ASA LDAP grupių susiejimas prieš DAP VPN grupės politikai

Du atskiri įrašai nusprendžia, kokią grupės politiką gaus AnyConnect sesija, ir jie gyvena skirtingose konfigūracijos dalyse su skirtingais gedimo režimais. LDAP atributų žemėlapis autentifikavimo metu paverčia katalogo reikšmę ASA autorizacijos atributu; DAP įrašas vėliau įvertina sąlygas ir gali pridėti arba perrašyti atributus. Abu gali baigtis tuo pačiu politikos pavadinimu, todėl sėkmingas prisijungimas nieko nesako apie tai, kuris mechanizmas jį sukūrė. Jų palyginimo prasmė yra sąmoningai pasirinkti vieną, o ne leisti antrajam tyliai nustelbti pirmąjį.

Du mechanizmai, du sprendimo taškai

Pasirinkimas susiveda į tris klausimus. Ar sprendimas priklauso nuo vienos katalogo atributo reikšmės, ar jam reikia daugiau nei tos reikšmės, ir kuriam mechanizmui leidžiama laimėti, kai abu sutampa?

Jei vienintelė įvestis yra narystė grupėje, atributų žemėlapis yra mažesnis įrankis ir lengviau audituojamas: vienas žemėlapis, prijungtas prie vieno AAA serverio, po vieną eilutę grupei. Jei pasirinkimas turi atsižvelgti į įrenginio būseną, galinio taško tapatybę, antrą atributą ar laiko langą, žemėlapio įvesčių pritrūksta ir DAP yra mechanizmas, galintis išreikšti taisyklę. Jei abu naudojami, sužinokite pirmenybę savo leidime prieš rašydami bet kurį iš jų, nes sesija, atitinkanti DAP įrašą, gali neišsaugoti politikos, kurią grąžino žemėlapis. Visa kita yra buhalterija.

Atributų žemėlapio kelias, konfigūracijos tvarka

Žemėlapio kelias prasideda AAA serverio apibrėžime. Atributų žemėlapis turi būti prijungtas prie LDAP serverio įrašo, kurį ryšio profilis iš tikrųjų naudoja; žemėlapis, kuris egzistuoja veikiančioje konfigūracijoje, bet to serverio nėra nurodytas, nieko nekeičia. Būtent ta prijungimo eilutė atgaivina likusią konfigūraciją. ASA LDAP susiejimo vadovas yra žemėlapio sintaksės nuoroda 9.x leidimuose.

Žemėlapio viduje vienas teiginys įvardija katalogo atributą ir ASA atributą, kurį jis maitina, o tolesni teiginiai išverčia konkrečias reikšmes. map-name memberOf Group-Policy ir po jo map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly yra forma: kairė pusė yra tai, ką grąžino katalogas, dešinė pusė yra grupės politikos pavadinimas, kuri turi jau egzistuoti. Skiriamasis vardas ir politikos rodomas pavadinimas nėra keičiami, o beveik sutapimas bet kurioje eilutėje nesukelia jokios klaidos prisijungiant.

Čia kandžiojasi dvi detalės: memberOf grąžina kiekvieną grupę, kuriai priklauso paskyra, todėl vartotojas dviejose susietose grupėse duoda žemėlapiui du kandidatų variantus, o vadove esanti abėcėlės taisyklė yra vienintelis lygiųjų sprendimas, kuriuo galite pasikliauti vietoj savo prioritetų tvarkos. Nesusieta reikšmė nieko neduoda, o tai tyliai grįžta prie profilio numatytosios politikos.

DAP kelias ir ką jis prideda

DAP įvertina sąlygas ir taiko atributus ant AAA rezultato. Įrašas turi prioritetą, veiksmą ir sąlygų rinkinį; įrašai vertinami prioriteto tvarka, o veiksmas nusprendžia, ar vertinimas tęsiamas, ar sustabdomas. Tai kitas vykdymo modelis nei reikšmės paieška, ir būtent todėl jis gali išreikšti taisykles, kurių žemėlapis negali.

Tai, ką DAP prideda, yra įvestys. Sąlygos gali nurodyti katalogo atributus, galinio taško atributus ir įrenginio būseną, o atitinkantis įrašas gali turėti ACL, URL sąrašus ar filtrus tai sesijai. Taigi taisyklė, kad palaikymo darbuotojai valdomame nešiojamajame kompiuteryje gauna tik skaitymo politiką, o tie patys darbuotojai nevaldomame įrenginyje gauna ribotą, yra išreiškiama DAP, bet ne atributų žemėlapyje. Žemėlapis turi tiksliai vieną įvestį: reikšmę, kurią katalogas grąžino jūsų įvardytam atributui.

DAP taip pat prideda antrą vietą, kur žiūrėti, kai sesija patenka į netinkamą politiką. Įrašas, atitinkantis veiksmą tęsti, nebaigia vertinimo, o vėlesnis įrašas dar gali pakeisti rezultatą, todėl tai, ką stebite, yra sekos, o ne vienos paieškos rezultatas. Skaitykite prioritetų numerius iš eilės ir atsiminkite, kad darbą gali atlikti atsarginis įrašas. Žemėlapis, priešingai, neturi sekos: vienas atributas, viena reikšmė, vienas atsakymas.

Kur jie nesutaria

Pirmenybė yra ta dalis, kuri laužo projektus. Kai sesija atitinka ir žemėlapio įrašą, ir DAP įrašą, rezultatas priklauso nuo leidimo ir nuo įrašo veiksmo, todėl patikrinkite tai savo ASA, o ne manykite, kad vienas iš mechanizmų valdo rezultatą.

Trys gedimo režimai paaiškina didžiąją dalį painiavos. Žemėlapis, kuris apibrėžtas, bet niekada neprijungtas prie serverio žymos, kurią naudoja profilis, duoda numatytąją politiką be jokios klaidos bet kur. DAP sąlygos eilutė, kuri skiriasi nuo katalogo reikšmės didžiosiomis ir mažosiomis raidėmis ar tarpais, niekada nesutampa, ir atsarginis įrašas tyliai taikomas. O grupės politika, kurios dar nėra, žemėlapio priimama, nes žemėlapis grąžina tik pavadinimą, todėl sesija negauna nė vieno numatyto leidimo ir žurnale nėra nieko, kas rodytų į trūkstamą objektą. Patikrinkite visus tris prieš liesdami grupės narystę.

Įrodymų skaitymas iš gyvos sesijos

Skaitykite atsakymą iš naujos sesijos, o ne iš konfigūracijos. show vpn-sessiondb detail anyconnect filter name jdoe išspausdina grupės politiką, kurią sesija iš tikrųjų gavo, o show running-config ldap attribute-map patvirtina, kokias reikšmes žemėlapis galėjo grąžinti. Katalogo pusėje test aaa-server authentication LDAP-AD username jdoe password <password> rodo atributus, kuriuos ASA gavo atgal, o debug ldap 255 rodo mainus, kai testas nesutampa su tuo, ko tikėjotės.

Tada suderinkite keturis įrašus raštu: katalogo reikšmę, sukonfigūruotą žemėlapį ar DAP sąlygą, vietinę grupės politiką ir išteklių, kurį vartotojas iš tikrųjų pasiekė. Jei pirmieji trys sutampa, o ketvirtasis ne, problema yra politikos turinyje, o ne pasirinkime. Jei sesija rodo teisingą politikos pavadinimą, bet neteisingą ACL, visiškai nustokite žiūrėti į LDAP. Keiskite po vieną įrašą ir tikrinkite naują sesiją, nes iš naujo prisijungusi sesija yra vienintelis įrodymas, atspindintis ką tik parašytą konfigūraciją.