ASA grupės alias prieš grupės URL: kaip pasirenkamas profilis

Ryšio profilis valdo sesiją tik po to, kai ASA jį pasirenka. Šis vienas sakinys yra visas seno portalo be kliento trikčių šalinimo modelis. Nenaudojamas profilis gali turėti nepriekaištingas prieigos taisykles ir vis tiek niekam negalioti. Stebėkite prisijungimo įėjimo tašką prieš keisdami bet kokią politiką.

Toliau pateikti skirtumai remiasi 9.16 dokumentacija; be kliento SSL VPN buvo pašalintas 9.17(1) ir vėliau.

Alias yra sąrašo įrašas, o ne URL

group-alias suteikia etiketę, kurią naudotojas pasirenka iš grupių sąrašo prisijungimo puslapyje. To sąrašo rodymas yra atskiras nustatymas, tunnel-group-list enable. Alias yra tik pasirinkimo pavadinimas ir nieko daugiau. staff pavadinto alias konfigūravimas nesukuria /staff URL, kuris pasirinktų profilį.

Žmonės tikisi, kad alias atliks dvigubą darbą, nes naršyklėje sąrašas ir URL atrodo kaip tas pats pasirinkimas.

Ką group-url iš tikrųjų suderina

group-url susieja gaunamą URL su ryšio profiliu. Kai ta įjungta URL sutampa, ASA pasirenka profilį neprašydama naudotojo rinktis iš sąrašo. URL turi būti visas numatytasis, tokia sintakse, kurią palaiko jūsų versija. Jos DNS įrašas ir sertifikatas turi sutapti su tuo, ką įveda naudotojai, kitaip sutapimas niekada neįvyks.

Nukopijuota URL priesaga nieko neįrodo apie konfigūraciją. Tikrinkite profilį, o ne adreso juostą.

Sekite pasirinkimą iki vykdomos politikos

Pasirinkus tunelio grupę, įrenginys nustato autentifikavimo metodą ir su ja susietą numatytąją grupės politiką. Tada naudotojui būdingi atributai, autentifikavimo grąžintos reikšmės ir dinaminis įgaliojimas gali pakeisti tos bazės dalis. Patikrinkite, ką sesija iš tikrųjų gavo. Vien pavadintos politikos skaitymas duoda bazę, o ne rezultatą.

Skirtumas tarp jų yra daugumos pranešimų „taisyklė teisinga, bet prieiga neteisinga“ šaltinis.

Paveldėjimas nėra izoliacija

Atributai, kurių nenurodote, gali būti paveldimi iš numatytosios grupės politikos. Todėl nauja pavadinta politika nėra atskirta nuo bendrų numatytųjų reikšmių, o jų keitimas pasiekia kiekvieną profilį, kuris jas paveldi. Palyginkite faktinę prieigą prie išteklių, DNS nustatymus ir sesijos apribojimus pagal profilį. Tai padarykite prieš keisdami ką nors bendra.

Prieigos vykdymą taip pat laikykite atskirai nuo pasirinkimo.

Sesijai be kliento taikomas filtras yra webtype ACL. Tunelinio kliento VPN filtras jo nepakeičia vien todėl, kad abu konfigūracijoje yra prie to paties politikos bloko.

Nuspręskite nesutampantį atvejį, tada išbandykite kiekvieną kelią

Nustatykite, kas turėtų įvykti bendrame portalo URL ir kituose nesutampančiuose įėjimo taškuose. Žiūrėkite į tikrąjį numatytojo profilio kelią ir jo įgaliojimą, o ne keiskite bendrą numatytąją reikšmę, kad praeitų viena bandomoji paskyra. Tada atidarykite tris naujas sesijas: aiškų URL, įjungtą sąrašo įrašą ir bendrą įėjimo tašką. Užrašykite pasirinktą profilį ir faktinę politiką kiekvienai.

Naršyklės skirtuko iš ankstesnio prisijungimo naudojimas sugadina palyginimą, nes ta sesija jau susieta su profiliu.

Tas įrašas paverčia „portalas atsidaro“ prisijungimo ir politikos susiejimu, kurį galite audituoti vėliau, ir tai yra vienintelis ilgalaikis atsakymas, kai profilis atrodo teisingai ir niekam nevadovauja.