Alias kumpulan ASA berbanding URL kumpulan: cara profil dipilih

Profil sambungan hanya mengawal sesi selepas ASA memilihnya. Ayat itu ialah keseluruhan model penyelesaian masalah untuk portal lama tanpa klien. Profil yang tidak digunakan boleh mempunyai peraturan akses sempurna dan masih tidak terpakai kepada sesiapa. Jejaki titik masuk log masuk sebelum anda mengedit mana-mana dasar.

Perbezaan di bawah mengikut dokumentasi 9.16; SSL VPN tanpa klien telah dibuang dalam 9.17(1) dan seterusnya.

Alias ialah entri senarai, bukan URL

group-alias membekalkan label yang dipilih pengguna daripada senarai kumpulan pada halaman log masuk. Memaparkan senarai itu ialah tetapan berasingan, tunnel-group-list enable. Alias hanyalah nama pilihan dan tidak lebih. Mengkonfigurasi alias bernama staff tidak mencipta URL /staff yang memilih profil itu.

Orang ramai menjangka alias melakukan kerja berganda kerana, dari dalam pelayar, senarai dan URL kelihatan seperti pilihan yang sama.

Apa yang sebenarnya dipadankan oleh group-url

group-url mengikat URL masuk kepada profil sambungan. Apabila URL yang didayakan itu sepadan, ASA memilih profil tanpa meminta pengguna memilih daripada senarai. URL mesti alamat lengkap yang dimaksudkan, dalam sintaks yang disokong keluaran anda. Rekod DNS dan sijilnya mesti sepadan dengan apa yang ditaip pengguna, jika tidak padanan itu tidak akan berlaku.

Akhiran URL yang disalin tidak membuktikan apa-apa tentang konfigurasi. Periksa profil, bukan bar alamat.

Ikuti pemilihan sehingga ke dasar yang berjalan

Setelah kumpulan terowong dipilih, peranti menyelesaikan kaedah pengesahan dan dasar kumpulan lalai yang terikat padanya. Kemudian atribut khusus pengguna, nilai yang dikembalikan oleh pengesahan, dan kebenaran dinamik boleh mengatasi sebahagian asas itu. Periksa apa yang sebenarnya diterima oleh sesi. Membaca dasar bernama sahaja memberi anda asasnya, bukan hasilnya.

Jurang antara keduanya ialah punca kebanyakan laporan «peraturannya betul tetapi aksesnya salah».

Pewarisan bukan pengasingan

Atribut yang anda biarkan tidak dinyatakan boleh diwarisi daripada dasar kumpulan lalai. Oleh itu dasar bernama baharu tidak terpisah daripada nilai lalai yang dikongsi, dan mengeditnya sampai kepada setiap profil yang mewarisinya. Bandingkan akses sumber yang berkesan, tetapan DNS dan sekatan sesi bagi setiap profil. Lakukan itu sebelum mengubah apa-apa yang dikongsi.

Asingkan juga penguatkuasaan akses daripada pemilihan.

Untuk sesi tanpa klien, penapis yang terpakai ialah ACL webtype. Penapis VPN untuk klien terowong bukan penggantinya semata-mata kerana kedua-duanya terletak berhampiran blok dasar yang sama dalam konfigurasi.

Tentukan kes yang tidak sepadan, kemudian uji setiap laluan

Tentukan apa yang sepatutnya berlaku pada URL portal generik dan pada titik masuk lain yang tidak sepadan. Lihat laluan profil lalai yang sebenar dan kebenarannya dan bukannya mengedit lalai yang dikongsi supaya satu akaun ujian lulus. Kemudian buka tiga sesi baharu: URL eksplisit, entri senarai yang didayakan dan titik masuk generik. Catat profil yang dipilih dan dasar berkesan bagi setiap satu.

Menggunakan semula tab pelayar daripada log masuk terdahulu merosakkan perbandingan, kerana sesi itu sudah terikat kepada profil.

Catatan itu menukar «portal terbuka» menjadi pemetaan log masuk-ke-dasar yang boleh anda audit kemudian, dan itulah satu-satunya jawapan yang tahan lama apabila profil kelihatan betul tetapi tidak mengawal sesiapa.