ASA-ში LDAP ჯგუფების რუკების შედგენა DAP-ის წინააღმდეგ VPN ჯგუფური პოლიტიკისთვის

ორი ცალკე ჩანაწერი წყვეტს, რომელ ჯგუფურ პოლიტიკას მიიღებს AnyConnect სესია, და ისინი კონფიგურაციის სხვადასხვა ნაწილშია, სხვადასხვა წარუმატებლობის რეჟიმით. LDAP ატრიბუტების რუკა ავთენტიფიკაციის დროს დირექტორიის მნიშვნელობას ASA-ს ავტორიზაციის ატრიბუტად გარდაქმნის; DAP ჩანაწერი შემდეგ აფასებს პირობებს და შეუძლია ატრიბუტების დამატება ან გადაფარვა. ორივე შეიძლება დასრულდეს იმავე პოლიტიკის სახელით, ამიტომ წარმატებული შესვლა არაფერს გეუბნებათ იმაზე, თუ რომელმა მექანიზმმა შექმნა ის. მათი შედარების აზრი იმაშია, რომ შეგნებულად აირჩიოთ ერთი, ნაცვლად იმისა, რომ მეორემ ჩუმად გადაფაროს პირველი.

ორი მექანიზმი, ორი გადაწყვეტილების წერტილი

არჩევანი სამ კითხვამდე მიდის. დამოკიდებულია გადაწყვეტილება დირექტორიის ერთ ატრიბუტის მნიშვნელობაზე, სჭირდება მეტი ამ მნიშვნელობაზე, და რომელ მექანიზმს აქვს გამარჯვების უფლება, როცა ორივე ემთხვევა?

თუ ერთადერთი შეყვანა ჯგუფის წევრობაა, ატრიბუტების რუკა უფრო პატარა ინსტრუმენტია და უფრო ადვილი შესამოწმებელი: ერთი რუკა, მიბმული ერთ AAA სერვერზე, ერთი ხაზი თითო ჯგუფზე. თუ არჩევანმა უნდა გაითვალისწინოს მოწყობილობის მდგომარეობა, საბოლოო წერტილის იდენტობა, მეორე ატრიბუტი ან დროის ფანჯარა, რუკის შეყვანები ამოიწურება და DAP არის ის მექანიზმი, რომელსაც წესის გამოხატვა შეუძლია. თუ ორივე თამაშშია, ისწავლეთ პრიორიტეტი თქვენს გამოშვებაში, სანამ რომელიმეს დაწერთ, რადგან DAP ჩანაწერთან დამთხვეულმა სესიამ შეიძლება არ შეინარჩუნოს რუკის მიერ დაბრუნებული პოლიტიკა. დანარჩენი ბუღალტერიაა.

ატრიბუტების რუკის გზა, კონფიგურაციის რიგით

რუკის გზა იწყება AAA სერვერის განსაზღვრებიდან. ატრიბუტების რუკა უნდა იყოს მიბმული იმ LDAP სერვერის ჩანაწერზე, რომელსაც კავშირის პროფილი რეალურად იყენებს; რუკა, რომელიც მოქმედ კონფიგურაციაში არსებობს, მაგრამ ამ სერვერს არ მიუთითებია, არაფერს ცვლის. სწორედ ეს მიბმის ხაზი ხდის დანარჩენ კონფიგურაციას ცოცხალს. ASA-ს LDAP რუკების სახელმძღვანელო არის რუკის სინტაქსის ცნობარი 9.x გამოშვებებში.

რუკის შიგნით ერთი დებულება ასახელებს დირექტორიის ატრიბუტს და იმ ASA ატრიბუტს, რომელსაც ის კვებავს, ხოლო შემდგომი დებულებები კონკრეტულ მნიშვნელობებს თარგმნიან. map-name memberOf Group-Policy და მის შემდეგ map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly არის ფორმა: მარცხენა მხარე არის ის, რაც დირექტორიამ დააბრუნა, მარჯვენა მხარე არის ჯგუფური პოლიტიკის სახელი, რომელიც უკვე უნდა არსებობდეს. გამომყოფი სახელი და პოლიტიკის ჩვენების სახელი ურთიერთშემცვლელი არ არის, და თითქმის დამთხვევა ორივე სტრიქონში შესვლისას შეცდომას არ იწვევს.

აქ ორი დეტალი კბენს: memberOf აბრუნებს ყველა ჯგუფს, რომელშიც ანგარიშია, ამიტომ ორ რუკაზე დატანილ ჯგუფში მყოფი მომხმარებელი რუკას ორ კანდიდატ მნიშვნელობას აძლევს, და სახელმძღვანელოში მოცემული ანბანური წესი ერთადერთი თანაბარი შედეგის გადაწყვეტაა, რომელსაც შეგიძლიათ დაეყრდნოთ საკუთარი პრიორიტეტების რიგის ნაცვლად. რუკაზე არდადებული მნიშვნელობა არაფერს იძლევა, რაც ჩუმად უბრუნდება პროფილის ნაგულისხმევ პოლიტიკას.

DAP-ის გზა და რას ამატებს ის

DAP აფასებს პირობებს და იყენებს ატრიბუტებს AAA შედეგის ზემოთ. ჩანაწერი ატარებს პრიორიტეტს, მოქმედებას და პირობების ერთობლიობას; ჩანაწერები ფასდება პრიორიტეტის რიგით და მოქმედება წყვეტს, გრძელდება თუ ჩერდება შეფასება. ეს განსხვავებული შესრულების მოდელია მნიშვნელობის ძიებისგან, და სწორედ ამიტომ შეუძლია გამოხატოს წესები, რომლებსაც რუკა ვერ ახერხებს.

რასაც DAP ამატებს, შეყვანებია. პირობებს შეუძლიათ მიუთითონ დირექტორიის ატრიბუტებზე, საბოლოო წერტილის ატრიბუტებზე და მოწყობილობის მდგომარეობაზე, და დამთხვეულ ჩანაწერს შეუძლია ატაროს ACL, URL სიები ან ფილტრები ამ სესიისთვის. ასე რომ, წესი, მაგალითად, რომ მხარდაჭერის თანამშრომლები მართულ ნოუთბუქზე იღებენ მხოლოდ-წაკითხვის პოლიტიკას, ხოლო იგივე თანამშრომლები არამართულ მოწყობილობაზე შეზღუდულს, გამოსახულია DAP-ში და არა ატრიბუტების რუკაში. რუკას აქვს ზუსტად ერთი შეყვანა: მნიშვნელობა, რომელიც დირექტორიამ დააბრუნა თქვენ მიერ დასახელებული ატრიბუტისთვის.

DAP ასევე ამატებს მეორე ადგილს საყურებლად, როცა სესია არასწორ პოლიტიკაში ხვდება. გაგრძელების მოქმედებით დამთხვეული ჩანაწერი არ ამთავრებს შეფასებას, და მოგვიანებით ჩანაწერს ჯერ კიდევ შეუძლია შედეგის შეცვლა, ამიტომ რასაც აკვირდებით, ეს არის მიმდევრობის შედეგი და არა ერთი ძიების. წაიკითხეთ პრიორიტეტის ნომრები რიგით და გახსოვდეთ, რომ სარეზერვო ჩანაწერი შეიძლება იყოს ის, რომელიც აკეთებს საქმეს. რუკას კი მიმდევრობა არ აქვს: ერთი ატრიბუტი, ერთი მნიშვნელობა, ერთი პასუხი.

სად უთანხმდებიან ისინი

პრიორიტეტი ის ნაწილია, რომელიც ამსხვრევს დიზაინებს. როცა სესია ემთხვევა რუკის ჩანაწერსაც და DAP ჩანაწერსაც, შედეგი დამოკიდებულია გამოშვებაზე და ჩანაწერის მოქმედებაზე, ამიტომ შეამოწმეთ ის თქვენს ASA-ში, ნაცვლად იმისა, რომ ივარაუდოთ, რომ ერთ-ერთი მექანიზმი ფლობს შედეგს.

სამი წარუმატებლობის რეჟიმი ხსნის დაბნეულობის უმეტეს ნაწილს. რუკა, რომელიც განსაზღვრულია, მაგრამ არასოდეს მიბმულა იმ სერვერის ტეგზე, რომელსაც პროფილი იყენებს, იძლევა ნაგულისხმევ პოლიტიკას ყველგან შეცდომის გარეშე. DAP პირობის სტრიქონი, რომელიც განსხვავდება დირექტორიის მნიშვნელობისგან ასოების ზომით ან სივრცეებით, არასოდეს ემთხვევა, და სარეზერვო ჩანაწერი ჩუმად გამოიყენება. ხოლო ჯგუფური პოლიტიკა, რომელიც ჯერ არ არსებობს, რუკის მიერ მიიღება, რადგან რუკა მხოლოდ სახელს აბრუნებს, ამიტომ სესია ვერ იღებს არც ერთ განზრახ ნებართვას და ჟურნალში არაფერია, რაც აკლია ობიექტზე მიუთითებს. შეამოწმეთ სამივე სანამ ჯგუფის წევრობას შეეხებით.

მტკიცებულებების წაკითხვა ცოცხალი სესიიდან

წაიკითხეთ პასუხი ახალი სესიიდან და არა კონფიგურაციიდან. show vpn-sessiondb detail anyconnect filter name jdoe ბეჭდავს ჯგუფურ პოლიტიკას, რომელიც სესიამ რეალურად მიიღო, და show running-config ldap attribute-map ადასტურებს, რა მნიშვნელობები შეეძლო რუკას დაებრუნებინა. დირექტორიის მხარეს test aaa-server authentication LDAP-AD username jdoe password <password> აჩვენებს ატრიბუტებს, რომლებიც ASA-მ უკან მიიღო, და debug ldap 255 აჩვენებს გაცვლას, როცა ტესტი არ ემთხვევა თქვენს მოლოდინს.

შემდეგ წერილობით შეათანხმეთ ოთხი ჩანაწერი: დირექტორიის მნიშვნელობა, კონფიგურირებული რუკა ან DAP პირობა, ლოკალური ჯგუფური პოლიტიკა და რესურსი, რომელზეც მომხმარებელმა რეალურად შეძლო მისვლა. თუ პირველი სამი ემთხვევა, ხოლო მეოთხე არა, პრობლემა პოლიტიკის სხეულშია და არა არჩევანში. თუ სესია აჩვენებს სწორ პოლიტიკის სახელს, მაგრამ არასწორ ACL-ს, მთლიანად შეწყვიტეთ LDAP-ზე ყურება. შეცვალეთ ერთი ჩანაწერი ერთდროულად და ხელახლა შეამოწმეთ ახალი სესია, რადგან ხელახლა დაკავშირებული სესია ერთადერთი მტკიცებულებაა, რომელიც ასახავს ახლახან დაწერილ კონფიგურაციას.