ASA-ის ჯგუფის alias და ჯგუფის URL: როგორ ირჩევა პროფილი

კავშირის პროფილი სესიას მართავს მხოლოდ მას შემდეგ, რაც ASA მას აირჩევს. ეს ერთი წინადადება ძველი, კლიენტის გარეშე პორტალის პრობლემების მოძიების მთელი მოდელია. გამოუყენებელ პროფილს შეიძლება ჰქონდეს უნაკლო წვდომის წესები და მაინც არავისზე არ ვრცელდებოდეს. თვალყური ადევნეთ შესვლის შესასვლელ წერტილს, სანამ რომელიმე პოლიტიკას შეცვლით.

ქვემოთ მოცემული განსხვავებები ეყრდნობა 9.16-ის დოკუმენტაციას; კლიენტის გარეშე SSL VPN გაუქმდა 9.17(1)-ში და შემდეგ.

Alias სიის ჩანაწერია და არა URL

group-alias გვაძლევს იარლიყს, რომელსაც მომხმარებელი ირჩევს შესვლის გვერდის ჯგუფების სიიდან. ამ სიის ჩვენება ცალკე პარამეტრია, tunnel-group-list enable. Alias მხოლოდ არჩევანის სახელია და მეტი არაფერი. staff სახელის alias-ის კონფიგურაცია არ ქმნის /staff URL-ს, რომელიც პროფილს აირჩევს.

ადამიანები ელიან, რომ alias ორმაგ საქმეს შეასრულებს, რადგან ბრაუზერიდან სიაც და URL-იც ერთი და იმავე არჩევანივით გამოიყურება.

რას ემთხვევა group-url რეალურად

group-url შემომავალ URL-ს აკავშირებს კავშირის პროფილთან. როცა ეს ჩართული URL ემთხვევა, ASA ირჩევს პროფილს მომხმარებლისგან სიიდან არჩევის მოთხოვნის გარეშე. URL უნდა იყოს სრული, განზრახული მისამართი, იმ სინტაქსით, რომელსაც თქვენი გამოშვება მხარს უჭერს. მისი DNS ჩანაწერი და სერტიფიკატი უნდა ემთხვეოდეს იმას, რასაც მომხმარებლები აკრეფენ, თორემ დამთხვევა არასდროს მოხდება.

კოპირებული URL-ის დაბოლოება კონფიგურაციის შესახებ არაფერს ამტკიცებს. შეამოწმეთ პროფილი და არა მისამართების ზოლი.

თვალყური ადევნეთ არჩევანს გაშვებულ პოლიტიკამდე

გვირაბის ჯგუფის არჩევის შემდეგ მოწყობილობა წყვეტს ავთენტიფიკაციის მეთოდსა და მასზე მიბმულ ნაგულისხმევ ჯგუფურ პოლიტიკას. შემდეგ მომხმარებლის სპეციფიკური ატრიბუტები, ავთენტიფიკაციის მიერ დაბრუნებული მნიშვნელობები და დინამიკური ავტორიზაცია შეიძლება გადაფაროს ამ ბაზის ნაწილები. შეამოწმეთ, რა მიიღო სესიამ რეალურად. მხოლოდ დასახელებული პოლიტიკის კითხვა გაძლევთ ბაზას და არა შედეგს.

ამ ორს შორის სხვაობაა წყარო იმ შეტყობინებების უმეტესობისა, რომ „წესი სწორია, მაგრამ წვდომა არასწორია“.

მემკვიდრეობა არ არის იზოლაცია

ატრიბუტები, რომლებსაც დაუზუსტებლად ტოვებთ, შეიძლება მემკვიდრეობით მიიღოთ ნაგულისხმევი ჯგუფური პოლიტიკიდან. ამიტომ ახალი დასახელებული პოლიტიკა არ არის გამიჯნული საერთო ნაგულისხმევებისგან და მათი რედაქტირება აღწევს ყველა პროფილამდე, რომელიც მათ მემკვიდრეობით იღებს. შეადარეთ ეფექტური რესურსებზე წვდომა, DNS პარამეტრები და სესიის შეზღუდვები პროფილების მიხედვით. ეს გააკეთეთ სანამ რაიმე საერთოს შეცვლით.

წვდომის აღსრულება ასევე გამოყავით არჩევანისგან.

კლიენტის გარეშე სესიისთვის მოქმედი ფილტრია webtype ACL. გვირაბის კლიენტის VPN ფილტრი მისი შემცვლელი არ არის მხოლოდ იმიტომ, რომ ორივე კონფიგურაციაში ერთი და იმავე პოლიტიკის ბლოკის გვერდით დგას.

გადაწყვიტეთ დაუმთხვეველი შემთხვევა, შემდეგ გამოსცადეთ ყველა გზა

განსაზღვრეთ, რა უნდა მოხდეს პორტალის ზოგად URL-ზე და სხვა დაუმთხვეველ შესასვლელ წერტილებზე. შეხედეთ რეალურ ნაგულისხმევ პროფილის გზას და მის ავტორიზაციას იმის ნაცვლად, რომ შეცვალოთ საერთო ნაგულისხმევი, რათა ერთმა სატესტო ანგარიშმა გაიაროს. შემდეგ გახსენით სამი ახალი სესია: ცხადი URL, ჩართული სიის ჩანაწერი და ზოგადი შესასვლელი წერტილი. ჩაწერეთ არჩეული პროფილი და ეფექტური პოლიტიკა თითოეულისთვის.

ადრინდელი შესვლის ბრაუზერის ჩანართის ხელახლა გამოყენება აფუჭებს შედარებას, რადგან ეს სესია უკვე პროფილზეა მიბმული.

ეს ჩანაწერი „პორტალი იხსნება“-ს აქცევს შესვლიდან პოლიტიკამდე დაკავშირებად, რომლის აუდიტიც მოგვიანებით შეგიძლიათ, და ეს არის ერთადერთი მდგრადი პასუხი, როცა პროფილი სწორად გამოიყურება და არავის მართავს.