VPN топтук саясаты үчүн ASA ичиндеги LDAP топторун карталоо жана DAP

AnyConnect сессиясы кайсы топтук саясатты аларын эки өзүнчө жазуу чечет жана алар конфигурациянын ар кайсы бөлүктөрүндө, ар кайсы ийгиликсиздик режимдери менен жайгашкан. LDAP атрибут картасы аутентификация учурунда каталогдун маанисин ASA авторизация атрибутуна айландырат; DAP жазуусу кийин шарттарды баалайт жана атрибуттарды кошо алат же кайра жаза алат. Экөө тең бир саясат аты менен бүтүшү мүмкүн, ошондуктан иштеген кирүү кайсы механизм жаратканын айта албайт. Аларды салыштыруунун мааниси экинчисинин биринчисин үнсүз басып кетишине жол бербей, бирин атайылап тандоо.

Эки механизм, эки чечим чекити

Тандоо үч суроого келет. Чечим каталогдун бир гана атрибут маанисине көз карандыбы, ага ошол мааниден көбүрөөк керекпи, жана экөө тең дал келгенде кайсы механизмге жеңүүгө уруксат берилет?

Эгер жалгыз кирүү топ мүчөлүгү болсо, атрибут картасы кичирээк курал жана текшерүүгө оңой: бир карта, бир AAA серверине байланган, ар бир топ үчүн бир сап. Эгер тандоо түзмөктүн абалын, акыркы чекиттин инсандыгын, экинчи атрибутту же убакыт терезесин эске алышы керек болсо, картанын кирүүлөрү бүтөт жана эрежени туюндура алган механизм DAP. Экөө тең оюнда болсо, экөөнү жазардан мурун өз чыгарылышыңыздагы артыкчылыкты билип алыңыз, анткени DAP жазуусуна дал келген сессия карта кайтарган саясатты сактабашы мүмкүн. Калганынын баары эсеп.

Атрибут картасынын жолу, конфигурация тартибинде

Картанын жолу AAA серверинин аныктамасынан башталат. Атрибут картасы туташуу профили чындыгында колдонгон LDAP сервер жазуусуна байланышы керек; иштеп жаткан конфигурацияда бар болсо да, ал сервер шилтеме бербеген карта эч нерсени өзгөртпөйт. Ошол байлоо сабы калган конфигурацияны тирилтет. ASA LDAP карталоо боюнча колдонмо 9.x чыгарылыштарындагы карта синтаксиси үчүн шилтеме болуп саналат.

Картанын ичинде бир билдирүү каталог атрибутун жана ал азыктандырган ASA атрибутун атайт, кийинки билдирүүлөр белгилүү маанилерди которот. map-name memberOf Group-Policy жана андан кийинки map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly форма болуп саналат: сол жагы каталог кайтарган нерсе, оң жагы мурунтан бар болушу керек болгон топтук саясаттын аты. Айырмалоочу ат жана саясаттын көрсөтүү аты алмашылбайт, жана эки саптын кайсынысында болбосун дээрлик дал келүү кирүүдө ката чыгарбайт.

Бул жерде эки нерсе тиштеп алат: memberOf аккаунт кирген ар бир топту кайтарат, ошондуктан эки карталанган топтогу колдонуучу картага эки талапкер маани берет, ал эми колдонмодогу алфавит эрежеси өзүңүздүн артыкчылык тартибиңиздин ордуна таяна турган жалгыз теңдик чечими. Карталанбаган маани эч нерсе бербейт, ал үнсүз түрдө профилдин демейки саясатына кайтат.

DAP жолу жана ал эмнени кошот

DAP шарттарды баалайт жана AAA натыйжасынын үстүнө атрибуттарды колдонот. Жазуу артыкчылыкты, аракетти жана шарттардын жыйындысын алып жүрөт; жазуулар артыкчылык тартибинде бааланат жана аракет баалоо улантабы же токтойбу экенин чечет. Бул маани издөөдөн башка аткаруу модели, ошондуктан карта туюндура албаган эрежелерди туюндура алат.

DAP кошкон нерсе кирүүлөр. Шарттар каталог атрибуттарына, акыркы чекит атрибуттарына жана түзмөктүн абалына шилтеме бере алат, ал эми дал келген жазуу ошол сессия үчүн ACL, URL тизмелерин же фильтрлерди алып жүрүшү мүмкүн. Ошентип, башкарылуучу ноутбуктагы колдоо кызматкерлери окуу үчүн гана саясатты алышат, ал эми ошол эле кызматкерлер башкарылбаган түзмөктө чектелген саясатты алышат деген эрежени DAPта туюндурууга болот, атрибут картасында эмес. Картада так бир кирүү бар: каталог сиз атаган атрибут үчүн кайтарган маани.

DAP ошондой эле сессия туура эмес саясатка түшкөндө кароочу экинчи орунду кошот. Улантуу аракети менен дал келген жазуу баалоону бүтүрбөйт, жана кийинки жазуу натыйжаны дагы өзгөртүшү мүмкүн, ошондуктан сиз байкаган нерсе ырааттуулуктун натыйжасы, бир издөөнүн эмес. Артыкчылык сандарын тартип менен окуңуз жана ишти камдык жазуу аткарып жаткан болушу мүмкүн экенин унутпаңыз. Картада болсо эч кандай ырааттуулук жок: бир атрибут, бир маани, бир жооп.

Экөө кайсы жерде макул эмес

Артыкчылык долбоорлорду буза турган бөлүк. Сессия карта жазуусуна да, DAP жазуусуна да дал келгенде, натыйжа чыгарылышка жана жазуунун аракетине көз каранды, ошондуктан механизмдердин бири натыйжага ээ деп болжолдоонун ордуна аны өз ASAңызда текшериңиз.

Үч ийгиликсиздик режими башаламандыктын көп бөлүгүн түшүндүрөт. Аныкталган, бирок профиль колдонгон сервер тегине эч качан байланбаган карта эч жерде катасыз демейки саясатты берет. Каталог маанисинен тамга регистри же боштуктар боюнча айырмаланган DAP шарт сабы эч качан дал келбейт жана камдык жазуу үнсүз колдонулат. Ал эми али жок топтук саясатты карта кабыл алат, анткени карта атын гана кайтарат, ошондуктан сессия көздөлгөн уруксаттардын бирин да албайт жана журналда жок объектини көрсөткөн эч нерсе болбойт. Топ мүчөлүгүнө тийүүдөн мурун үчөөнү тең текшериңиз.

Тирүү сессиядан далилдерди окуу

Жоопту конфигурациядан эмес, жаңы сессиядан окуңуз. show vpn-sessiondb detail anyconnect filter name jdoe сессия чындыгында алган топтук саясатты басып чыгарат, ал эми show running-config ldap attribute-map карта кайсы маанилерди кайтара алганын ырастайт. Каталог тарабында test aaa-server authentication LDAP-AD username jdoe password <password> ASA кайра алган атрибуттарды көрсөтөт, ал эми debug ldap 255 тест күткөнүңүзгө дал келбегенде алмашууну көрсөтөт.

Андан кийин төрт жазууну жазуу түрүндө шайкештештириңиз: каталогдун мааниси, конфигурацияланган карта же DAP шарты, жергиликтүү топтук саясат жана колдонуучу чындыгында жете алган ресурс. Эгер биринчи үчөө дал келсе, төртүнчүсү келбесе, маселе тандоодо эмес, саясаттын негизги бөлүгүндө. Эгер сессия туура саясат атын, бирок туура эмес ACL көрсөтсө, LDAPка кароону толугу менен токтотуңуз. Бир убакта бир жазууну өзгөртүп, жаңы сессияны кайра текшериңиз, анткени кайра туташкан сессия гана жаңы жазган конфигурацияңызды чагылдырган далил.