ASA 그룹 별칭과 그룹 URL: 프로파일이 선택되는 방식

연결 프로파일은 ASA가 그것을 선택한 뒤에야 세션을 제어합니다. 이 한 문장이 클라이언트 없는 구형 포털의 문제 해결 모델 전체입니다. 사용되지 않는 프로파일은 완벽한 접근 규칙을 갖고도 누구에게도 적용되지 않을 수 있습니다. 어떤 정책이든 수정하기 전에 로그인 진입 지점을 추적하십시오.

아래 구분은 9.16 문서를 따릅니다. 클라이언트 없는 SSL VPN은 9.17(1) 이후 제거되었습니다.

별칭은 목록 항목이며 URL이 아닙니다

group-alias은 로그인 페이지의 그룹 목록에서 사용자가 고르는 레이블을 제공합니다. 그 목록을 보여줄지는 별도 설정인 tunnel-group-list enable입니다. 별칭은 선택용 이름일 뿐 그 이상이 아닙니다. staff라는 별칭을 설정해도 프로파일을 선택하는 /staff URL이 생기지 않습니다.

브라우저 안에서는 목록과 URL이 같은 선택처럼 보이기 때문에 사람들은 별칭이 두 역할을 한다고 기대합니다.

group-url이 실제로 일치시키는 것

group-url는 들어오는 URL을 연결 프로파일에 묶습니다. 활성화된 그 URL이 일치하면 ASA는 사용자에게 목록에서 고르라고 요구하지 않고 프로파일을 선택합니다. URL은 사용 중인 릴리스가 지원하는 구문으로 된, 의도한 완전한 주소여야 합니다. 그 DNS 레코드와 인증서가 사용자가 입력하는 것과 일치해야 하며, 그렇지 않으면 일치는 일어나지 않습니다.

복사한 URL 접미사는 구성에 대해 아무것도 증명하지 않습니다. 주소 표시줄이 아니라 프로파일을 확인하십시오.

선택에서 실행되는 정책까지 따라가십시오

터널 그룹이 선택되면 장비는 인증 방법과 그에 연결된 기본 그룹 정책을 결정합니다. 그다음 사용자별 속성, 인증이 반환하는 값, 그리고 동적 권한 부여가 그 기준의 일부를 덮어쓸 수 있습니다. 세션이 실제로 무엇을 받았는지 확인하십시오. 이름 있는 정책만 읽으면 기준을 알 수 있을 뿐 결과는 아닙니다.

이 둘 사이의 간격이 «규칙은 맞는데 접근이 틀리다»는 보고의 대부분이 나오는 곳입니다.

상속은 격리가 아닙니다

지정하지 않은 속성은 기본 그룹 정책에서 상속될 수 있습니다. 따라서 새로 만든 이름 있는 정책은 공유 기본값에서 분리되어 있지 않고, 그 기본값을 수정하면 상속하는 모든 프로파일에 도달합니다. 프로파일별로 실제 리소스 접근, DNS 설정, 세션 제한을 비교하십시오. 공유 항목을 바꾸기 전에 그렇게 하십시오.

접근 적용을 선택과 분리해 두십시오.

클라이언트 없는 세션에 적용되는 필터는 webtype ACL입니다. 터널 클라이언트용 VPN 필터는 구성에서 같은 정책 블록 근처에 있다는 이유만으로 대체물이 되지 않습니다.

일치하지 않는 경우를 정하고 나서 모든 경로를 시험하십시오

포털의 일반 URL과 일치하지 않는 다른 진입 지점에서 무엇이 일어나야 하는지 정하십시오. 테스트 계정 하나를 통과시키려고 공유 기본값을 고치는 대신 실제 기본 프로파일 경로와 그 권한 부여를 보십시오. 그런 다음 새 세션 셋을 엽니다. 명시적 URL, 활성화된 목록 항목, 일반 진입 지점입니다. 각각에 대해 선택된 프로파일과 실제 정책을 기록하십시오.

이전 로그인의 브라우저 탭을 다시 쓰면 비교가 망가집니다. 그 세션은 이미 프로파일에 묶여 있기 때문입니다.

그 기록은 «포털이 열린다»를 나중에 감사할 수 있는 로그인-정책 매핑으로 바꿔 주며, 프로파일이 올바르게 보이는데 아무도 제어하지 않을 때 유일하게 지속되는 답입니다.