VPN ഗ്രൂപ്പ് നയത്തിനായി ASA LDAP ഗ്രൂപ്പ് മാപ്പിംഗ് DAP-യ്ക്കെതിരെ

രണ്ട് വെവ്വേറെ റെക്കോർഡുകളാണ് ഒരു AnyConnect സെഷന് ഏത് ഗ്രൂപ്പ് നയം ലഭിക്കുമെന്ന് തീരുമാനിക്കുന്നത്, അവ കോൺഫിഗറേഷന്റെ വ്യത്യസ്ത ഭാഗങ്ങളിൽ വ്യത്യസ്ത പരാജയ മോഡുകളോടെയാണ് സ്ഥിതി ചെയ്യുന്നത്. LDAP ആട്രിബ്യൂട്ട് മാപ്പ് പ്രാമാണീകരണ സമയത്ത് ഡയറക്ടറിയിലെ ഒരു മൂല്യത്തെ ASA അനുമതി ആട്രിബ്യൂട്ടായി മാറ്റുന്നു; DAP റെക്കോർഡ് പിന്നീട് വ്യവസ്ഥകൾ വിലയിരുത്തുകയും ആട്രിബ്യൂട്ടുകൾ ചേർക്കുകയോ മറികടക്കുകയോ ചെയ്യാം. രണ്ടും ഒരേ നയ നാമത്തിൽ അവസാനിക്കാം, അതിനാൽ വിജയകരമായ ലോഗിൻ ഏത് സംവിധാനമാണ് അത് സൃഷ്ടിച്ചതെന്ന് പറയുന്നില്ല. രണ്ടാമത്തേത് ആദ്യത്തേതിനെ നിശബ്ദമായി മറികടക്കാൻ അനുവദിക്കുന്നതിനുപകരം ബോധപൂർവം ഒന്ന് തിരഞ്ഞെടുക്കുക എന്നതാണ് താരതമ്യത്തിന്റെ ഉദ്ദേശ്യം.

രണ്ട് സംവിധാനങ്ങൾ, രണ്ട് തീരുമാന പോയിന്റുകൾ

തിരഞ്ഞെടുപ്പ് മൂന്ന് ചോദ്യങ്ങളിലേക്ക് ചുരുങ്ങുന്നു. തീരുമാനം ഡയറക്ടറിയിലെ ഒരൊറ്റ ആട്രിബ്യൂട്ട് മൂല്യത്തെ ആശ്രയിക്കുന്നുണ്ടോ, അതിന് ആ മൂല്യത്തിൽ കൂടുതൽ ആവശ്യമുണ്ടോ, രണ്ടും ഒത്തുപോകുമ്പോൾ ഏത് സംവിധാനത്തിനാണ് വിജയിക്കാൻ അനുവാദമുള്ളത്?

ഏക ഇൻപുട്ട് ഗ്രൂപ്പ് അംഗത്വമാണെങ്കിൽ, ആട്രിബ്യൂട്ട് മാപ്പ് ചെറിയ ഉപകരണവും ഓഡിറ്റ് ചെയ്യാൻ എളുപ്പവുമാണ്: ഒരു മാപ്പ്, ഒരു AAA സർവറുമായി ബന്ധിപ്പിച്ച്, ഓരോ ഗ്രൂപ്പിനും ഒരു വരി. തിരഞ്ഞെടുപ്പ് ഉപകരണത്തിന്റെ അവസ്ഥ, എൻഡ്പോയിന്റ് ഐഡന്റിറ്റി, രണ്ടാമത്തെ ആട്രിബ്യൂട്ട് അല്ലെങ്കിൽ സമയ വിൻഡോ എന്നിവ പരിഗണിക്കണമെങ്കിൽ, മാപ്പിന്റെ ഇൻപുട്ടുകൾ തീരുന്നു, നിയമം പ്രകടിപ്പിക്കാൻ കഴിയുന്ന സംവിധാനം DAP ആണ്. രണ്ടും ഉപയോഗത്തിലുണ്ടെങ്കിൽ, ഏതെങ്കിലും ഒന്ന് എഴുതുന്നതിന് മുമ്പ് നിങ്ങളുടെ റിലീസിലെ മുൻഗണന അറിയുക, കാരണം DAP റെക്കോർഡുമായി ഒത്തുപോകുന്ന സെഷൻ മാപ്പ് തിരികെ നൽകിയ നയം നിലനിർത്തിയെന്ന് വരില്ല. ബാക്കിയെല്ലാം കണക്കെഴുത്താണ്.

ആട്രിബ്യൂട്ട് മാപ്പിന്റെ പാത, കോൺഫിഗറേഷൻ ക്രമത്തിൽ

മാപ്പിന്റെ പാത AAA സർവർ നിർവചനത്തിൽ ആരംഭിക്കുന്നു. ആട്രിബ്യൂട്ട് മാപ്പ് കണക്ഷൻ പ്രൊഫൈൽ യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന LDAP സർവർ എൻട്രിയുമായി ബന്ധിപ്പിച്ചിരിക്കണം; പ്രവർത്തിക്കുന്ന കോൺഫിഗറേഷനിൽ ഉണ്ടെങ്കിലും ആ സർവർ റഫറൻസ് ചെയ്യാത്ത മാപ്പ് ഒന്നും മാറ്റുന്നില്ല. ആ ബന്ധിപ്പിക്കൽ വരിയാണ് ബാക്കി കോൺഫിഗറേഷനെ ജീവനുള്ളതാക്കുന്നത്. ASA LDAP മാപ്പിംഗ് ഗൈഡ് 9.x റിലീസുകളിലെ മാപ്പ് സിന്റാക്സിനുള്ള റഫറൻസാണ്.

മാപ്പിനുള്ളിൽ, ഒരു പ്രസ്താവന ഡയറക്ടറി ആട്രിബ്യൂട്ടും അത് പോഷിപ്പിക്കുന്ന ASA ആട്രിബ്യൂട്ടും പേരിടുന്നു, തുടർന്നുള്ള പ്രസ്താവനകൾ നിർദ്ദിഷ്ട മൂല്യങ്ങൾ വിവർത്തനം ചെയ്യുന്നു. map-name memberOf Group-Policy കൂടാതെ അതിനുശേഷം map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly രൂപമാണ്: ഇടത് വശം ഡയറക്ടറി തിരികെ നൽകിയത്, വലത് വശം മുൻപേ നിലനിൽക്കേണ്ട ഒരു ഗ്രൂപ്പ് നയത്തിന്റെ പേര്. വ്യതിരിക്തമായ പേരും നയത്തിന്റെ പ്രദർശന നാമവും പരസ്പരം മാറ്റാനാവില്ല, രണ്ട് സ്ട്രിംഗുകളിലും ഏതാണ്ട് ഒരു പൊരുത്തക്കേട് ലോഗിൻ സമയത്ത് പിശക് ഉണ്ടാക്കുന്നില്ല.

ഇവിടെ രണ്ട് കാര്യങ്ങൾ കടിക്കുന്നു: memberOf അക്കൗണ്ട് അംഗമായ ഓരോ ഗ്രൂപ്പും തിരികെ നൽകുന്നു, അതിനാൽ രണ്ട് മാപ്പ് ചെയ്ത ഗ്രൂപ്പുകളിലുള്ള ഉപയോക്താവ് മാപ്പിന് രണ്ട് സ്ഥാനാർത്ഥി മൂല്യങ്ങൾ നൽകുന്നു, ഗൈഡിലെ അക്ഷരമാലാ നിയമമാണ് നിങ്ങളുടെ സ്വന്തം മുൻഗണനാ ക്രമത്തിനുപകരം ആശ്രയിക്കാവുന്ന ഏക ടൈ-ബ്രേക്ക്. മാപ്പ് ചെയ്യാത്ത മൂല്യം ഒന്നും നൽകുന്നില്ല, അത് പ്രൊഫൈലിന്റെ സ്ഥിരസ്ഥിതി നയത്തിലേക്ക് നിശബ്ദമായി മടങ്ങുന്നു.

DAP പാത, അത് എന്ത് ചേർക്കുന്നു

DAP വ്യവസ്ഥകൾ വിലയിരുത്തുകയും AAA ഫലത്തിന് മുകളിൽ ആട്രിബ്യൂട്ടുകൾ പ്രയോഗിക്കുകയും ചെയ്യുന്നു. ഒരു റെക്കോർഡിൽ മുൻഗണന, പ്രവർത്തനം, വ്യവസ്ഥകളുടെ ഒരു കൂട്ടം എന്നിവ അടങ്ങിയിരിക്കുന്നു; റെക്കോർഡുകൾ മുൻഗണനാ ക്രമത്തിൽ വിലയിരുത്തപ്പെടുന്നു, പ്രവർത്തനം വിലയിരുത്തൽ തുടരുമോ നിൽക്കുമോ എന്ന് തീരുമാനിക്കുന്നു. ഇത് മൂല്യ തിരച്ചിലിൽ നിന്ന് വ്യത്യസ്തമായ എക്സിക്യൂഷൻ മോഡലാണ്, അതുകൊണ്ടാണ് മാപ്പിന് പ്രകടിപ്പിക്കാനാവാത്ത നിയമങ്ങൾ പ്രകടിപ്പിക്കാൻ കഴിയുന്നത്.

DAP ചേർക്കുന്നത് ഇൻപുട്ടുകളാണ്. വ്യവസ്ഥകൾക്ക് ഡയറക്ടറി ആട്രിബ്യൂട്ടുകൾ, എൻഡ്പോയിന്റ് ആട്രിബ്യൂട്ടുകൾ, ഉപകരണ അവസ്ഥ എന്നിവ റഫറൻസ് ചെയ്യാം, ഒത്തുപോകുന്ന റെക്കോർഡിന് ആ സെഷനുള്ള ACL, URL പട്ടികകൾ അല്ലെങ്കിൽ ഫിൽട്ടറുകൾ വഹിക്കാം. അതിനാൽ നിയന്ത്രിത ലാപ്ടോപ്പിലുള്ള പിന്തുണാ ജീവനക്കാർക്ക് വായന-മാത്ര നയം ലഭിക്കുകയും അതേ ജീവനക്കാർക്ക് നിയന്ത്രിക്കാത്ത ഉപകരണത്തിൽ പരിമിതമായ നയം ലഭിക്കുകയും ചെയ്യുന്നു എന്ന നിയമം DAP-യിൽ പ്രകടിപ്പിക്കാം, ആട്രിബ്യൂട്ട് മാപ്പിൽ അല്ല. മാപ്പിന് കൃത്യമായി ഒരു ഇൻപുട്ടുണ്ട്: നിങ്ങൾ പേരിട്ട ആട്രിബ്യൂട്ടിന് ഡയറക്ടറി തിരികെ നൽകിയ മൂല്യം.

സെഷൻ തെറ്റായ നയത്തിൽ എത്തുമ്പോൾ നോക്കാനുള്ള രണ്ടാമത്തെ സ്ഥലവും DAP ചേർക്കുന്നു. ചെയ്തുതുടരുക എന്ന പ്രവർത്തനവുമായി ഒത്തുപോകുന്ന റെക്കോർഡ് വിലയിരുത്തൽ അവസാനിപ്പിക്കുന്നില്ല, പിന്നീടുള്ള റെക്കോർഡിന് ഫലം മാറ്റാനും കഴിയും, അതിനാൽ നിങ്ങൾ കാണുന്നത് ഒരു ശ്രേണിയുടെ ഫലമാണ്, ഒരു തിരച്ചിലിന്റേതല്ല. മുൻഗണനാ സംഖ്യകൾ ക്രമത്തിൽ വായിക്കുക, ബാക്കപ്പ് റെക്കോർഡായിരിക്കാം ജോലി ചെയ്യുന്നത് എന്ന് ഓർക്കുക. മാപ്പിന് എന്നാൽ ഒരു ശ്രേണിയുമില്ല: ഒരു ആട്രിബ്യൂട്ട്, ഒരു മൂല്യം, ഒരു ഉത്തരം.

രണ്ടും യോജിക്കാത്തിടം

ഡിസൈനുകൾ തകർക്കുന്ന ഭാഗമാണ് മുൻഗണന. ഒരു സെഷൻ മാപ്പ് എൻട്രിയുമായും DAP റെക്കോർഡുമായും ഒത്തുപോകുമ്പോൾ, ഫലം റിലീസിനെയും റെക്കോർഡിന്റെ പ്രവർത്തനത്തെയും ആശ്രയിച്ചിരിക്കും, അതിനാൽ സംവിധാനങ്ങളിലൊന്നിനാണ് ഫലം എന്ന് കരുതുന്നതിനുപകരം സ്വന്തം ASA-യിൽ അത് പരിശോധിക്കുക.

മൂന്ന് പരാജയ മോഡുകളാണ് മിക്ക ആശയക്കുഴപ്പവും വിശദീകരിക്കുന്നത്. നിർവചിക്കപ്പെട്ടതെങ്കിലും പ്രൊഫൈൽ ഉപയോഗിക്കുന്ന സർവർ ടാഗിലേക്ക് ഒരിക്കലും ബന്ധിപ്പിക്കാത്ത മാപ്പ് എവിടെയും പിശകില്ലാതെ സ്ഥിരസ്ഥിതി നയം നൽകുന്നു. ഡയറക്ടറി മൂല്യത്തിൽ നിന്ന് വലിയ-ചെറിയ അക്ഷരങ്ങളിലോ ഇടവേളകളിലോ വ്യത്യാസമുള്ള DAP വ്യവസ്ഥ സ്ട്രിംഗ് ഒരിക്കലും ഒത്തുപോകുന്നില്ല, ബാക്കപ്പ് റെക്കോർഡ് നിശബ്ദമായി ബാധകമാകുന്നു. ഇനിയും നിലനിൽക്കാത്ത ഗ്രൂപ്പ് നയം മാപ്പ് സ്വീകരിക്കുന്നു, കാരണം മാപ്പ് ഒരു പേര് മാത്രം തിരികെ നൽകുന്നു, അതിനാൽ സെഷന് ഉദ്ദേശിച്ച അനുമതികളൊന്നും ലഭിക്കുന്നില്ല, ലോഗിൽ കാണാത്ത ഒബ്ജക്റ്റിലേക്ക് ചൂണ്ടുന്ന ഒന്നുമില്ല. ഗ്രൂപ്പ് അംഗത്വം തൊടുന്നതിന് മുമ്പ് മൂന്നും പരിശോധിക്കുക.

ജീവനുള്ള സെഷനിൽ നിന്ന് തെളിവുകൾ വായിക്കുന്നു

ഉത്തരം കോൺഫിഗറേഷനിൽ നിന്നല്ല, പുതിയ സെഷനിൽ നിന്ന് വായിക്കുക. show vpn-sessiondb detail anyconnect filter name jdoe സെഷൻ യഥാർത്ഥത്തിൽ ലഭിച്ച ഗ്രൂപ്പ് നയം പ്രിന്റ് ചെയ്യുന്നു, show running-config ldap attribute-map മാപ്പിന് ഏത് മൂല്യങ്ങൾ തിരികെ നൽകാൻ കഴിയുമായിരുന്നു എന്ന് സ്ഥിരീകരിക്കുന്നു. ഡയറക്ടറി വശത്ത്, test aaa-server authentication LDAP-AD username jdoe password <password> ASA തിരികെ ലഭിച്ച ആട്രിബ്യൂട്ടുകൾ കാണിക്കുന്നു, debug ldap 255 പരിശോധന നിങ്ങളുടെ പ്രതീക്ഷയുമായി ഒത്തുപോകാത്തപ്പോൾ ആ കൈമാറ്റം കാണിക്കുന്നു.

തുടർന്ന് നാല് റെക്കോർഡുകൾ എഴുത്തിൽ ഒത്തുനോക്കുക: ഡയറക്ടറി മൂല്യം, കോൺഫിഗർ ചെയ്ത മാപ്പ് അല്ലെങ്കിൽ DAP വ്യവസ്ഥ, പ്രാദേശിക ഗ്രൂപ്പ് നയം, ഉപയോക്താവിന് യഥാർത്ഥത്തിൽ എത്തിച്ചേരാൻ കഴിഞ്ഞ വിഭവം. ആദ്യത്തെ മൂന്നും ഒത്തുപോകുകയും നാലാമത്തേത് ഒത്തുപോകാതിരിക്കുകയും ചെയ്താൽ, പ്രശ്നം തിരഞ്ഞെടുപ്പിലല്ല, നയത്തിന്റെ ഉള്ളടക്കത്തിലാണ്. സെഷൻ ശരിയായ നയ നാമം കാണിക്കുകയും എന്നാൽ തെറ്റായ ACL കാണിക്കുകയും ചെയ്താൽ, LDAP നോക്കുന്നത് പൂർണ്ണമായി നിർത്തുക. ഒരു സമയം ഒരു റെക്കോർഡ് മാറ്റി പുതിയ സെഷൻ വീണ്ടും പരിശോധിക്കുക, കാരണം വീണ്ടും ബന്ധിപ്പിച്ച സെഷൻ മാത്രമാണ് നിങ്ങൾ ഇപ്പോൾ എഴുതിയ കോൺഫിഗറേഷൻ പ്രതിഫലിപ്പിക്കുന്ന തെളിവ്.