omogućenu stavku popisa i generičku ulaznu točku. Zabilježite odabrani profil i stvarnu politiku za svaku od njih.

Ponovno korištenje kartice preglednika iz ranije prijave kvari usporedbu jer je ta sesija već vezana uz profil.

Taj zapis pretvara „portal se otvara“ u preslikavanje prijave u politiku koje možete kasnije revidirati, i to je jedini trajan odgovor kada profil izgleda ispravno i nikim ne upravlja.