Мапирање на LDAP групи во ASA наспроти DAP за групна политика на VPN

Два одделни записи одлучуваат која групна политика ја добива AnyConnect сесијата, и тие живеат во различни делови од конфигурацијата со различни режими на неуспех. LDAP картата на атрибути за време на автентикацијата преведува вредност од директориумот во ASA атрибут за авторизација; DAP записот потоа ги оценува условите и може да додаде или да надмине атрибути. И двете можат да завршат на истото име на политика, така што успешното најавување не ви кажува ништо за тоа кој механизам го создал. Смислата на нивната споредба е свесно да изберете еден, наместо да дозволите вториот тивко да го надмине првиот.

Два механизми, две точки на одлука

Изборот се сведува на три прашања. Дали одлуката зависи од една вредност на атрибут од директориумот, дали ѝ треба повеќе од таа вредност, и кој механизам смее да победи кога двете се совпаѓаат?

Ако единствениот влез е членството во група, картата на атрибути е помалиот алат и оној што полесно се ревидира: една карта, поврзана со еден AAA сервер, со една линија по група. Ако изборот треба да го земе предвид состојбата на уредот, идентитетот на крајната точка, втор атрибут или временски прозорец, влезовите на картата се исцрпуваат и DAP е механизмот што може да го изрази правилото. Ако и двете се во игра, научете го приоритетот во вашето издание пред да напишете било кое од нив, бидејќи сесија што се совпаѓа со DAP запис можеби нема да ја задржи политиката што ја вратила картата. Сето останато е книговодство.

Патот на картата на атрибути, по ред на конфигурацијата

Патот на картата започнува со дефиницијата на AAA серверот. Картата на атрибути мора да биде поврзана со записот на LDAP серверот што профилот за поврзување навистина го користи; карта што постои во работната конфигурација, но не е наведена од тој сервер, не менува ништо. Токму таа линија на поврзување го прави остатокот од конфигурацијата жив. Водич за LDAP мапирање во ASA е референца за синтаксата на картата во изданијата 9.x.

Внатре во картата, еден исказ го именува атрибутот од директориумот и ASA атрибутот што го храни, а следните искази преведуваат конкретни вредности. map-name memberOf Group-Policy по што следи map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly е формата: левата страна е она што го вратил директориумот, десната страна е името на групна политика што мора веќе да постои. Различниот назив и прикажаното име на политика не се заменливи, и речиси совпаѓање во која било од двете низи не произведува грешка при најавување.

Овде касаат два детали: memberOf ја враќа секоја група на која припаѓа сметката, така што корисник во две мапирани групи ѝ дава на картата две кандидат-вредности, а азбучното правило во водичот е единствениот начин за решавање на изедначување на кој може да се потпрете наместо вашиот сопствен редослед на приоритети. Немапирана вредност не дава ништо, што тивко се враќа на стандардната политика на профилот.

Патот на DAP, и што додава тој

DAP ги оценува условите и применува атрибути врз AAA резултатот. Записот носи приоритет, дејство и множество услови; записите се оценуваат по редослед на приоритет, а дејството одлучува дали оценувањето продолжува или запира. Тоа е различен модел на извршување од пребарување на вредност, и токму затоа може да изрази правила што картата не може.

Она што DAP го додава се влезовите. Условите можат да се однесуваат на атрибути од директориумот, атрибути на крајната точка и состојбата на уредот, а соодветниот запис може да носи ACL, URL списоци или филтри за таа сесија. Така правило како тоа што поддршката на управуван преносен сметач добива политика само за читање, додека истиот персонал на неуправуван уред добива ограничена, е изразливо во DAP, но не и во карта на атрибути. Картата има точно еден влез: вредноста што директориумот ја вратил за атрибутот што сте го именувале.

DAP додава и второ место за гледање кога сесијата ќе заврши во погрешна политика. Запис што се совпаѓа со дејство за продолжување не го завршува оценувањето, и подоцнежен запис сè уште може да го промени резултатот, така што она што го гледате е производ на низа, а не на едно пребарување. Читајте ги броевите на приоритет по ред и запомнете дека резервниот запис може да биде тој што ја работи работата. Картата, за разлика од тоа, нема низа: еден атрибут, една вредност, еден одговор.

Каде двете не се согласуваат

Приоритетот е делот што крши дизајни. Кога сесијата се совпаѓа и со запис на картата и со DAP запис, резултатот зависи од изданието и од дејството на записот, затоа проверете го на вашиот сопствен ASA наместо да претпоставувате дека некој од механизмите го поседува резултатот.

Три режима на неуспех го објаснуваат најголемиот дел од конфузијата. Карта што е дефинирана, но никогаш не е поврзана со ознаката на серверот што го користи профилот, ја дава стандардната политика без никаква грешка никаде. Низата на услов на DAP што се разликува од вредноста во директориумот по големи и мали букви или празни места никогаш не се совпаѓа, и резервниот запис тивко се применува. А групната политика што сè уште не постои се прифаќа од картата, бидејќи картата враќа само име, така што сесијата не добива ниту една од предвидените дозволи и во дневникот нема ништо што покажува на објектот што недостасува. Проверете ги сите три пред да го допрете членството во група.

Читање на доказите од жива сесија

Читајте го одговорот од нова сесија, а не од конфигурацијата. show vpn-sessiondb detail anyconnect filter name jdoe ја печати групната политика што сесијата навистина ја добила, а show running-config ldap attribute-map потврдува кои вредности картата можела да ги врати. На страната на директориумот, test aaa-server authentication LDAP-AD username jdoe password <password> ги покажува атрибутите што ASA ги добил назад, а debug ldap 255 ја покажува размената кога тестот не се совпаѓа со она што сте го очекувале.

Потоа усогласете четири записи писмено: вредноста од директориумот, конфигурираната карта или DAP услов, локалната групна политика и ресурсот до кој корисникот навистина можел да стигне. Ако првите три се совпаѓаат, а четвртиот не, проблемот е во телото на политиката, а не во изборот. Ако сесијата покажува точно име на политика, но погрешен ACL, целосно престанете да гледате во LDAP. Менувајте по еден запис и проверете нова сесија, бидејќи повторно поврзаната сесија е единствениот доказ што ја одразува конфигурацијата што штотуку ја напишавте.