Alias di gruppo ASA o URL di gruppo: come viene selezionato il profilo

Un profilo di connessione governa una sessione solo dopo che l'ASA lo ha selezionato. Questa frase è l'intero modello di diagnostica per un vecchio portale senza client. Un profilo inutilizzato può avere regole di accesso perfette e comunque non applicarsi a nessuno. Seguite il punto di ingresso dell'accesso prima di modificare qualsiasi politica.

Le distinzioni seguenti seguono la documentazione 9.16; l'SSL VPN senza client è stato rimosso in 9.17(1) e successivi.

L'alias è una voce di elenco, non un URL

group-alias fornisce un'etichetta che l'utente sceglie dall'elenco dei gruppi nella pagina di accesso. Mostrare quell'elenco è un'impostazione separata, tunnel-group-list enable. L'alias è un nome di selezione e nulla più. Configurare un alias chiamato staff non crea un URL /staff che seleziona il profilo.

Le persone si aspettano che l'alias faccia doppio lavoro perché, dal browser, l'elenco e l'URL sembrano la stessa scelta.

Cosa fa corrispondere davvero group-url

group-url collega un URL in ingresso a un profilo di connessione. Quando quell'URL abilitato corrisponde, l'ASA seleziona il profilo senza chiedere all'utente di scegliere dall'elenco. L'URL deve essere quello completo previsto, nella sintassi supportata dalla vostra versione. Il suo record DNS e il suo certificato devono concordare con ciò che digitano gli utenti, altrimenti la corrispondenza non avviene mai.

Un suffisso di URL copiato non dimostra nulla sulla configurazione. Controllate il profilo, non la barra degli indirizzi.

Seguite la selezione fino alla politica che viene eseguita

Una volta selezionato un gruppo tunnel, l'apparecchio risolve il metodo di autenticazione e la politica di gruppo predefinita a esso associata. Poi gli attributi specifici dell'utente, i valori restituiti dall'autenticazione e l'autorizzazione dinamica possono sostituire parti di quella base. Ispezionate ciò che la sessione ha ricevuto davvero. Leggere la politica denominata da sola dà la base, non il risultato.

Il divario tra le due è all'origine della maggior parte delle segnalazioni «la regola è giusta ma l'accesso è sbagliato».

L'ereditarietà non è isolamento

Gli attributi lasciati non specificati possono ereditare dalla politica di gruppo predefinita. Una nuova politica denominata non è quindi isolata dai valori predefiniti condivisi, e modificarli raggiunge ogni profilo che li eredita. Confrontate l'accesso effettivo alle risorse, le impostazioni DNS e le restrizioni di sessione per profilo. Fatelo prima di cambiare qualcosa di condiviso.

Tenete anche l'applicazione dell'accesso separata dalla selezione.

Per una sessione senza client il filtro applicabile è l'ACL webtype. Un filtro VPN per client tunnel non lo sostituisce solo perché entrambi si trovano vicino allo stesso blocco di politica nella configurazione.

Decidete il caso senza corrispondenza, poi provate ogni percorso

Stabilite cosa deve accadere all'URL generico del portale e agli altri punti di ingresso senza corrispondenza. Guardate il vero percorso del profilo predefinito e la sua autorizzazione invece di modificare un valore predefinito condiviso per far passare un solo account di test. Poi aprite tre sessioni nuove: l'URL esplicito, la voce di elenco abilitata e il punto di ingresso generico. Annotate il profilo selezionato e la politica effettiva per ciascuna.

Riusare una scheda del browser di un accesso precedente rovina il confronto, perché quella sessione è già legata a un profilo.

Quel registro trasforma «il portale si apre» in una mappatura da accesso a politica che potete verificare in seguito, ed è l'unica risposta duratura quando un profilo sembra corretto e non governa nessuno.