Pemetaan kumpulan LDAP dalam ASA berbanding DAP untuk dasar kumpulan VPN

Dua rekod berasingan menentukan dasar kumpulan mana yang diterima oleh sesi AnyConnect, dan kedua-duanya berada di bahagian konfigurasi yang berbeza dengan mod kegagalan yang berbeza. Peta atribut LDAP menterjemah nilai direktori kepada atribut kebenaran ASA semasa pengesahan; rekod DAP menilai syarat selepas itu dan boleh menambah atau menimpa atribut. Kedua-duanya boleh berakhir pada nama dasar yang sama, jadi log masuk yang berjaya tidak memberitahu anda mekanisme mana yang menghasilkannya. Tujuan membandingkannya adalah untuk memilih satu secara sedar dan bukannya membiarkan yang kedua menimpa yang pertama secara senyap.

Dua mekanisme, dua titik keputusan

Pilihan ini berkisar pada tiga soalan. Adakah keputusan bergantung pada satu nilai atribut direktori, adakah ia memerlukan lebih daripada nilai itu, dan mekanisme mana yang dibenarkan menang apabila kedua-duanya sepadan?

Jika satu-satunya input ialah keahlian kumpulan, peta atribut ialah alat yang lebih kecil dan lebih mudah diaudit: satu peta, terikat pada satu pelayan AAA, dengan satu baris bagi setiap kumpulan. Jika pemilihan mesti mengambil kira postur, identiti titik akhir, atribut kedua atau tetingkap masa, input peta akan habis dan DAP ialah mekanisme yang boleh menyatakan peraturan itu. Jika kedua-duanya digunakan, ketahui keutamaan pada keluaran anda sebelum menulis mana-mana daripadanya, kerana sesi yang sepadan dengan rekod DAP mungkin tidak mengekalkan dasar yang dikembalikan oleh peta. Selebihnya ialah perakaunan.

Laluan peta atribut, mengikut susunan konfigurasi

Laluan peta bermula pada definisi pelayan AAA. Peta atribut mesti terikat pada entri pelayan LDAP yang benar-benar digunakan oleh profil sambungan; peta yang wujud dalam konfigurasi berjalan tetapi tidak dirujuk oleh pelayan itu tidak mengubah apa-apa. Baris ikatan itulah yang menghidupkan seluruh konfigurasi yang lain. panduan pemetaan LDAP ASA ialah rujukan untuk sintaks peta dalam keluaran 9.x.

Di dalam peta, satu pernyataan menamakan atribut direktori dan atribut ASA yang diberinya makan, dan pernyataan seterusnya menterjemah nilai tertentu. map-name memberOf Group-Policy diikuti oleh map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly ialah bentuknya: sebelah kiri ialah apa yang dikembalikan oleh direktori, sebelah kanan ialah nama dasar kumpulan yang mesti sudah wujud. Nama tersendiri dan nama paparan dasar tidak boleh ditukar ganti, dan hampir padanan dalam mana-mana rentetan tidak menghasilkan sebarang ralat semasa log masuk.

Dua perkara menggigit di sini: memberOf mengembalikan setiap kumpulan yang dianggotai akaun, jadi pengguna dalam dua kumpulan yang dipetakan memberikan peta dua nilai calon, dan peraturan abjad dalam panduan ialah satu-satunya pemutus seri yang boleh anda harapkan dan bukannya susunan keutamaan anda sendiri. Nilai yang tidak dipetakan tidak memberikan apa-apa, yang kembali secara senyap kepada dasar lalai profil.

Laluan DAP, dan apa yang ditambahnya

DAP menilai syarat dan menggunakan atribut di atas hasil AAA. Satu rekod membawa keutamaan, tindakan dan satu set syarat; rekod dinilai mengikut susunan keutamaan dan tindakan menentukan sama ada penilaian berterusan atau berhenti. Itu model pelaksanaan yang berbeza daripada carian nilai, dan itulah sebabnya ia boleh menyatakan peraturan yang tidak dapat dilakukan oleh peta.

Apa yang ditambah oleh DAP ialah input. Syarat boleh merujuk atribut direktori, atribut titik akhir dan keadaan peranti, dan rekod yang sepadan boleh membawa ACL, senarai URL atau penapis untuk sesi itu. Jadi peraturan seperti kakitangan sokongan pada komputer riba terurus mendapat dasar baca sahaja manakala kakitangan yang sama pada peranti tidak terurus mendapat dasar terhad boleh dinyatakan dalam DAP dan bukan dalam peta atribut. Peta mempunyai tepat satu input: nilai yang dikembalikan oleh direktori untuk atribut yang anda namakan.

DAP juga menambah tempat kedua untuk dilihat apabila sesi berakhir dalam dasar yang salah. Rekod yang sepadan dengan tindakan teruskan tidak menamatkan penilaian, dan rekod kemudian masih boleh mengubah hasil, jadi apa yang anda perhatikan ialah hasil daripada satu jujukan dan bukan satu carian. Baca nombor keutamaan mengikut susunan, dan ingat bahawa rekod sandaran mungkin yang melakukan kerja itu. Peta, sebaliknya, tidak mempunyai jujukan: satu atribut, satu nilai, satu jawapan.

Di mana kedua-duanya tidak bersetuju

Keutamaan ialah bahagian yang memecahkan reka bentuk. Apabila sesi sepadan dengan entri peta dan rekod DAP sekali gus, hasilnya bergantung pada keluaran dan pada tindakan rekod, jadi sahkan pada ASA anda sendiri dan bukannya menganggap salah satu mekanisme memiliki hasilnya.

Tiga mod kegagalan menjelaskan sebahagian besar kekeliruan. Peta yang ditakrifkan tetapi tidak pernah terikat pada tag pelayan yang digunakan oleh profil menghasilkan dasar lalai tanpa sebarang ralat di mana-mana. Rentetan syarat DAP yang berbeza daripada nilai direktori dari segi huruf besar atau ruang tidak akan sepadan, dan rekod sandaran terpakai secara senyap. Dan dasar kumpulan yang belum wujud diterima oleh peta, kerana peta hanya mengembalikan nama, jadi sesi tidak mendapat mana-mana kebenaran yang dimaksudkan dan tiada apa-apa dalam log yang menunjuk kepada objek yang hilang itu. Periksa ketiga-tiganya sebelum menyentuh keahlian kumpulan.

Membaca bukti daripada sesi langsung

Baca jawapannya daripada sesi baharu dan bukan daripada konfigurasi. show vpn-sessiondb detail anyconnect filter name jdoe mencetak dasar kumpulan yang benar-benar diterima oleh sesi, dan show running-config ldap attribute-map mengesahkan nilai mana yang boleh dikembalikan oleh peta. Di sebelah direktori, test aaa-server authentication LDAP-AD username jdoe password <password> menunjukkan atribut yang diterima kembali oleh ASA, dan debug ldap 255 menunjukkan pertukaran apabila ujian tidak sepadan dengan apa yang anda jangkakan.

Kemudian selaraskan empat rekod secara bertulis: nilai direktori, peta atau syarat DAP yang dikonfigurasikan, dasar kumpulan tempatan dan sumber yang benar-benar boleh dicapai oleh pengguna. Jika tiga yang pertama sepadan dan yang keempat tidak, masalahnya ada pada badan dasar dan bukan pada pemilihan. Jika sesi menunjukkan nama dasar yang betul tetapi ACL yang salah, berhenti melihat LDAP sama sekali. Ubah satu rekod pada satu masa dan periksa semula sesi baharu, kerana sesi yang disambung semula ialah satu-satunya bukti yang mencerminkan konfigurasi yang baru anda tulis.