ASA LDAP-csoportleképezés kontra DAP VPN-csoportházirendhez

Két külön rekord dönti el, melyik csoportházirendet kapja egy AnyConnect-munkamenet, és ezek a konfiguráció különböző részein élnek, eltérő meghibásodási módokkal. Az LDAP-attribútumtérkép az authentikáció során a könyvtár egy értékét ASA-jogosultsági attribútummá fordítja; a DAP-rekord ezután feltételeket értékel, és hozzáadhat vagy felülírhat attribútumokat. Mindkettő ugyanarra a házirendnévre végződhet, így egy működő bejelentkezés semmit sem mond arról, melyik mechanizmus hozta létre. Az összehasonlításuk értelme, hogy tudatosan válasszunk egyet, ahelyett hogy a második csendben felülírja az elsőt.

Két mechanizmus, két döntési pont

A választás három kérdésre redukálódik. Függ-e a döntés a könyvtár egyetlen attribútumértékétől, kell-e ehhez az értéknél több, és melyik mechanizmus győzhet, amikor mindkettő illeszkedik?

Ha az egyetlen bemenet a csoporttagság, az attribútumtérkép a kisebb eszköz, és az, amelyik könnyebben auditálható: egy térkép, egy AAA-kiszolgálóhoz kapcsolva, csoportonként egy sorral. Ha a kiválasztásnak figyelembe kell vennie az eszköz állapotát, a végpont identitását, egy második attribútumot vagy egy időablakot, a térkép bemenetei elfogynak, és a DAP az a mechanizmus, amely ki tudja fejezni a szabályt. Ha mindkettő játékban van, ismerje meg az elsőbbséget a saját kiadásán, mielőtt bármelyiket megírja, mert előfordulhat, hogy a DAP-rekorddal illeszkedő munkamenet nem tartja meg a térkép által visszaadott házirendet. Minden más könyvelés.

Az attribútumtérkép útja, konfigurációs sorrendben

A térkép útja az AAA-kiszolgáló definíciójánál kezdődik. Az attribútumtérképet ahhoz az LDAP-kiszolgáló bejegyzéshez kell kapcsolni, amelyet a kapcsolati profil ténylegesen használ; az a térkép, amely létezik a futó konfigurációban, de arra a kiszolgáló nem hivatkozik, semmit sem változtat. Ez a kapcsolási sor teszi élővé a konfiguráció többi részét. Az ASA LDAP-leképezési útmutató a térkép szintaxisának referenciája a 9.x kiadásokban.

A térképen belül egy utasítás megnevezi a könyvtár attribútumát és az ASA-attribútumot, amelyet táplál, a további utasítások pedig konkrét értékeket fordítanak le. map-name memberOf Group-Policy majd map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly a forma: a bal oldal az, amit a könyvtár visszaadott, a jobb oldal egy csoportházirend neve, amelynek már léteznie kell. A megkülönböztető név és a házirend megjelenített neve nem felcserélhető, és a két karakterlánc bármelyikében elkövetett majdnem-egyezés nem okoz hibát bejelentkezéskor.

Két részlet harap itt: memberOf minden csoportot visszaad, amelyhez a fiók tartozik, így a két leképezett csoportban lévő felhasználó két jelöltértéket ad a térképnek, és az útmutató ábécé-szabálya az egyetlen döntetlenfeloldás, amelyre támaszkodhat a saját prioritási sorrendje helyett. A nem leképezett érték semmit sem ad, ami csendben visszaesik a profil alapértelmezett házirendjére.

A DAP útja, és mit ad hozzá

A DAP feltételeket értékel, és az AAA-eredmény fölé attribútumokat alkalmaz. Egy rekord prioritást, műveletet és feltételhalmazt hordoz; a rekordok prioritási sorrendben értékelődnek, és a művelet dönti el, hogy az értékelés folytatódik-e vagy megáll. Ez más végrehajtási modell, mint egy értékkeresés, és éppen ezért tud olyan szabályokat kifejezni, amelyeket a térkép nem.

Amit a DAP hozzáad, azok a bemenetek. A feltételek hivatkozhatnak könyvtárattribútumokra, végpontattribútumokra és eszközállapotra, és az illeszkedő rekord ACL-eket, URL-listákat vagy szűrőket hordozhat ahhoz a munkamenethez. Így egy olyan szabály, hogy a támogató személyzet egy felügyelt laptopon csak olvasható házirendet kap, ugyanez a személyzet egy nem felügyelt eszközön pedig korlátozottat, kifejezhető a DAP-ban, de nem egy attribútumtérképben. A térképnek pontosan egy bemenete van: az az érték, amelyet a könyvtár visszaadott a megnevezett attribútumra.

A DAP egy második helyet is ad, ahol megnézheti, ha egy munkamenet a rossz házirendbe kerül. Egy folytatás művelettel illeszkedő rekord nem fejezi be az értékelést, és egy későbbi rekord még megváltoztathatja az eredményt, így amit lát, az egy sorozat eredménye, nem egyetlen keresésé. Olvassa a prioritásszámokat sorrendben, és ne feledje, hogy a tartalékrekord lehet az, amelyik a munkát végzi. A térképnek ezzel szemben nincs sorozata: egy attribútum, egy érték, egy válasz.

Ahol a kettő eltér

Az elsőbbség az a rész, amely megtöri a terveket. Amikor egy munkamenet egyszerre illeszkedik egy térképbejegyzésre és egy DAP-rekordra, az eredmény a kiadástól és a rekord műveletétől függ, ezért ellenőrizze a saját ASA-ján, ahelyett hogy feltételezné, hogy valamelyik mechanizmus birtokolja az eredményt.

Három meghibásodási mód magyarázza a zavar legnagyobb részét. Az a térkép, amely definiált, de soha nem kapcsolták ahhoz a kiszolgálócímkéhez, amelyet a profil használ, az alapértelmezett házirendet adja, hiba nélkül mindenhol. Az a DAP-feltételkarakterlánc, amely kis-nagybetűben vagy szóközökben eltér a könyvtár értékétől, soha nem illeszkedik, és a tartalékrekord csendben érvényesül. És a még nem létező csoportházirendet a térkép elfogadja, mert a térkép csak egy nevet ad vissza, így a munkamenet egyik szándékolt engedélyt sem kapja meg, és a naplóban semmi sem mutat a hiányzó objektumra. Ellenőrizze mindhármat, mielőtt a csoporttagsághoz nyúl.

A bizonyítékok leolvasása egy élő munkamenetről

A választ egy friss munkamenetről olvassa le, ne a konfigurációból. show vpn-sessiondb detail anyconnect filter name jdoe kiírja azt a csoportházirendet, amelyet a munkamenet ténylegesen kapott, és show running-config ldap attribute-map megerősíti, milyen értékeket adhatott volna vissza a térkép. A könyvtár oldalán test aaa-server authentication LDAP-AD username jdoe password <password> megmutatja azokat az attribútumokat, amelyeket az ASA visszakapott, és debug ldap 255 megmutatja a cserét, amikor a teszt nem egyezik az elvárásaival.

Ezután egyeztessen négy rekordot írásban: a könyvtár értékét, a konfigurált térképet vagy DAP-feltételt, a helyi csoportházirendet és azt az erőforrást, amelyet a felhasználó ténylegesen elérhetett. Ha az első három egyezik és a negyedik nem, a probléma a házirend törzsében van, nem a kiválasztásban. Ha a munkamenet a helyes házirendnevet, de a rossz ACL-t mutatja, hagyja abba teljesen az LDAP nézegetését. Egyszerre egy rekordot változtasson, és ellenőrizze újra egy új munkamenetet, mert az újracsatlakozott munkamenet az egyetlen bizonyíték, amely az éppen megírt konfigurációt tükrözi.