Alias grup ASA versus URL grup: bagaimana profil dipilih

Profil koneksi mengatur sebuah sesi hanya setelah ASA memilihnya. Kalimat itu adalah seluruh model pemecahan masalah untuk portal lama tanpa klien. Profil yang tidak terpakai bisa memiliki aturan akses yang sempurna dan tetap tidak berlaku bagi siapa pun. Telusuri titik masuk login sebelum Anda mengubah kebijakan apa pun.

Perbedaan di bawah ini mengikuti dokumentasi 9.16; SSL VPN tanpa klien dihapus pada 9.17(1) dan sesudahnya.

Alias adalah entri daftar, bukan URL

group-alias menyediakan label yang dipilih pengguna dari daftar grup di halaman login. Menampilkan daftar itu adalah pengaturan terpisah, tunnel-group-list enable. Alias hanyalah nama pilihan dan tidak lebih. Mengonfigurasi alias bernama staff tidak membuat URL /staff yang memilih profil tersebut.

Orang mengharapkan alias melakukan tugas ganda karena, dari dalam peramban, daftar dan URL tampak seperti pilihan yang sama.

Apa yang sebenarnya dicocokkan group-url

group-url mengikat URL masuk ke profil koneksi. Ketika URL yang diaktifkan itu cocok, ASA memilih profil tanpa meminta pengguna memilih dari daftar. URL harus berupa alamat lengkap yang dimaksud, dalam sintaksis yang didukung rilis Anda. Catatan DNS dan sertifikatnya harus sesuai dengan yang diketik pengguna, atau pencocokan tidak akan pernah terjadi.

Akhiran URL yang disalin tidak membuktikan apa pun tentang konfigurasi. Periksa profilnya, bukan bilah alamat.

Ikuti pemilihan sampai ke kebijakan yang berjalan

Setelah grup terowongan dipilih, perangkat menyelesaikan metode autentikasi dan kebijakan grup bawaan yang terpasang padanya. Lalu atribut khusus pengguna, nilai yang dikembalikan autentikasi, dan otorisasi dinamis dapat menimpa sebagian dari basis itu. Periksa apa yang benar-benar diterima sesi. Membaca kebijakan bernama saja memberi Anda basisnya, bukan hasilnya.

Selisih antara keduanya adalah sumber sebagian besar laporan «aturannya benar tetapi aksesnya salah».

Pewarisan bukan isolasi

Atribut yang Anda biarkan tidak ditentukan dapat diwarisi dari kebijakan grup bawaan. Karena itu kebijakan bernama yang baru tidak terpisah dari default bersama, dan mengedit default tersebut menjangkau setiap profil yang mewarisinya. Bandingkan akses sumber daya yang efektif, pengaturan DNS, dan pembatasan sesi per profil. Lakukan itu sebelum mengubah apa pun yang dibagi.

Pisahkan juga penegakan akses dari pemilihan.

Untuk sesi tanpa klien, filter yang berlaku adalah ACL webtype. Filter VPN untuk klien terowongan bukan penggantinya hanya karena keduanya berada dekat blok kebijakan yang sama dalam konfigurasi.

Putuskan kasus yang tidak cocok, lalu uji setiap jalur

Tentukan apa yang seharusnya terjadi pada URL portal umum dan pada titik masuk lain yang tidak cocok. Lihat jalur profil bawaan yang sebenarnya dan otorisasinya alih-alih mengedit default bersama agar satu akun uji lolos. Lalu buka tiga sesi baru: URL eksplisit, entri daftar yang diaktifkan, dan titik masuk umum. Catat profil yang dipilih dan kebijakan efektif untuk masing-masing.

Menggunakan ulang tab peramban dari login sebelumnya merusak perbandingan, karena sesi itu sudah terikat pada profil.

Catatan itu mengubah «portal terbuka» menjadi pemetaan login-ke-kebijakan yang dapat Anda audit nanti, dan itulah satu-satunya jawaban yang tahan lama ketika profil tampak benar tetapi tidak mengatur siapa pun.