ASA-ում LDAP խմբերի քարտեզագրումը ընդդեմ DAP-ի VPN խմբային քաղաքականության համար

Երկու առանձին գրառումներ են որոշում, թե AnyConnect նիստը որ խմբային քաղաքականությունը կստանա, և դրանք գտնվում են կոնֆիգուրացիայի տարբեր մասերում՝ տարբեր ձախողման ռեժիմներով։ LDAP հատկանիշների քարտեզը նույնականացման ընթացքում գրացուցակի արժեքը վերածում է ASA լիազորության հատկանիշի. DAP գրառումը դրանից հետո գնահատում է պայմանները և կարող է ավելացնել կամ վերազանցել հատկանիշները։ Երկուսն էլ կարող են ավարտվել նույն քաղաքականության անվանմամբ, ուստի աշխատող մուտքը ոչինչ չի ասում այն մասին, թե որ մեխանիզմն է այն ստեղծել։ Դրանք համեմատելու իմաստն այն է, որ գիտակցաբար ընտրեք մեկը՝ փոխարենը թույլ տալով երկրորդին լուռ վերազանցել առաջինին։

Երկու մեխանիզմ, երկու որոշման կետ

Ընտրությունը հանգում է երեք հարցի. արդյոք որոշումը կախված է գրացուցակի մեկ հատկանիշի արժեքից, արդյոք դրան պետք է ավելին, քան այդ արժեքը, և ո՞ր մեխանիզմին է թույլատրվում հաղթել, երբ երկուսն էլ համընկնում են։

Եթե միակ մուտքը խմբի անդամակցությունն է, ապա հատկանիշների քարտեզն ավելի փոքր գործիքն է և ավելի հեշտ ստուգվողը՝ մեկ քարտեզ, կցված մեկ AAA սերվերի, յուրաքանչյուր խմբի համար մեկ տողով։ Եթե ընտրությունը պետք է հաշվի առնի սարքի վիճակը, վերջնակետի ինքնությունը, երկրորդ հատկանիշը կամ ժամանակային պատուհանը, քարտեզի մուտքերը սպառվում են, և DAP-ն այն մեխանիզմն է, որը կարող է արտահայտել կանոնը։ Եթե երկուսն էլ խաղի մեջ են, սովորեք առաջնահերթությունը ձեր թողարկումում նախքան դրանցից որևէ մեկը գրելը, քանի որ DAP գրառմանը համապատասխանող նիստը կարող է չպահպանել քարտեզի վերադարձրած քաղաքականությունը։ Մնացած ամեն ինչ հաշվապահություն է։

Հատկանիշների քարտեզի ուղին՝ կոնֆիգուրացիայի հերթականությամբ

Քարտեզի ուղին սկսվում է AAA սերվերի սահմանումից։ Հատկանիշների քարտեզը պետք է կցված լինի այն LDAP սերվերի գրառմանը, որը միացման պրոֆիլն իրականում օգտագործում է. քարտեզը, որը գոյություն ունի աշխատող կոնֆիգուրացիայում, բայց այդ սերվերի կողմից չի հղվում, ոչինչ չի փոխում։ Հենց այդ կցման տողն է կենդանացնում մնացած կոնֆիգուրացիան։ ASA-ի LDAP քարտեզագրման ուղեցույցը հղումն է քարտեզի շարահյուսությանը 9.x թողարկումներում։

Քարտեզի ներսում մեկ պնդում անվանում է գրացուցակի հատկանիշը և այն ASA հատկանիշը, որը այն կերակրում է, իսկ հետագա պնդումները թարգմանում են կոնկրետ արժեքներ։ map-name memberOf Group-Policy և դրան հաջորդող map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly ձևն է. ձախ կողմը այն է, ինչ վերադարձրել է գրացուցակը, աջ կողմը խմբային քաղաքականության անունն է, որը պետք է արդեն գոյություն ունենա։ Տարբերակիչ անունը և քաղաքականության ցուցադրման անունը փոխարինելի չեն, և երկու տողերից որևէ մեկում գրեթե համընկնումը մուտքի ժամանակ սխալ չի առաջացնում։

Այստեղ երկու մանրամասն է կծում. memberOf վերադարձնում է յուրաքանչյուր խումբ, որին պատկանում է հաշիվը, ուստի երկու քարտեզագրված խմբերում գտնվող օգտատերը քարտեզին տալիս է երկու թեկնածու արժեք, և ուղեցույցի այբբենական կանոնը միակ հավասարության լուծումն է, որի վրա կարող եք հույս դնել ձեր սեփական առաջնահերթության կարգի փոխարեն։ Չքարտեզագրված արժեքը ոչինչ չի տալիս, ինչը լուռ վերադառնում է պրոֆիլի լռելյայն քաղաքականությանը։

DAP-ի ուղին և ինչ է այն ավելացնում

DAP-ն գնահատում է պայմանները և կիրառում հատկանիշներ AAA արդյունքի վրա։ Գրառումը կրում է առաջնահերթություն, գործողություն և պայմանների հավաքածու. գրառումները գնահատվում են առաջնահերթության կարգով, և գործողությունը որոշում է՝ գնահատումը շարունակվում է, թե կանգ է առնում։ Սա տարբեր կատարման մոդել է, քան արժեքի որոնումը, և հենց դրա համար այն կարող է արտահայտել կանոններ, որոնք քարտեզը չի կարող։

Այն, ինչ DAP-ն ավելացնում է, մուտքերն են։ Պայմանները կարող են հղվել գրացուցակի հատկանիշներին, վերջնակետի հատկանիշներին և սարքի վիճակին, և համապատասխան գրառումը կարող է կրել ACL ցանկեր, URL ցուցակներ կամ զտիչներ այդ նիստի համար։ Այսպիսով, կանոնը, օրինակ, որ աջակցության անձնակազմը կառավարվող նոթբուքի վրա ստանում է միայն կարդալու քաղաքականությունը, մինչդեռ նույն անձնակազմը չկառավարվող սարքում ստանում է սահմանափակվածը, արտահայտելի է DAP-ում և ոչ՝ հատկանիշների քարտեզում։ Քարտեզն ունի ճշգրիտ մեկ մուտք՝ այն արժեքը, որը գրացուցակը վերադարձրել է ձեր նշած հատկանիշի համար։

DAP-ն ավելացնում է նաև երկրորդ տեղ՝ նայելու, երբ նիստը հայտնվում է սխալ քաղաքականության մեջ։ Շարունակելու գործողությամբ համապատասխանող գրառումը չի ավարտում գնահատումը, և ավելի ուշ գրառումը դեռ կարող է փոխել արդյունքը, ուստի այն, ինչ դուք տեսնում եք, հաջորդականության արդյունք է, ոչ թե մեկ որոնման։ Կարդացեք առաջնահերթության համարները հերթականությամբ և հիշեք, որ աշխատանքը կարող է կատարել պահուստային գրառումը։ Քարտեզը, ընդհակառակը, հաջորդականություն չունի՝ մեկ հատկանիշ, մեկ արժեք, մեկ պատասխան։

Որտեղ նրանք տարբերվում են

Առաջնահերթությունը այն մասն է, որը կոտրում է ձևավորումները։ Երբ նիստը համապատասխանում է և՛ քարտեզի գրառմանը, և՛ DAP գրառմանը, արդյունքը կախված է թողարկումից և գրառման գործողությունից, ուստի ստուգեք այն ձեր սեփական ASA-ում՝ փոխարենը ենթադրելով, որ մեխանիզմներից մեկն է տիրապետում արդյունքին։

Երեք ձախողման ռեժիմ բացատրում են շփոթության մեծ մասը։ Քարտեզը, որը սահմանված է, բայց երբեք կցված չէ այն սերվերի պիտակին, որն օգտագործում է պրոֆիլը, տալիս է լռելյայն քաղաքականությունը՝ առանց որևէ սխալի ոչ մի տեղ։ DAP պայմանի տողը, որը տարբերվում է գրացուցակի արժեքից մեծատառերով կամ բացատներով, երբեք չի համընկնում, և պահուստային գրառումը լուռ կիրառվում է։ Իսկ դեռ գոյություն չունեցող խմբային քաղաքականությունը քարտեզը ընդունում է, քանի որ քարտեզը միայն անուն է վերադարձնում, ուստի նիստը չի ստանում նախատեսված թույլտվություններից ոչ մեկը, և մատյանում ոչինչ չկա, որ մատնանշի բացակայող օբյեկտը։ Ստուգեք բոլոր երեքը նախքան խմբի անդամակցությանը դիպչելը։

Ապացույցների ընթերցումը կենդանի նիստից

Պատասխանը կարդացեք նոր նիստից, ոչ թե կոնֆիգուրացիայից։ show vpn-sessiondb detail anyconnect filter name jdoe տպում է այն խմբային քաղաքականությունը, որը նիստն իրականում ստացել է, և show running-config ldap attribute-map հաստատում է, թե քարտեզը որ արժեքները կարող էր վերադարձրել։ Գրացուցակի կողմում test aaa-server authentication LDAP-AD username jdoe password <password> ցույց է տալիս այն հատկանիշները, որոնք ASA-ն հետ է ստացել, և debug ldap 255 ցույց է տալիս փոխանակումը, երբ թեստը չի համապատասխանում ձեր սպասմանը։

Այնուհետև գրավոր համաձայնեցրեք չորս գրառում՝ գրացուցակի արժեքը, կազմաձևված քարտեզը կամ DAP պայմանը, տեղական խմբային քաղաքականությունը և այն ռեսուրսը, որին օգտատերը իրականում կարող էր հասնել։ Եթե առաջին երեքը համընկնում են, իսկ չորրորդը՝ ոչ, խնդիրը քաղաքականության մարմնում է, ոչ թե ընտրության մեջ։ Եթե նիստը ցույց է տալիս ճիշտ քաղաքականության անունը, բայց սխալ ACL, ամբողջովին դադարեցրեք LDAP-ին նայելը։ Փոխեք մեկ գրառում միաժամանակ և նորից ստուգեք նոր նիստը, քանի որ վերամիացված նիստը միակ ապացույցն է, որն արտացոլում է հենց նոր գրված կոնֆիգուրացիան։