ASA のグループエイリアスとグループ URL: プロファイルが選ばれる仕組み

接続プロファイルがセッションを制御するのは、ASA がそれを選んだ後だけです。この一文が、クライアントレス時代のポータルにおけるトラブルシューティングの全体像です。使われていないプロファイルは完璧なアクセスルールを持っていても、誰にも適用されません。ポリシーを編集する前に、ログインの入口を追跡してください。

以下の区別は 9.16 のドキュメントに従います。クライアントレスの SSL VPN は 9.17(1) 以降で削除されました。

エイリアスは一覧の項目であり、URL ではない

group-alias は、ログインページのグループ一覧からユーザーが選ぶラベルを提供します。その一覧を表示するかどうかは別の設定、tunnel-group-list enable です。エイリアスは選択用の名前であり、それ以上ではありません。staff という名前のエイリアスを設定しても、プロファイルを選ぶ /staff という URL は作成されません。

一覧も URL もブラウザから見ると同じ選択に見えるため、エイリアスが二役を果たすと期待されがちです。

group-url が実際に照合するもの

group-url は受信 URL を接続プロファイルに結び付けます。有効化されたその URL が一致すると、ASA はユーザーに一覧から選ばせることなくプロファイルを選択します。URL は、お使いのリリースが対応する構文で、意図した完全な形でなければなりません。その DNS レコードと証明書がユーザーの入力と一致していなければ、照合は決して成立しません。

コピーした URL の末尾は設定の何も証明しません。アドレスバーではなくプロファイルを確認してください。

選択から実行されるポリシーまでを追う

トンネルグループが選ばれると、装置は認証方式とそれに紐づくデフォルトのグループポリシーを解決します。その後、ユーザー固有の属性、認証が返す値、そして 動的認可がその基準の一部を上書きできます。セッションが実際に何を受け取ったかを確認してください。名前付きポリシーだけを読んでも分かるのは基準であり、結果ではありません。

この二つの差が、「ルールは正しいのにアクセスが誤っている」という報告のほとんどが生まれる場所です。

継承は分離ではない

指定しなかった属性はデフォルトのグループポリシーから継承されることがあります。そのため新しい名前付きポリシーは共有のデフォルトから切り離されておらず、そのデフォルトを編集すると継承するすべてのプロファイルに届きます。プロファイルごとに実際のリソースアクセス、DNS 設定、セッション制限を比較してください。共有部分を変更する前にそれを行います。

アクセスの適用と選択も分けて考えてください。

クライアントレスセッションで適用されるフィルタは webtype ACL です。トンネルクライアント用の VPN フィルタは、設定上たまたま同じポリシーブロックの近くにあるからといって代わりにはなりません。

一致しない場合を決めてから、すべての経路を試す

ポータルの汎用 URL と、一致しない他の入口で何が起きるべきかを決めます。テスト用アカウントを一つ通すために共有のデフォルトを編集するのではなく、実際のデフォルトプロファイルの経路とその認可を確認してください。そのうえで三つの新しいセッションを開きます。明示的な URL、有効化した一覧の項目、汎用の入口です。それぞれで選ばれたプロファイルと実際のポリシーを記録します。

以前のログインで使ったブラウザタブを再利用すると比較が崩れます。そのセッションはすでにプロファイルに結び付いているからです。

その記録は「ポータルが開く」をログインからポリシーへの対応表に変え、後から監査できるようにします。プロファイルが正しく見えるのに誰も制御していないとき、これが唯一の持続的な答えです。