ASA-LDAP-Gruppenzuordnung géint DAP fir VPN-Gruppepolitik

Zwou getrennte Opzeechnunge entscheeden, wéi eng Gruppepolitik eng AnyConnect-Sëtzung kritt, an si leien op verschiddenen Dichttsteller vun der Konfiguratioun mat verschiddene Feelermodus. Eng LDAP-Attributmap iwwersetzt wärend der Authentifikatioun e Verzeechniswäert an en ASA-Autorisatiounsattribut; eng DAP-Opzeechnung evaluéiert duerno Bedingunge a kann Attributer derbäisetzen oder iwwerschreiwen. Béid kënnen um selwechten Numm vun der Politik ophalen, dofir seet eng Aarbechtsverbindung, déi funktionnéiert, Iech näischt doriwwer, wéi ee Mechanismus se produzéiert huet. De Sënn vum Verglach ass, bewosst ee vun deenen zwee ze wielen, amplaz deen zweeten deen éischten hannerrücks iwwerstëmmen ze loossen.

Zwee Mechanismen, zwee Entsceedungspunkten

D'Wiel reduzéiert sech op dräi Froen. Hängt d'Entsceedung vun engem eenzegen Attributwäert aus dem Verzeechnis of, brauch si méi wéi dee Wäert, a wéi ee Mechanismus däerf gewannen, wa béid passen?

Wann deen eenzegen Input d'Memberzuel an enger Grupp ass, ass d'Attributmap dat klengt Instrument an datjeneegt, dat sech méi einfach auditoren léisst: eng Map, un en eenzegen AAA-Server gebonnen, mat enger Linn pro Grupp. Wann d'Wiel de Postur, d'Identitéit vum Endpunkt, en zweeten Attribut oder en Zäitfenster muss berécksichtegen, geet der Map den Input aus, an DAP ass dee Mechanismus, dee Regel ausdrécke kann. Wa béid am Spill sinn, léisst d'Präzedenz op Ärer Versioun kennt, ier Dir eng vun deenen zwee schreift, well eng Sëtzung, déi op eng DAP-Opzeechnung passt, vläicht net d'Politik behält, déi d'Map zréckginn huet. Alles anescht ass Buchhaltung.

De Wee vun der Attributmap, an der Konfiguratiounsuerdnung

De Wee vun der Map fänkt bei der Definitioun vum AAA-Server un. D'Attributmap muss un déi LDAP-Serveropzeechnung gebonnen sinn, déi de Verbindungsprofil tatsächlech benotzt; eng Map, déi an der lafender Konfiguratioun existéiert, awer vun deem Server net referenzéiert gëtt, ännert näischt. Genee déi Verbindungszeil mécht de Rescht vun der Konfiguratioun lieweg. Den ASA-LDAP-Zuordnungsguide ass d'Referenz fir d'Mapsyntax an den Versiounen 9.x.

Bannen an der Map nennt eng Ausso den Attribut aus dem Verzeechnis an den ASA-Attribut, deen en erniert, an aner Aussoe iwwersetzen bestëmmte Wäerter. map-name memberOf Group-Policy gefollegt vun map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly ass d'Form: déi lénks Säit ass deem, wat d'Verzeechnis zréckginn huet, déi riets Säit ass den Numm vun enger Gruppepolitik, déi schonn existéiere muss. En ënnerscheedlechen Numm an en Anzeigenumm vun enger Politik sinn net auswiesselbar, an eng bal Iwwereneestëmmung an enger vun deenen zwee Zeecheketten produzéiert keng Feeler beim Login.

Zwee Detailer bäissen hei: memberOf gëtt all Grupp zréck, an där de Kont ass, dofir gëtt en Benotzer an zwou gemappte Gruppe gëtt der Map zwee Kandidatwäerter, an déi alphabetesch Regel am Guide ass déi eenzeg Gläichstandsentscheedung, op déi Dir Iech kënnt verloossen, amplaz vun Ärer eegener Prioritéitsuerdnung. E Wäert, deen net gemappt ass, gëtt näischt, wat roueg op d'Standardpolitik vum Profil zréckfält.

Den DAP-Wee, a wat en derbäisetzt

DAP evaluéiert Bedingunge a setzt Attributer uewen op d'AAA-Resultat. Eng Opzeechnung dréit eng Prioritéit, eng Aktioun an eng Rei Bedingunge; d'Opzeechnunge ginn an der Prioritéitsuerdnung evaluéiert an d'Aktioun entscheet, ob d'Evaluatioun weiderleeft oder ophält. Dat ass en anere Ausféierungsmodell wéi eng Wäertsich, an genau dofir kann et Regelen ausdrécken, déi d'Map net kann.

Wat DAP derbäisetzt, sinn Inputen. Bedingunge kënnen Attributer aus dem Verzeechnis, Endpunktattributer an de Posturzoustand referenzéieren, an eng passend Opzeechnung kann ACLen, URL-Lëschten oder Filter fir déi Sëtzung droen. Sou kann eng Regel wéi datt Supportpersonal op engem geréierten Laptop d'Nëmmen-Liesen-Politik kritt, wärend déi selwecht Leit op engem net geréierten Apparat eng ageschränkt kréien, an DAP ausgedréckt ginn an net an enger Attributmap. D'Map huet genee een Input: de Wäert, deen d'Verzeechnis fir den Attribut zréckginn huet, deen Dir genannt hutt.

DAP setzt och eng zweet Plaz derbäi, wou ee kuckt, wann eng Sëtzung an der falscher Politik landt. Eng Opzeechnung, déi mat der Aktioun weiderfuere passt, beendet d'Evaluatioun net, an eng spéider Opzeechnung kann d'Resultat nach änneren, dofir ass dat, wat Dir observéiert, d'Produkt vun enger Sequenz an net vun enger eenzeger Sich. Liest d'Prioritéitszuelen an der Rei, a denkt drun, datt et d'Fallback-Opzeechnung ka sinn, déi d'Aarbecht mécht. D'Map dogéint huet keng Sequenz: een Attribut, ee Wäert, eng Äntwert.

Wou déi zwee sech widdersprechen

D'Präzedenz ass deen Deel, deen Designe brécht. Wann eng Sëtzung souwuel op eng Mapopzeechnung wéi och op eng DAP-Opzeechnung passt, hänkt d'Resultat vun der Versioun an vun der Aktioun vun der Opzeechnung of, also verifizéiert et op Ärer eegener ASA, amplaz unzehuelen, datt ee vun de Mechanismen d'Resultat besëtzt.

Dräi Feëlermodus erklären de gréissten Deel vun der Verwirrung. Eng Map, déi definéiert awer ni un den Servertag gebonnen ass, deen de Profil benotzt, gëtt d'Standardpolitik ouni all Feeler iergendwou. Eng DAP-Bedingungszeechekette, déi sech vum Verzeechniswäert an der Grouss- a Klengschreiwung oder an de Blose ënnerscheet, passt ni, an d'Fallback-Opzeechnung gëtt roueg ugewannt. An eng Gruppepolitik, déi nach net existéiert, gëtt vun der Map akzeptéiert, well d'Map nëmmen en Numm zréckgëtt, dofir kritt d'Sëtzung keng vun den intendéierte Rechter an et ass näischt am Log, wat op dat feelend Objet weist. Iwwerpréift all dräi, ier Dir d'Gruppememberzuel beréiert.

D'Beweiser aus enger lieweger Sëtzung liesen

Liest d'Äntwert aus enger neier Sëtzung an net aus der Konfiguratioun. show vpn-sessiondb detail anyconnect filter name jdoe dréckt d'Gruppepolitik aus, déi d'Sëtzung tatsächlech kritt huet, an show running-config ldap attribute-map bestätegt, wéi eng Wäerter d'Map hätt kënne zréckginn. Op der Verzeechniss Säit weist test aaa-server authentication LDAP-AD username jdoe password <password> d'Attributer, déi d'ASA zréckkritt huet, an debug ldap 255 weist den Austausch, wann den Test net mat Ärer Erwaardung iwwereneestëmmt.

Duerno gläicht véier Opzeechnunge schrëftlech of: de Verzeechniswäert, déi konfiguréiert Map oder DAP-Bedingung, déi lokal Gruppepolitik an d'Ressource, déi de Benotzer tatsächlech konnt erreechen. Wa déi éischt dräi iwwereneestëmmen an déi véiert net, ass de Problem am Kierper vun der Politik an net an der Wiel. Wa d'Sëtzung den richtegen Numm vun der Politik weist, awer déi falsch ACL, da stoppt komplett op LDAP ze kucken. Ännert eng Opzeechnung op eng Kéier a kontrolléiert eng nei Sëtzung, well eng nei verbonnen Sëtzung deen eenzegen Beweis ass, deen déi Konfiguratioun reflektéiert, déi Dir just geschriwwen hutt.