ASA ішіндегі LDAP топтарын салыстыру және VPN топтық саясаты үшін DAP

AnyConnect сессиясының қандай топтық саясат алатынын екі бөлек жазба шешеді және олар конфигурацияның әртүрлі бөліктерінде, әртүрлі сәтсіздік режимдерімен орналасқан. LDAP атрибут картасы аутентификация кезінде каталог мәнін ASA авторизация атрибутына айналдырады; DAP жазбасы кейін шарттарды бағалайды және атрибуттарды қосуға немесе қайта жазуға болады. Екеуі де бір саясат атауымен аяқталуы мүмкін, сондықтан жұмыс істейтін кіру қай механизм жасағаны туралы ештеңе айтпайды. Оларды салыстырудың мәні екіншісінің біріншісін үнсіз басып кетуіне жол бермей, бірін саналы түрде таңдау.

Екі механизм, екі шешім нүктесі

Таңдау үш сұраққа саяды. Шешім каталогтың бір ғана атрибут мәніне тәуелді ме, оған сол мәннен артық керек пе, және екеуі сәйкес келгенде қай механизмге жеңуге рұқсат етіледі?

Егер жалғыз кіріс топ мүшелігі болса, атрибут картасы кішірек құрал және тексеруге оңайырақ: бір карта, бір AAA серверіне байланған, әр топ үшін бір жол. Егер таңдау құрылғы күйін, соңғы нүктенің сәйкестігін, екінші атрибутты немесе уақыт терезесін ескеруі керек болса, картаның кірістері сарқылады және ережені білдіре алатын механизм DAP. Екеуі де ойында болса, екеуін жазар алдында өз шығарылымыңыздағы басымдықты біліп алыңыз, өйткені DAP жазбасына сәйкес келген сессия карта қайтарған саясатты сақтамауы мүмкін. Қалғанының бәрі есеп.

Атрибут картасының жолы, конфигурация ретімен

Картаның жолы AAA серверінің анықтамасынан басталады. Атрибут картасы қосылым профилі шын мәнінде қолданатын LDAP сервер жазбасына байлануы керек; жұмыс конфигурациясында бар болса да, сол сервер сілтемейтін карта ештеңені өзгертпейді. Дәл сол байлау жолы қалған конфигурацияны тірілтеді. ASA LDAP карталау нұсқаулығы 9.x шығарылымдарындағы карта синтаксисінің анықтамасы болып табылады.

Картаның ішінде бір мәлімдеме каталог атрибутын және ол қоректендіретін ASA атрибутын атайды, келесі мәлімдемелер нақты мәндерді түрлендіреді. map-name memberOf Group-Policy және одан кейінгі map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly пішін болып табылады: сол жағы каталог қайтарған нәрсе, оң жағы бұрыннан болуы керек топтық саясаттың атауы. Айрықша атау мен саясаттың көрсетілетін атауы өзара алмаспайды, және екі жолдың қайсысында да болса дерлік сәйкестік кіру кезінде қате туғызбайды.

Мұнда екі бөлшек тістеп алады: memberOf аккаунт кіретін әр топты қайтарады, сондықтан екі карталанған топтағы пайдаланушы картаға екі кандидат мән береді, ал нұсқаулықтағы әліпби ережесі өз басымдық ретіңіздің орнына сенуге болатын жалғыз теңдік шешімі. Карталанбаған мән ештеңе бермейді, ол үнсіз профильдің әдепкі саясатына оралады.

DAP жолы және ол не қосады

DAP шарттарды бағалайды және AAA нәтижесінің үстіне атрибуттарды қолданады. Жазба басымдықты, әрекетті және шарттар жиынын алып жүреді; жазбалар басымдық ретімен бағаланады және әрекет бағалаудың жалғасатынын немесе тоқтайтынын шешеді. Бұл мән іздеуден өзгеше орындау моделі, және дәл сондықтан карта білдіре алмайтын ережелерді білдіре алады.

DAP қосатыны кірістер. Шарттар каталог атрибуттарына, соңғы нүкте атрибуттарына және құрылғы күйіне сілтей алады, ал сәйкес келген жазба сол сессия үшін ACL, URL тізімдерін немесе сүзгілерді алып жүруі мүмкін. Осылайша, басқарылатын ноутбуктағы қолдау қызметкерлері тек оқу саясатын алады, ал сол қызметкерлер басқарылмайтын құрылғыда шектеулі саясат алады деген ережені DAP-та білдіруге болады, атрибут картасында емес. Картада дәл бір кіріс бар: каталог сіз атаған атрибут үшін қайтарған мән.

DAP сонымен қатар сессия қате саясатқа түскенде қарайтын екінші орын қосады. Жалғастыру әрекетімен сәйкес келген жазба бағалауды аяқтамайды, және кейінгі жазба нәтижені әлі де өзгерте алады, сондықтан сіз байқаған нәрсе реттіліктің нәтижесі, бір іздеудің емес. Басымдық нөмірлерін ретімен оқыңыз және жұмысты қосалқы жазба атқаруы мүмкін екенін ұмытпаңыз. Ал картада реттілік жоқ: бір атрибут, бір мән, бір жауап.

Екеуі қай жерде келіспейді

Басымдық дизайнды бұзатын бөлік. Сессия карта жазбасына да, DAP жазбасына да сәйкес келгенде, нәтиже шығарылымға және жазбаның әрекетіне тәуелді, сондықтан механизмдердің бірі нәтижені иемденеді деп болжаудың орнына оны өз ASA-ыңызда тексеріңіз.

Үш сәтсіздік режимі шатасудың көп бөлігін түсіндіреді. Анықталған, бірақ профиль қолданатын сервер тегіне ешқашан байланбаған карта еш жерде қатесіз әдепкі саясатты береді. Каталог мәнінен әріп регистрі немесе бос орындар бойынша ерекшеленетін DAP шарт жолы ешқашан сәйкес келмейді және қосалқы жазба үнсіз қолданылады. Ал әлі жоқ топтық саясатты карта қабылдайды, өйткені карта тек атау қайтарады, сондықтан сессия көзделген рұқсаттардың ешқайсысын алмайды және журналда жоқ объектіні көрсететін ештеңе болмайды. Топ мүшелігіне қол тигізбес бұрын үшеуін де тексеріңіз.

Тірі сессиядан дәлелдерді оқу

Жауапты конфигурациядан емес, жаңа сессиядан оқыңыз. show vpn-sessiondb detail anyconnect filter name jdoe сессия шын мәнінде алған топтық саясатты басып шығарады, ал show running-config ldap attribute-map карта қандай мәндерді қайтара алатынын растайды. Каталог жағында test aaa-server authentication LDAP-AD username jdoe password <password> ASA қайтарып алған атрибуттарды көрсетеді, ал debug ldap 255 тест күткеніңізге сәйкес келмегенде алмасуды көрсетеді.

Содан кейін төрт жазбаны жазбаша келістіріңіз: каталог мәні, конфигурацияланған карта немесе DAP шарты, жергілікті топтық саясат және пайдаланушы шын мәнінде жете алған ресурс. Егер алғашқы үшеуі сәйкес келіп, төртіншісі келмесе, мәселе таңдауда емес, саясаттың негізгі бөлігінде. Егер сессия дұрыс саясат атауын, бірақ қате ACL көрсетсе, LDAP-қа қарауды толығымен тоқтатыңыз. Бір уақытта бір жазбаны өзгертіп, жаңа сессияны қайта тексеріңіз, өйткені қайта қосылған сессия жаңа жазған конфигурацияңызды көрсететін жалғыз дәлел.