VPN ಗುಂಪು ನೀತಿಗಾಗಿ ASA LDAP ಗುಂಪು ಮ್ಯಾಪಿಂಗ್ ವಿರುದ್ಧ DAP

ಎರಡು ಪ್ರತ್ಯೇಕ ದಾಖಲೆಗಳು AnyConnect ಸೆಷನ್ ಯಾವ ಗುಂಪು ನೀತಿಯನ್ನು ಪಡೆಯುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ, ಮತ್ತು ಅವು ಸಂರಚನೆಯ ವಿಭಿನ್ನ ಭಾಗಗಳಲ್ಲಿ ವಿಭಿನ್ನ ವೈಫಲ್ಯ ವಿಧಾನಗಳೊಂದಿಗೆ ಇರುತ್ತವೆ. LDAP ಗುಣಲಕ್ಷಣ ಮ್ಯಾಪ್ ದೃಢೀಕರಣದ ಸಮಯದಲ್ಲಿ ಡೈರೆಕ್ಟರಿಯ ಮೌಲ್ಯವನ್ನು ASA ಅಧಿಕಾರ ಗುಣಲಕ್ಷಣವಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ; DAP ದಾಖಲೆ ನಂತರ ಷರತ್ತುಗಳನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡುತ್ತದೆ ಮತ್ತು ಗುಣಲಕ್ಷಣಗಳನ್ನು ಸೇರಿಸಬಹುದು ಅಥವಾ ಬದಲಾಯಿಸಬಹುದು. ಎರಡೂ ಒಂದೇ ನೀತಿ ಹೆಸರಿನಲ್ಲಿ ಕೊನೆಗೊಳ್ಳಬಹುದು, ಆದ್ದರಿಂದ ಯಶಸ್ವಿ ಲಾಗಿನ್ ಯಾವ ವ್ಯವಸ್ಥೆ ಅದನ್ನು ಉತ್ಪಾದಿಸಿತು ಎಂದು ಹೇಳುವುದಿಲ್ಲ. ಅವುಗಳನ್ನು ಹೋಲಿಸುವ ಉದ್ದೇಶ ಎರಡನೆಯದು ಮೊದಲನೆಯದನ್ನು ಸದ್ದಿಲ್ಲದೆ ಮೀರಲು ಬಿಡುವ ಬದಲು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಒಂದನ್ನು ಆಯ್ಕೆ ಮಾಡುವುದು.

ಎರಡು ವ್ಯವಸ್ಥೆಗಳು, ಎರಡು ನಿರ್ಧಾರ ಬಿಂದುಗಳು

ಆಯ್ಕೆ ಮೂರು ಪ್ರಶ್ನೆಗಳಿಗೆ ಬರುತ್ತದೆ. ನಿರ್ಧಾರವು ಡೈರೆಕ್ಟರಿಯ ಒಂದೇ ಗುಣಲಕ್ಷಣ ಮೌಲ್ಯವನ್ನು ಅವಲಂಬಿಸಿದೆಯೇ, ಅದಕ್ಕೆ ಆ ಮೌಲ್ಯಕ್ಕಿಂತ ಹೆಚ್ಚು ಬೇಕೇ, ಮತ್ತು ಎರಡೂ ಹೊಂದಿದಾಗ ಯಾವ ವ್ಯವಸ್ಥೆಗೆ ಗೆಲ್ಲಲು ಅನುಮತಿ ಇದೆ?

ಏಕೈಕ ಇನ್ಪುಟ್ ಗುಂಪು ಸದಸ್ಯತ್ವವಾಗಿದ್ದರೆ, ಗುಣಲಕ್ಷಣ ಮ್ಯಾಪ್ ಚಿಕ್ಕ ಸಾಧನ ಮತ್ತು ಪರಿಶೀಲಿಸಲು ಸುಲಭವಾದದ್ದು: ಒಂದು ಮ್ಯಾಪ್, ಒಂದು AAA ಸರ್ವರ್ಗೆ ಜೋಡಿಸಲಾಗಿದೆ, ಪ್ರತಿ ಗುಂಪಿಗೆ ಒಂದು ಸಾಲು. ಆಯ್ಕೆಯು ಸಾಧನದ ಸ್ಥಿತಿ, ಎಂಡ್ಪಾಯಿಂಟ್ ಗುರುತು, ಎರಡನೇ ಗುಣಲಕ್ಷಣ ಅಥವಾ ಸಮಯ ವಿಂಡೋವನ್ನು ಪರಿಗಣಿಸಬೇಕಾದರೆ, ಮ್ಯಾಪ್ನ ಇನ್ಪುಟ್ಗಳು ಖಾಲಿಯಾಗುತ್ತವೆ ಮತ್ತು ನಿಯಮವನ್ನು ವ್ಯಕ್ತಪಡಿಸಬಲ್ಲ ವ್ಯವಸ್ಥೆ DAP. ಎರಡೂ ಆಟದಲ್ಲಿದ್ದರೆ, ಯಾವುದನ್ನಾದರೂ ಬರೆಯುವ ಮೊದಲು ನಿಮ್ಮ ಆವೃತ್ತಿಯಲ್ಲಿ ಆದ್ಯತೆಯನ್ನು ತಿಳಿಯಿರಿ, ಏಕೆಂದರೆ DAP ದಾಖಲೆಯೊಂದಿಗೆ ಹೊಂದುವ ಸೆಷನ್ ಮ್ಯಾಪ್ ಹಿಂತಿರುಗಿಸಿದ ನೀತಿಯನ್ನು ಉಳಿಸಿಕೊಳ್ಳದಿರಬಹುದು. ಉಳಿದದ್ದೆಲ್ಲಾ ಲೆಕ್ಕಪತ್ರ.

ಗುಣಲಕ್ಷಣ ಮ್ಯಾಪ್ನ ಮಾರ್ಗ, ಸಂರಚನಾ ಕ್ರಮದಲ್ಲಿ

ಮ್ಯಾಪ್ನ ಮಾರ್ಗ AAA ಸರ್ವರ್ ವ್ಯಾಖ್ಯಾನದಿಂದ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ. ಗುಣಲಕ್ಷಣ ಮ್ಯಾಪ್ ಸಂಪರ್ಕ ಪ್ರೊಫೈಲ್ ನಿಜವಾಗಿ ಬಳಸುವ LDAP ಸರ್ವರ್ ನಮೂದಿಗೆ ಜೋಡಿಸಲ್ಪಟ್ಟಿರಬೇಕು; ಚಾಲ್ತಿ ಸಂರಚನೆಯಲ್ಲಿ ಇದ್ದರೂ ಆ ಸರ್ವರ್ ಉಲ್ಲೇಖಿಸದ ಮ್ಯಾಪ್ ಏನನ್ನೂ ಬದಲಾಯಿಸುವುದಿಲ್ಲ. ಆ ಜೋಡಣಾ ಸಾಲೇ ಉಳಿದ ಸಂರಚನೆಯನ್ನು ಜೀವಂತವಾಗಿಸುತ್ತದೆ. ASA LDAP ಮ್ಯಾಪಿಂಗ್ ಮಾರ್ಗದರ್ಶಿ 9.x ಆವೃತ್ತಿಗಳಲ್ಲಿ ಮ್ಯಾಪ್ ವಾಕ್ಯರಚನೆಗೆ ಉಲ್ಲೇಖವಾಗಿದೆ.

ಮ್ಯಾಪ್ನ ಒಳಗೆ, ಒಂದು ಹೇಳಿಕೆ ಡೈರೆಕ್ಟರಿ ಗುಣಲಕ್ಷಣ ಮತ್ತು ಅದು ಪೋಷಿಸುವ ASA ಗುಣಲಕ್ಷಣವನ್ನು ಹೆಸರಿಸುತ್ತದೆ, ಮುಂದಿನ ಹೇಳಿಕೆಗಳು ನಿರ್ದಿಷ್ಟ ಮೌಲ್ಯಗಳನ್ನು ಅನುವಾದಿಸುತ್ತವೆ. map-name memberOf Group-Policy ಮತ್ತು ಅದರ ನಂತರ map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly ರೂಪವಾಗಿದೆ: ಎಡಭಾಗ ಡೈರೆಕ್ಟರಿ ಹಿಂತಿರುಗಿಸಿದ್ದು, ಬಲಭಾಗ ಈಗಾಗಲೇ ಅಸ್ತಿತ್ವದಲ್ಲಿರಬೇಕಾದ ಗುಂಪು ನೀತಿಯ ಹೆಸರು. ವಿಶಿಷ್ಟ ಹೆಸರು ಮತ್ತು ನೀತಿಯ ಪ್ರದರ್ಶನ ಹೆಸರು ಪರಸ್ಪರ ಬದಲಾಯಿಸಲಾಗದವು, ಮತ್ತು ಎರಡೂ ಸರಣಿಗಳಲ್ಲಿ ಸ್ವಲ್ಪ ವ್ಯತ್ಯಾಸವಿದ್ದರೂ ಲಾಗಿನ್ನಲ್ಲಿ ದೋಷ ಉಂಟಾಗುವುದಿಲ್ಲ.

ಇಲ್ಲಿ ಎರಡು ವಿಷಯಗಳು ಕಚ್ಚುತ್ತವೆ: memberOf ಖಾತೆ ಇರುವ ಪ್ರತಿಯೊಂದು ಗುಂಪನ್ನು ಹಿಂತಿರುಗಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಎರಡು ಮ್ಯಾಪ್ ಮಾಡಿದ ಗುಂಪುಗಳಲ್ಲಿರುವ ಬಳಕೆದಾರ ಮ್ಯಾಪ್ಗೆ ಎರಡು ಅಭ್ಯರ್ಥಿ ಮೌಲ್ಯಗಳನ್ನು ನೀಡುತ್ತಾನೆ, ಮತ್ತು ಮಾರ್ಗದರ್ಶಿಯಲ್ಲಿನ ವರ್ಣಮಾಲೆ ನಿಯಮವೇ ನಿಮ್ಮ ಸ್ವಂತ ಆದ್ಯತಾ ಕ್ರಮದ ಬದಲು ನೀವು ಅವಲಂಬಿಸಬಹುದಾದ ಏಕೈಕ ಟೈ-ಬ್ರೇಕ್. ಮ್ಯಾಪ್ ಮಾಡದ ಮೌಲ್ಯ ಏನನ್ನೂ ನೀಡುವುದಿಲ್ಲ, ಅದು ಸದ್ದಿಲ್ಲದೆ ಪ್ರೊಫೈಲ್ನ ಡೀಫಾಲ್ಟ್ ನೀತಿಗೆ ಮರಳುತ್ತದೆ.

DAP ಮಾರ್ಗ, ಮತ್ತು ಅದು ಏನನ್ನು ಸೇರಿಸುತ್ತದೆ

DAP ಷರತ್ತುಗಳನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡುತ್ತದೆ ಮತ್ತು AAA ಫಲಿತಾಂಶದ ಮೇಲೆ ಗುಣಲಕ್ಷಣಗಳನ್ನು ಅನ್ವಯಿಸುತ್ತದೆ. ದಾಖಲೆಯು ಆದ್ಯತೆ, ಕ್ರಿಯೆ ಮತ್ತು ಷರತ್ತುಗಳ ಗುಂಪನ್ನು ಹೊತ್ತಿರುತ್ತದೆ; ದಾಖಲೆಗಳು ಆದ್ಯತಾ ಕ್ರಮದಲ್ಲಿ ಮೌಲ್ಯಮಾಪನಗೊಳ್ಳುತ್ತವೆ ಮತ್ತು ಕ್ರಿಯೆಯು ಮೌಲ್ಯಮಾಪನ ಮುಂದುವರಿಯುತ್ತದೆಯೇ ಅಥವಾ ನಿಲ್ಲುತ್ತದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಇದು ಮೌಲ್ಯ ಹುಡುಕಾಟಕ್ಕಿಂತ ಬೇರೆ ಕಾರ್ಯನಿರ್ವಾಹಕ ಮಾದರಿ, ಮತ್ತು ಅದಕ್ಕಾಗಿಯೇ ಮ್ಯಾಪ್ ವ್ಯಕ್ತಪಡಿಸಲಾಗದ ನಿಯಮಗಳನ್ನು ವ್ಯಕ್ತಪಡಿಸಬಲ್ಲದು.

DAP ಸೇರಿಸುವುದು ಇನ್ಪುಟ್ಗಳನ್ನು. ಷರತ್ತುಗಳು ಡೈರೆಕ್ಟರಿ ಗುಣಲಕ್ಷಣಗಳು, ಎಂಡ್ಪಾಯಿಂಟ್ ಗುಣಲಕ್ಷಣಗಳು ಮತ್ತು ಸಾಧನದ ಸ್ಥಿತಿಯನ್ನು ಉಲ್ಲೇಖಿಸಬಹುದು, ಮತ್ತು ಹೊಂದುವ ದಾಖಲೆಯು ಆ ಸೆಷನ್ಗೆ ACL, URL ಪಟ್ಟಿಗಳು ಅಥವಾ ಫಿಲ್ಟರ್ಗಳನ್ನು ಹೊತ್ತಿರಬಹುದು. ಹೀಗಾಗಿ ನಿರ್ವಹಿತ ಲ್ಯಾಪ್ಟಾಪ್ನಲ್ಲಿರುವ ಬೆಂಬಲ ಸಿಬ್ಬಂದಿಗೆ ಓದಲು-ಮಾತ್ರ ನೀತಿ ಸಿಗುತ್ತದೆ ಮತ್ತು ಅದೇ ಸಿಬ್ಬಂದಿಗೆ ನಿರ್ವಹಿಸದ ಸಾಧನದಲ್ಲಿ ನಿರ್ಬಂಧಿತ ನೀತಿ ಸಿಗುತ್ತದೆ ಎಂಬ ನಿಯಮವನ್ನು DAP ನಲ್ಲಿ ವ್ಯಕ್ತಪಡಿಸಬಹುದು, ಗುಣಲಕ್ಷಣ ಮ್ಯಾಪ್ನಲ್ಲಿ ಅಲ್ಲ. ಮ್ಯಾಪ್ಗೆ ನಿಖರವಾಗಿ ಒಂದು ಇನ್ಪುಟ್ ಇದೆ: ನೀವು ಹೆಸರಿಸಿದ ಗುಣಲಕ್ಷಣಕ್ಕೆ ಡೈರೆಕ್ಟರಿ ಹಿಂತಿರುಗಿಸಿದ ಮೌಲ್ಯ.

ಸೆಷನ್ ತಪ್ಪು ನೀತಿಗೆ ಬಿದ್ದಾಗ ನೋಡಲು DAP ಎರಡನೇ ಸ್ಥಳವನ್ನೂ ಸೇರಿಸುತ್ತದೆ. ಮುಂದುವರಿಸುವ ಕ್ರಿಯೆಯೊಂದಿಗೆ ಹೊಂದುವ ದಾಖಲೆ ಮೌಲ್ಯಮಾಪನವನ್ನು ಮುಗಿಸುವುದಿಲ್ಲ, ಮತ್ತು ನಂತರದ ದಾಖಲೆ ಫಲಿತಾಂಶವನ್ನು ಬದಲಾಯಿಸಬಹುದು, ಆದ್ದರಿಂದ ನೀವು ಗಮನಿಸುವುದು ಒಂದು ಅನುಕ್ರಮದ ಫಲಿತಾಂಶ, ಒಂದೇ ಹುಡುಕಾಟದ್ದಲ್ಲ. ಆದ್ಯತಾ ಸಂಖ್ಯೆಗಳನ್ನು ಕ್ರಮವಾಗಿ ಓದಿ, ಮತ್ತು ಕೆಲಸ ಮಾಡುತ್ತಿರುವುದು ಬ್ಯಾಕಪ್ ದಾಖಲೆಯಾಗಿರಬಹುದು ಎಂದು ನೆನಪಿಡಿ. ಮ್ಯಾಪ್ಗೆ ಆದರೆ ಯಾವುದೇ ಅನುಕ್ರಮವಿಲ್ಲ: ಒಂದು ಗುಣಲಕ್ಷಣ, ಒಂದು ಮೌಲ್ಯ, ಒಂದು ಉತ್ತರ.

ಎರಡೂ ಒಪ್ಪದ ಸ್ಥಳ

ಆದ್ಯತೆಯೇ ವಿನ್ಯಾಸಗಳನ್ನು ಮುರಿಯುವ ಭಾಗ. ಸೆಷನ್ ಮ್ಯಾಪ್ ನಮೂದು ಮತ್ತು DAP ದಾಖಲೆ ಎರಡಕ್ಕೂ ಹೊಂದಿದಾಗ, ಫಲಿತಾಂಶವು ಆವೃತ್ತಿ ಮತ್ತು ದಾಖಲೆಯ ಕ್ರಿಯೆಯನ್ನು ಅವಲಂಬಿಸಿರುತ್ತದೆ, ಆದ್ದರಿಂದ ಯಾವುದೋ ಒಂದು ವ್ಯವಸ್ಥೆ ಫಲಿತಾಂಶವನ್ನು ಹೊಂದಿದೆ ಎಂದು ಊಹಿಸುವ ಬದಲು ನಿಮ್ಮದೇ ASA ನಲ್ಲಿ ಪರಿಶೀಲಿಸಿ.

ಮೂರು ವೈಫಲ್ಯ ವಿಧಾನಗಳು ಹೆಚ್ಚಿನ ಗೊಂದಲವನ್ನು ವಿವರಿಸುತ್ತವೆ. ವ್ಯಾಖ್ಯಾನಿಸಲಾದರೂ ಪ್ರೊಫೈಲ್ ಬಳಸುವ ಸರ್ವರ್ ಟ್ಯಾಗ್ಗೆ ಎಂದಿಗೂ ಜೋಡಿಸದ ಮ್ಯಾಪ್ ಎಲ್ಲಿಯೂ ಯಾವುದೇ ದೋಷವಿಲ್ಲದೆ ಡೀಫಾಲ್ಟ್ ನೀತಿಯನ್ನು ನೀಡುತ್ತದೆ. ಡೈರೆಕ್ಟರಿ ಮೌಲ್ಯದಿಂದ ಸಣ್ಣಪ್ಪಟ್ಟು ಅಥವಾ ಜಾಗಗಳಲ್ಲಿ ಭಿನ್ನವಾಗಿರುವ DAP ಷರತ್ತು ಸರಣಿ ಎಂದಿಗೂ ಹೊಂದುವುದಿಲ್ಲ, ಮತ್ತು ಬ್ಯಾಕಪ್ ದಾಖಲೆ ಸದ್ದಿಲ್ಲದೆ ಅನ್ವಯವಾಗುತ್ತದೆ. ಮತ್ತು ಇನ್ನೂ ಇಲ್ಲದ ಗುಂಪು ನೀತಿಯನ್ನು ಮ್ಯಾಪ್ ಸ್ವೀಕರಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ಮ್ಯಾಪ್ ಕೇವಲ ಹೆಸರನ್ನು ಹಿಂತಿರುಗಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಸೆಷನ್ಗೆ ಉದ್ದೇಶಿತ ಅನುಮತಿಗಳಲ್ಲಿ ಒಂದೂ ಸಿಗುವುದಿಲ್ಲ ಮತ್ತು ಲಾಗ್ನಲ್ಲಿ ಕಾಣೆಯಾದ ವಸ್ತುವನ್ನು ತೋರಿಸುವ ಯಾವುದೂ ಇಲ್ಲ. ಗುಂಪು ಸದಸ್ಯತ್ವವನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಮೂರನ್ನೂ ಪರಿಶೀಲಿಸಿ.

ಜೀವಂತ ಸೆಷನ್ನಿಂದ ಸಾಕ್ಷ್ಯಗಳನ್ನು ಓದುವುದು

ಉತ್ತರವನ್ನು ಸಂರಚನೆಯಿಂದಲ್ಲ, ಹೊಸ ಸೆಷನ್ನಿಂದ ಓದಿ. show vpn-sessiondb detail anyconnect filter name jdoe ಸೆಷನ್ ನಿಜವಾಗಿ ಪಡೆದ ಗುಂಪು ನೀತಿಯನ್ನು ಮುದ್ರಿಸುತ್ತದೆ, ಮತ್ತು show running-config ldap attribute-map ಮ್ಯಾಪ್ ಯಾವ ಮೌಲ್ಯಗಳನ್ನು ಹಿಂತಿರುಗಿಸಬಹುದಿತ್ತು ಎಂದು ದೃಢೀಕರಿಸುತ್ತದೆ. ಡೈರೆಕ್ಟರಿ ಬದಿಯಲ್ಲಿ, test aaa-server authentication LDAP-AD username jdoe password <password> ASA ಹಿಂತಿರುಗಿ ಪಡೆದ ಗುಣಲಕ್ಷಣಗಳನ್ನು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು debug ldap 255 ಪರೀಕ್ಷೆಯು ನಿಮ್ಮ ನಿರೀಕ್ಷೆಗೆ ಹೊಂದದಿದ್ದಾಗ ವಿನಿಮಯವನ್ನು ತೋರಿಸುತ್ತದೆ.

ನಂತರ ನಾಲ್ಕು ದಾಖಲೆಗಳನ್ನು ಲಿಖಿತವಾಗಿ ಹೊಂದಿಸಿ: ಡೈರೆಕ್ಟರಿ ಮೌಲ್ಯ, ಸಂರಚಿತ ಮ್ಯಾಪ್ ಅಥವಾ DAP ಷರತ್ತು, ಸ್ಥಳೀಯ ಗುಂಪು ನೀತಿ ಮತ್ತು ಬಳಕೆದಾರ ನಿಜವಾಗಿ ತಲುಪಿದ ಸಂಪನ್ಮೂಲ. ಮೊದಲ ಮೂರು ಹೊಂದಿದರೆ ಮತ್ತು ನಾಲ್ಕನೆಯದು ಹೊಂದದಿದ್ದರೆ, ಸಮಸ್ಯೆ ಆಯ್ಕೆಯಲ್ಲ, ನೀತಿಯ ಮುಖ್ಯ ಭಾಗದಲ್ಲಿದೆ. ಸೆಷನ್ ಸರಿಯಾದ ನೀತಿ ಹೆಸರನ್ನು ತೋರಿಸಿದರೂ ತಪ್ಪು ACL ತೋರಿಸಿದರೆ, LDAP ನೋಡುವುದನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ನಿಲ್ಲಿಸಿ. ಒಂದೊಂದಾಗಿ ಒಂದು ದಾಖಲೆ ಬದಲಿಸಿ ಮತ್ತು ಹೊಸ ಸೆಷನ್ ಮತ್ತೆ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಮತ್ತೆ ಸಂಪರ್ಕಗೊಂಡ ಸೆಷನ್ ಮಾತ್ರ ನೀವು ಈಗ ಬರೆದ ಸಂರಚನೆಯನ್ನು ಪ್ರತಿಬಿಂಬಿಸುವ ಸಾಕ್ಷ್ಯ.