VPN бүлгийн бодлогын хувьд ASA дахь LDAP бүлгийн зураглал ба DAP

AnyConnect сесс ямар бүлгийн бодлого авахыг хоёр тусдаа бичлэг шийддэг бөгөөд тэдгээр нь тохиргооны өөр өөр хэсэгт, өөр өөр алдааны горимтой байдаг. LDAP шинж чанарын зураглал нь баталгаажуулалтын үед лавлахын утгыг ASA-ийн эрх олгох шинж чанар болгон хөрвүүлдэг; DAP бичлэг дараа нь нөхцөлийг үнэлж, шинж чанарыг нэмэх эсвэл дарж болно. Хоёулаа ижил бодлогын нэрээр төгсөж болох тул амжилттай нэвтрэлт нь аль механизм үүнийг үүсгэснийг хэлж чадахгүй. Тэдгээрийг харьцуулах утга нь хоёр дахь нь эхнийхийг чимээгүйхэн дарж орхихыг зөвшөөрөхгүй, санаатайгаар нэгийг сонгох явдал юм.

Хоёр механизм, хоёр шийдвэрийн цэг

Сонголт гурван асуулт руу буцдаг. Шийдвэр нь лавлахын нэг шинж чанарын утгаас хамаарах уу, түүнээс илүү зүйл хэрэгтэй юу, хоёулаа тохирох үед аль механизмд ялах эрх олгогддог вэ?

Хэрэв цорын ганц оролт нь бүлгийн гишүүнчлэл бол шинж чанарын зураглал нь жижиг хэрэгсэл бөгөөд аудитад хялбар: нэг зураглал, нэг AAA серверт холбогдсон, бүлэг бүрт нэг мөр. Хэрэв сонголт төхөөрөмжийн байдал, төгсгөлийн цэгийн таних мэдээлэл, хоёр дахь шинж чанар эсвэл цаг хугацааны цонхыг харгалзах ёстой бол зураглалын оролт дуусч, дүрмийг илэрхийлж чадах механизм нь DAP юм. Хэрэв хоёулаа тоглож байгаа бол аль нэгийг нь бичихээс өмнө өөрийн хувилбар дахь давуу эрхийг мэдэж аваарай, учир нь DAP бичлэгт тохирсон сесс зураглалаас буцаасан бодлогыг хадгалахгүй байж болно. Бусад бүх зүйл нягтлан бодох бүртгэл юм.

Шинж чанарын зураглалын зам, тохиргооны дарааллаар

Зураглалын зам AAA серверийн тодорхойлолтоос эхэлдэг. Шинж чанарын зураглал нь холболтын профайл бодитоор ашигладаг LDAP серверийн бичлэгт холбогдсон байх ёстой; ажиллаж буй тохиргоонд байгаа ч тухайн сервер дурдаагүй зураглал юу ч өөрчлөхгүй. Тэр холболтын мөр л бусад тохиргоог амьд болгодог. ASA LDAP зураглалын гарын авлага нь 9.x хувилбарууд дахь зураглалын синтаксийн лавлагаа юм.

Зураглалын дотор нэг мэдэгдэл нь лавлахын шинж чанар болон түүнийг тэжээдэг ASA шинж чанарыг нэрлэдэг, дараагийн мэдэгдлүүд тодорхой утгуудыг хөрвүүлдэг. map-name memberOf Group-Policy болон түүний дараах map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly нь хэлбэр юм: зүүн тал нь лавлах буцаасан зүйл, баруун тал нь аль хэдийн оршин байх ёстой бүлгийн бодлогын нэр. Ялгах нэр ба бодлогын дэлгэцийн нэр нь харилцан солигдохгүй бөгөөд хоёр мөрийн аль нэгэнд бараг тохиролцоо нэвтрэх үед алдаа үүсгэхгүй.

Энд хоёр зүйл хазаж байна: memberOf бүртгэл байгаа бүх бүлгийг буцаадаг тул хоёр зурагласан бүлэгт байгаа хэрэглэгч зураглалд хоёр нэр дэвшигч утга өгдөг, гарын авлагын цагаан толгойн дүрэм нь өөрийн давуу эрхийн дарааллын оронд найдаж болох цорын ганц тэнцлийн шийдэл юм. Зураглаагүй утга юу ч өгөхгүй бөгөөд энэ нь профайлын анхдагч бодлого руу чимээгүй буцдаг.

DAP-ийн зам, түүний нэмдэг зүйл

DAP нөхцөлийг үнэлж, AAA-ийн үр дүн дээр шинж чанаруудыг хэрэглэдэг. Бичлэг нь давуу эрх, үйлдэл болон нөхцөлийн багцыг агуулдаг; бичлэгүүд давуу эрхийн дарааллаар үнэлэгдэж, үйлдэл нь үнэлгээ үргэлжлэх эсвэл зогсохыг шийддэг. Энэ нь утга хайлтаас өөр гүйцэтгэлийн загвар бөгөөд яг ийм учраас зураглал илэрхийлж чадахгүй дүрмийг илэрхийлж чадна.

DAP-ийн нэмдэг зүйл бол оролтууд. Нөхцөлүүд лавлахын шинж чанар, төгсгөлийн цэгийн шинж чанар болон төхөөрөмжийн байдалд дурдаж болох ба тохирсон бичлэг тухайн сессэд зориулсан ACL, URL жагсаалт эсвэл шүүлтүүрийг агуулж болно. Иймээс удирдлагатай зөөврийн компьютер дээрх дэмжлэгийн ажилтнууд зөвхөн унших бодлого авч, мөн ажилтнууд удирдлагагүй төхөөрөмж дээр хязгаарлагдмал бодлого авдаг гэх дүрмийг DAP-д илэрхийлж болно, шинж чанарын зураглалд биш. Зураглал нь яг нэг оролттой: таны нэрлэсэн шинж чанарт лавлах буцаасан утга.

DAP нь сесс буруу бодлогод орсон үед харах хоёр дахь газрыг нэмдэг. Үргэлжлүүлэх үйлдэлтэй тохирсон бичлэг үнэлгээг дуусгахгүй бөгөөд дараагийн бичлэг үр дүнг өөрчилж болзошгүй тул таны харж буй зүйл нь нэг хайлт биш, дарааллын үр дүн юм. Давуу эрхийн дугаарыг дарааллаар нь уншаад, ажлыг нөөц бичлэг хийж байж болзошгүйг санаарай. Харин зураглалд дараалал байхгүй: нэг шинж чанар, нэг утга, нэг хариулт.

Хоёулаа санал нийлэхгүй газар

Давуу эрх нь загварыг эвддэг хэсэг юм. Сесс зураглалын бичлэг болон DAP бичлэгт хоёуланд нь тохирсон үед үр дүн нь хувилбар болон бичлэгийн үйлдлээс хамаардаг тул аль нэг механизм үр дүнг эзэмшдэг гэж таамаглахын оронд өөрийн ASA дээр шалгаарай.

Гурван алдааны горим нь төөрөгдлийн ихэнхийг тайлбарладаг. Тодорхойлогдсон боловч профайлын ашигладаг серверийн шошгонд хэзээ ч холбогдоогүй зураглал нь хаана ч алдаагүйгээр анхдагч бодлогыг өгдөг. Лавлахын утгаас том жижиг үсэг эсвэл зайгаар ялгаатай DAP нөхцөлийн мөр хэзээ ч тохирохгүй бөгөөд нөөц бичлэг чимээгүйгээр хэрэгжинэ. Харин хараахан байхгүй бүлгийн бодлогыг зураглал хүлээн авдаг, учир нь зураглал зөвхөн нэр буцаадаг тул сесс төлөвлөсөн зөвшөөрлийн аль нэгийг ч авдаггүй бөгөөд логт дутуу объектыг заасан зүйл байхгүй. Бүлгийн гишүүнчлэлд хүрэхээс өмнө гурвыг шалгаарай.

Амьд сессээс нотолгоог унших

Хариултыг тохиргооноос биш, шинэ сессээс уншаарай. show vpn-sessiondb detail anyconnect filter name jdoe сесс бодитоор авсан бүлгийн бодлогыг хэвлэдэг, show running-config ldap attribute-map зураглал ямар утгуудыг буцааж болохыг баталгаажуулдаг. Лавлахын талд test aaa-server authentication LDAP-AD username jdoe password <password> ASA-ийн буцааж авсан шинж чанаруудыг харуулж, debug ldap 255 тест таны хүлээлттэй тохирохгүй үед солилцоог харуулдаг.

Дараа нь дөрвөн бичлэгийг бичгээр тулгаарай: лавлахын утга, тохируулсан зураглал эсвэл DAP нөхцөл, локал бүлгийн бодлого, хэрэглэгчийн бодитоор хүрч чадсан нөөц. Эхний гурав тохирч, дөрөв дэх нь тохирохгүй бол асуудал сонголтод биш, бодлогын үндсэн хэсэгт байна. Хэрэв сесс зөв бодлогын нэрийг харуулж байгаа ч ACL буруу байвал LDAP-ыг харахаа бүрмөсөн зогсоо. Нэг удаад нэг бичлэг өөрчилж, шинэ сессийг дахин шалгаарай, учир нь дахин холбогдсон сесс л таны саяхан бичсэн тохиргоог тусгасан цорын ганц нотолгоо юм.