Pemetaan grup LDAP di ASA versus DAP untuk kebijakan grup VPN

Dua catatan terpisah menentukan kebijakan grup mana yang diterima sesi AnyConnect, dan keduanya berada di bagian konfigurasi yang berbeda dengan mode kegagalan yang berbeda. Peta atribut LDAP menerjemahkan nilai direktori menjadi atribut otorisasi ASA selama autentikasi; catatan DAP mengevaluasi kondisi sesudahnya dan dapat menambah atau menimpa atribut. Keduanya bisa berakhir pada nama kebijakan yang sama, jadi login yang berhasil tidak memberi tahu Anda mekanisme mana yang menghasilkannya. Inti dari membandingkan keduanya adalah memilih satu dengan sengaja alih-alih membiarkan yang kedua diam-diam mengalahkan yang pertama.

Dua mekanisme, dua titik keputusan

Pilihannya bermuara pada tiga pertanyaan. Apakah keputusan bergantung pada satu nilai atribut direktori, apakah perlu lebih dari nilai itu, dan mekanisme mana yang boleh menang ketika keduanya cocok?

Jika satu-satunya masukan adalah keanggotaan grup, peta atribut adalah alat yang lebih kecil dan lebih mudah diaudit: satu peta, terpasang ke satu server AAA, dengan satu baris per grup. Jika pemilihan harus mempertimbangkan postur, identitas endpoint, atribut kedua, atau jendela waktu, masukan peta akan habis dan DAP adalah mekanisme yang dapat menyatakan aturannya. Jika keduanya dipakai, pelajari presedensi di rilis Anda sebelum menulis salah satunya, karena sesi yang cocok dengan catatan DAP mungkin tidak mempertahankan kebijakan yang dikembalikan peta. Sisanya hanya pembukuan.

Jalur peta atribut, dalam urutan konfigurasi

Jalur peta dimulai pada definisi server AAA. Peta atribut harus terpasang ke entri server LDAP yang benar-benar digunakan profil koneksi; peta yang ada di konfigurasi berjalan tetapi tidak dirujuk oleh server itu tidak mengubah apa pun. Baris pemasangan itulah yang menghidupkan sisa konfigurasi. panduan pemetaan LDAP ASA adalah referensi sintaks peta pada rilis 9.x.

Di dalam peta, satu pernyataan menamai atribut direktori dan atribut ASA yang diberinya masukan, dan pernyataan berikutnya menerjemahkan nilai tertentu. map-name memberOf Group-Policy diikuti oleh map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly adalah bentuknya: sisi kiri adalah yang dikembalikan direktori, sisi kanan adalah nama kebijakan grup yang harus sudah ada. Nama terbedakan dan nama tampilan kebijakan tidak dapat dipertukarkan, dan hampir cocok pada salah satu string tidak menghasilkan kesalahan saat login.

Dua detail menggigit di sini: memberOf mengembalikan setiap grup tempat akun berada, sehingga pengguna di dua grup yang dipetakan memberi peta dua nilai kandidat, dan aturan alfabetis dalam panduan adalah satu-satunya pemecah seri yang dapat Anda andalkan alih-alih urutan prioritas Anda sendiri. Nilai yang tidak dipetakan tidak memberi apa pun, yang diam-diam kembali ke kebijakan default profil.

Jalur DAP, dan apa yang ditambahkannya

DAP mengevaluasi kondisi dan menerapkan atribut di atas hasil AAA. Sebuah catatan membawa prioritas, aksi, dan sekumpulan kondisi; catatan dievaluasi dalam urutan prioritas dan aksi menentukan apakah evaluasi berlanjut atau berhenti. Itu model eksekusi yang berbeda dari pencarian nilai, dan justru karena itu ia dapat menyatakan aturan yang tidak bisa dilakukan peta.

Yang ditambahkan DAP adalah masukan. Kondisi dapat merujuk atribut direktori, atribut endpoint, dan status postur, dan catatan yang cocok dapat membawa ACL, daftar URL, atau filter untuk sesi itu. Jadi aturan seperti staf dukungan pada laptop terkelola mendapat kebijakan hanya-baca sementara staf yang sama pada perangkat tidak terkelola mendapat kebijakan terbatas dapat dinyatakan di DAP dan bukan di peta atribut. Peta hanya punya satu masukan: nilai yang dikembalikan direktori untuk atribut yang Anda namai.

DAP juga menambah tempat kedua untuk dilihat ketika sesi berakhir di kebijakan yang salah. Catatan yang cocok dengan aksi lanjutkan tidak mengakhiri evaluasi, dan catatan berikutnya masih dapat mengubah hasil, jadi yang Anda amati adalah hasil dari suatu urutan, bukan satu pencarian. Baca nomor prioritas secara berurutan, dan ingat bahwa catatan cadangan mungkin yang melakukan pekerjaan. Sebaliknya, peta tidak punya urutan: satu atribut, satu nilai, satu jawaban.

Di mana keduanya tidak sepakat

Presedensi adalah bagian yang merusak desain. Ketika sebuah sesi cocok dengan entri peta dan catatan DAP sekaligus, hasilnya bergantung pada rilis dan pada aksi catatan, jadi verifikasikan di ASA Anda sendiri alih-alih mengasumsikan salah satu mekanisme memiliki hasilnya.

Tiga mode kegagalan menjelaskan sebagian besar kebingungan. Peta yang didefinisikan tetapi tidak pernah dipasang ke tag server yang digunakan profil menghasilkan kebijakan default tanpa kesalahan di mana pun. String kondisi DAP yang berbeda dari nilai direktori dalam huruf besar-kecil atau spasi tidak akan pernah cocok, dan catatan cadangan diam-diam berlaku. Dan kebijakan grup yang belum ada diterima oleh peta, karena peta hanya mengembalikan nama, sehingga sesi tidak mendapat satu pun izin yang dimaksudkan dan tidak ada apa pun di log yang menunjuk ke objek yang hilang. Periksa ketiganya sebelum menyentuh keanggotaan grup.

Membaca bukti dari sesi yang aktif

Baca jawabannya dari sesi baru, bukan dari konfigurasi. show vpn-sessiondb detail anyconnect filter name jdoe mencetak kebijakan grup yang benar-benar diterima sesi, dan show running-config ldap attribute-map mengonfirmasi nilai mana yang bisa dikembalikan peta. Di sisi direktori, test aaa-server authentication LDAP-AD username jdoe password <password> menunjukkan atribut yang diterima kembali oleh ASA, dan debug ldap 255 menunjukkan pertukaran ketika pengujian tidak sesuai dengan yang Anda harapkan.

Kemudian rekonsiliasikan empat catatan secara tertulis: nilai direktori, peta atau kondisi DAP yang dikonfigurasi, kebijakan grup lokal, dan sumber daya yang benar-benar dapat dijangkau pengguna. Jika tiga yang pertama cocok dan yang keempat tidak, masalahnya ada pada isi kebijakan, bukan pada pemilihan. Jika sesi menunjukkan nama kebijakan yang benar tetapi ACL yang salah, berhenti sama sekali melihat LDAP. Ubah satu catatan sekaligus dan periksa ulang sesi baru, karena sesi yang terhubung ulang adalah satu-satunya bukti yang mencerminkan konfigurasi yang baru saja Anda tulis.