ASA grupas alias pret grupas URL: kā tiek izvēlēts profils

Savienojuma profils pārvalda sesiju tikai pēc tam, kad ASA to izvēlas. Šis viens teikums ir viss vecā porta bez klienta problēmu diagnostikas modelis. Neizmantots profils var saturēt nevainojamus piekļuves noteikumus un tomēr neattiekties uz nevienu. Izsekojiet pieteikšanās ieejas punktam, pirms maināt jebkuru politiku.

Tālāk minētās atšķirības balstās uz 9.16 dokumentāciju; bezklienta SSL VPN tika noņemts 9.17(1) un vēlāk.

Alias ir saraksta ieraksts, nevis URL

group-alias nodrošina etiķeti, ko lietotājs izvēlas no grupu saraksta pieteikšanās lapā. Šī saraksta rādīšana ir atsevišķs iestatījums, tunnel-group-list enable. Alias ir tikai izvēles nosaukums un nekas vairāk. staff nosaukta alias konfigurēšana neizveido /staff URL, kas izvēlētos profilu.

Cilvēki gaida, ka alias veiks dubultu darbu, jo pārlūkā saraksts un URL izskatās kā viena un tā pati izvēle.

Ar ko group-url patiešām saskan

group-url piesaista ienākošo URL savienojuma profilam. Kad šis iespējotais URL sakrīt, ASA izvēlas profilu, neprasot lietotājam izvēlēties no saraksta. URL ir jābūt pilnīgam paredzētajam, tādā sintaksē, kādu atbalsta jūsu versija. Tā DNS ierakstam un sertifikātam jāsaskan ar to, ko ievada lietotāji, citādi sakritība nekad nenotiks.

Nokopēts URL galotne neko nepierāda par konfigurāciju. Pārbaudiet profilu, nevis adreses joslu.

Izsekojiet izvēlei līdz politikai, kas tiek izpildīta

Kad tuneļa grupa ir izvēlēta, ierīce nosaka autentifikācijas metodi un tai piesaistīto noklusējuma grupas politiku. Pēc tam lietotājam raksturīgie atribūti, autentifikācijas atgrieztās vērtības un dinamiskā autorizācija var pārrakstīt daļas no šī pamata. Pārbaudiet, ko sesija patiešām saņēma. Tikai nosauktās politikas lasīšana dod pamatu, nevis rezultātu.

Atšķirība starp abiem ir avots lielākajai daļai ziņojumu «noteikums ir pareizs, bet piekļuve ir nepareiza».

Mantošana nav izolācija

Atribūti, ko atstājat nenorādītus, var tikt mantoti no noklusējuma grupas politikas. Tāpēc jauna nosauktā politika nav atdalīta no koplietotajām noklusējuma vērtībām, un to rediģēšana sasniedz katru profilu, kas tās manto. Salīdziniet faktisko piekļuvi resursiem, DNS iestatījumus un sesijas ierobežojumus katram profilam. Dariet to pirms jebko koplietota maiņas.

Turiet arī piekļuves izpildi atsevišķi no izvēles.

Bezklienta sesijai piemērojamais filtrs ir webtype ACL. Tuneļa klienta VPN filtrs to neaizstāj tikai tāpēc, ka abi konfigurācijā atrodas blakus vienam politikas blokam.

Izlemiet nesakrītošo gadījumu, pēc tam pārbaudiet katru ceļu

Nosakiet, kam jānotiek porta vispārīgajā URL un citos nesakrītošos ieejas punktos. Apskatiet īsto noklusējuma profila ceļu un tā autorizāciju, nevis mainiet koplietotu noklusējumu, lai viens testa konts izietu. Pēc tam atveriet trīs jaunas sesijas: skaidro URL, iespējoto saraksta ierakstu un vispārīgo ieejas punktu. Pierakstiet izvēlēto profilu un faktisko politiku katram no tiem.

Pārlūka cilnes atkārtota izmantošana no iepriekšējas pieteikšanās sabojā salīdzinājumu, jo šī sesija jau ir piesaistīta profilam.

Šis ieraksts pārvērš «portāls atveras» pieteikšanās-uz-politiku kartējumā, ko varat vēlāk auditēt, un tā ir vienīgā noturīgā atbilde, kad profils izskatās pareizi un nevienu nepārvalda.