Групен alias наспроти групен URL во ASA: како се избира профилот

Профилот на врска управува со сесија само откако ASA ќе го избере. Таа реченица е целиот модел за отстранување проблеми за стар портал без клиент. Неискористен профил може да има беспрекорни правила за пристап, а сепак да не важи за никого. Проследете ја влезната точка за најава пред да измените било која политика.

Разликите подолу ја следат документацијата за 9.16; безклиентскиот SSL VPN беше отстранет во 9.17(1) и подоцна.

Alias е запис во список, а не URL

group-alias дава ознака што корисникот ја избира од списокот на групи на страницата за најава. Прикажувањето на тој список е посебно поставување, tunnel-group-list enable. Alias е само име за избор и ништо повеќе. Конфигурирање alias со име staff не создава URL /staff што го избира профилот.

Луѓето очекуваат alias-от да работи двојно, бидејќи од прелистувачот списокот и URL-то изгледаат како ист избор.

Што всушност совпаѓа group-url

group-url врзува дојдовен URL за профил на врска. Кога тој овозможен URL се совпаѓа, ASA го избира профилот без да побара од корисникот да избере од списокот. URL-то мора да биде целосното предвидено, во синтаксата што ја поддржува вашата верзија. Неговиот DNS запис и сертификатот мора да се совпаѓаат со она што корисниците го пишуваат, инаку совпаѓањето никогаш нема да се случи.

Копиран суфикс на URL не докажува ништо за конфигурацијата. Проверете го профилот, а не адресната лента.

Проследете го изборот до политиката што се извршува

Откако ќе се избере тунелска група, уредот ја одредува методот за автентикација и стандардната групна политика поврзана со неа. Потоа корисничките атрибути, вредностите што ги враќа автентикацијата и динамичкото авторизирање можат да пребришат делови од таа основа. Проверете што навистина добила сесијата. Читањето само на именуваната политика ви ја дава основата, не резултатот.

Јазот меѓу двете е извор на повеќето извештаи „правилото е точно, но пристапот е погрешен“.

Наследувањето не е изолација

Атрибутите што ги оставате неопределени можат да се наследат од стандардната групна политика. Затоа новата именувана политика не е одвоена од споделените стандардни вредности, а нивното менување стигнува до секој профил што ги наследува. Споредете го фактичкиот пристап до ресурсите, DNS-поставките и ограничувањата на сесијата по профил. Направете го тоа пред да промените нешто споделено.

Одвојте го и спроведувањето на пристапот од изборот.

За сесија без клиент применлив филтер е webtype ACL. VPN-филтерот за тунелски клиент не е замена само затоа што двата стојат близу истиот блок политики во конфигурацијата.

Одлучете го случајот без совпаѓање, потоа тестирајте ја секоја патека

Определете што треба да се случи на општиот URL на порталот и на другите влезни точки без совпаѓање. Погледнете ја вистинската патека на стандардниот профил и неговото авторизирање наместо да менувате споделена стандардна вредност за да помине една тест-сметка. Потоа отворете три нови сесии: експлицитниот URL, овозможениот запис од списокот и општата влезна точка. Запишете го избраниот профил и фактичката политика за секоја од нив.

Повторното користење на картичка од прелистувач од претходна најава ја расипува споредбата, бидејќи таа сесија веќе е врзана за профил.

Тој запис го претвора „порталот се отвора“ во пресликување од најава до политика што можете да го ревидирате подоцна, и тоа е единствениот траен одговор кога профилот изгледа точно и не управува со никого.