ASA-hópsamheiti á móti hóp-URL: hvernig sniðið er valið

Tengingarsnið stýrir lotu aðeins eftir að ASA velur það. Þessi eina setning er allt villuleitarlíkanið fyrir gamla gátt án biðlara. Ónotað snið getur haft fullkomnar aðgangsreglur og gilt samt fyrir engan. Fylgdu innskráningarpunktinum áður en þú breytir einhverri stefnu.

Eftirfarandi greinarmunur fylgir 9.16-skjölunum; biðlaralausu SSL VPN var eytt í 9.17(1) og síðar.

Samheitið er listafærsla, ekki URL

group-alias gefur merkimiða sem notandinn velur úr hópalistanum á innskráningarsíðunni. Að sýna þann lista er sérstök stilling, tunnel-group-list enable. Samheitið er aðeins valnafn og ekkert meira. Að stilla samheiti sem heitir staff býr ekki til /staff URL sem velur sniðið.

Fólk býst við að samheitið vinni tvöfalt verk, því innan úr vafra líta listinn og URL út eins og sama valið.

Hvað group-url passar í raun

group-url bindur innkomandi URL við tengingarsnið. Þegar það virkjaða URL passar velur ASA sniðið án þess að biðja notandann að velja úr listanum. URLið verður að vera hið fullkomna ætlaða, í þeirri setningafræði sem þín útgáfa styður. DNS-færsla þess og skírteini verða að samræmast því sem notendur slá inn, annars verður samsvörunin aldrei að veruleika.

Afritað URL-viðskeyti sannar ekkert um uppsetninguna. Athugaðu sniðið, ekki slóðastikuna.

Fylgdu valinu inn í stefnuna sem keyrir

Þegar jarðgönguhópur er valinn greinir tækið auðkenningaraðferðina og sjálfgefnu hópstefnuna sem henni fylgir. Síðan geta eiginleikar sem eru sérstakir fyrir notanda, gildi sem auðkenning skilar og dynamísk heimild hnekkt hlutum þess grunns. Skoðaðu hvað lotan fékk í raun. Að lesa nefndu stefnuna eina sér gefur grunninn, ekki niðurstöðuna.

Bilið milli þessara tveggja er uppruni flestra tilkynninga um «reglan er rétt en aðgangurinn rangur».

Erfðir eru ekki einangrun

Eiginleikar sem þú skilur eftir ótilgreinda geta erft frá sjálfgefnu hópstefnunni. Ný nefnd stefna er því ekki lokuð frá sameiginlegum sjálfgefnum gildum, og breyting á þeim nær til hvers sniðs sem erfir þau. Berðu saman raunverulegan aðgang að auðlindum, DNS-stillingar og lotutakmarkanir fyrir hvert snið. Gerðu það áður en þú breytir einhverju sameiginlegu.

Haltu líka framfylgd aðgangs aðskilinni frá valinu.

Fyrir lotu án biðlara er viðeigandi sía webtype ACL. VPN-sía fyrir jarðgöngubiðlara kemur ekki í staðinn fyrir hana bara vegna þess að báðar standa nálægt sama stefnublokk í uppsetningunni.

Ákveddu tilfellið sem passar ekki og prófaðu síðan hverja leið

Ákvarðaðu hvað eigi að gerast á almennu URL gáttarinnar og á öðrum innkomupunktum sem passa ekki. Skoðaðu raunverulegu leið sjálfgefna sniðsins og heimild þess í stað þess að breyta sameiginlegu sjálfgefnu gildi svo ein prófunarinnskráning komist í gegn. Opnaðu síðan þrjár nýjar lotur: hið skýrta URL, virkjuðu listafærsluna og almenna innkomupunktinn. Skráðu valið snið og raunverulega stefnu fyrir hverja þeirra.

Endurnotkun vafraflipa frá fyrri innskráningu eyðileggur samanburðinn, því sú lota er þegar bundin við snið.

Sú skráning breytir «gáttin opnast» í vörpun frá innskráningu til stefnu sem þú getur endurskoðað síðar, og það er eina varanlega svarið þegar snið lítur rétt út og stýrir engum.