ASA-ի խմբային alias ընդդեմ խմբային URL-ի՝ ինչպես է ընտրվում պրոֆիլը

Միացման պրոֆիլը կառավարում է սեսիան միայն այն բանից հետո, երբ ASA-ն ընտրում է այն։ Այդ մեկ նախադասությունը հին՝ առանց հաճախորդի պորտալի հայտնաբերման ամբողջ մոդելն է։ Չօգտագործված պրոֆիլը կարող է ունենալ անթերի մուտքի կանոններ և այնուամենայնիվ չկիրառվել ոչ ոքի նկատմամբ։ Հետևեք մուտքի մեկնարկային կետին մինչև որևէ քաղաքականություն խմբագրելը։

Ստորև նկարագրված տարբերությունները հիմնվում են 9.16 փաստաթղթերի վրա. առանց հաճախորդի SSL VPN-ը հեռացվել է 9.17(1)-ում և ավելի ուշ։

Alias-ը ցանկի գրառում է, ոչ URL

group-alias-ը տալիս է պիտակ, որը օգտվողը ընտրում է մուտքի էջի խմբերի ցանկից։ Այդ ցանկի ցուցադրումը առանձին կարգավորում է՝ tunnel-group-list enable։ Alias-ը միայն ընտրության անուն է և ոչ ավելին։ staff անունով alias կարգավորելը չի ստեղծում /staff URL, որը կընտրի պրոֆիլը։

Մարդիկ ակնկալում են, որ alias-ը կրկնակի աշխատանք կանի, քանի որ բրաուզերից ցանկն ու URL-ը նույն ընտրության տեսք ունեն։

Ինչի հետ է իրականում համապատասխանում group-url-ը

group-url-ը կապում է մուտքային URL-ը միացման պրոֆիլի հետ։ Երբ այդ միացված URL-ը համապատասխանում է, ASA-ն ընտրում է պրոֆիլը՝ առանց օգտվողից ցանկից ընտրել խնդրելու։ URL-ը պետք է լինի ամբողջական՝ նախատեսվածը, ձեր թողարկման աջակցած շարահյուսությամբ։ Դրա DNS գրառումը և վկայականը պետք է համապատասխանեն այն ամենին, ինչ օգտվողները մուտքագրում են, այլապես համապատասխանությունը երբեք տեղի չի ունենա։

Պատճենված URL վերջավորությունը ոչինչ չի ապացուցում կարգաբերման մասին։ Ստուգեք պրոֆիլը, ոչ թե հասցեի տողը։

Հետևեք ընտրությանը մինչև գործող քաղաքականությունը

Թունելային խումբն ընտրվելուց հետո սարքը որոշում է նույնականացման մեթոդը և դրան կցված լռելյայն խմբային քաղաքականությունը։ Այնուհետև օգտվողին հատուկ ատրիբուտները, նույնականացման վերադարձրած արժեքները և դինամիկ լիազորումը կարող են վերագրել այդ բազայի մասերը։ Ստուգեք, թե ինչ է սեսիան իրականում ստացել։ Անվանված քաղաքականությունը միայն իր մեջ կարդալը տալիս է բազան, ոչ թե արդյունքը։

Այդ երկուսի միջև եղած բացը «կանոնը ճիշտ է, բայց հասանելիությունը սխալ է» հաղորդումների մեծ մասի աղբյուրն է։

Ժառանգումը մեկուսացում չէ

Չհստակեցված թողած ատրիբուտները կարող են ժառանգվել լռելյայն խմբային քաղաքականությունից։ Ուստի նոր անվանված քաղաքականությունը մեկուսացված չէ ընդհանուր լռելյայններից, և դրանք խմբագրելը հասնում է յուրաքանչյուր պրոֆիլի, որը ժառանգում է դրանք։ Համեմատեք փաստացի ռեսուրսների հասանելիությունը, DNS կարգավորումները և սեսիայի սահմանափակումները յուրաքանչյուր պրոֆիլի համար։ Դա արեք նախքան որևէ ընդհանուր բան փոխելը։

Հասանելիության պարտադրումը նույնպես առանձնացրեք ընտրությունից։

Առանց հաճախորդի սեսիայի համար կիրառելի զտիչը webtype ACL-ն է։ Թունելային հաճախորդի VPN զտիչը դրա փոխարինողը չէ միայն այն պատճառով, որ երկուսն էլ կարգաբերման մեջ նույն քաղաքականության բլոկի կողքին են։

Որոշեք չհամապատասխանող դեպքը, ապա ստուգեք բոլոր ուղիները

Որոշեք, թե ինչ պետք է տեղի ունենա պորտալի ընդհանուր URL-ում և այլ չհամապատասխանող մուտքի կետերում։ Նայեք իրական լռելյայն պրոֆիլի ուղուն և դրա լիազորմանը՝ փոխանակ խմբագրելու ընդհանուր լռելյայնը, որպեսզի մեկ փորձնական հաշիվ անցնի։ Ապա բացեք երեք նոր սեսիա՝ բացահայտ URL-ը, միացված ցանկի գրառումը և ընդհանուր մուտքի կետը։ Գրանցեք ընտրված պրոֆիլը և փաստացի քաղաքականությունը յուրաքանչյուրի համար։

Նախորդ մուտքից բրաուզերի ներդիրը վերօգտագործելը փչացնում է համեմատությունը, քանի որ այդ սեսիան արդեն կապված է պրոֆիլի հետ։

Այդ գրառումը «պորտալը բացվում է»-ը վերածում է մուտքից քաղաքականություն քարտեզի, որը կարող եք ավելի ուշ աուդիտ անել, և դա միակ կայուն պատասխանն է, երբ պրոֆիլը ճիշտ է թվում և ոչ ոքի չի կառավարում։