Mapping tal-gruppi LDAP fl-ASA kontra DAP għall-politika tal-grupp VPN

Żewġ rekords separati jiddeċiedu liema politika tal-grupp tirċievi sessjoni AnyConnect, u jgħixu f'partijiet differenti tal-konfigurazzjoni b'modi ta' falliment differenti. Mappa tal-attributi LDAP tittraduċi valur mid-direttorju f'attribut ta' awtorizzazzjoni ASA waqt l-awtentikazzjoni; rekord DAP jevalwa l-kundizzjonijiet wara u jista' jżid jew jaqbeż attributi. It-tnejn jistgħu jispiċċaw fl-istess isem tal-politika, allura login li jaħdem ma jgħidlek xejn dwar liema mekkaniżmu pproduċieh. Is-sens tat-tqabbil huwa li tagħżel wieħed b'mod deliberat minflok tħalli t-tieni jaqbeż l-ewwel bil-kwiet.

Żewġ mekkaniżmi, żewġ punti ta' deċiżjoni

L-għażla tinżel għal tliet mistoqsijiet. Id-deċiżjoni tiddependi fuq valur wieħed ta' attribut mid-direttorju, teħtieġ iktar minn dak il-valur, u liema mekkaniżmu jista' jirbaħ meta t-tnejn jaqblu?

Jekk l-uniku input huwa sħubija fil-grupp, il-mappa tal-attributi hija l-għodda iżgħar u dik li hija l-eħfef biex tawditjaha: mappa waħda, marbuta ma' server AAA wieħed, b'linja waħda għal kull grupp. Jekk l-għażla trid tqis il-postura, l-identità tal-endpoint, it-tieni attribut jew tieqa ta' ħin, l-inputs tal-mappa jispiċċaw u DAP hija l-mekkaniżmu li jista' jesprimi r-regola. Jekk it-tnejn huma fil-logħba, tgħallem il-preċedenza fil-verżjoni tiegħek qabel ma tikteb wieħed minnhom, għax sessjoni li taqbel ma' rekord DAP tista' ma żżommx il-politika li rritornat il-mappa. Kull ħaġa oħra hija kontabilità.

It-triq tal-mappa tal-attributi, fl-ordni tal-konfigurazzjoni

It-triq tal-mappa tibda fid-definizzjoni tas-server AAA. Il-mappa tal-attributi trid tkun marbuta mal-entrata tas-server LDAP li l-profil tal-konnessjoni fil-fatt juża; mappa li teżisti fil-konfigurazzjoni li taħdem imma li ma hijiex referenzjata minn dak is-server ma tbiddel xejn. Dik il-linja tal-irbit hija dik li tagħmel il-bqija tal-konfigurazzjoni ħajja. Il-gwida tal-immappjar LDAP tal-ASA hija r-referenza għas-sintassi tal-mappa fil-verżjonijiet 9.x.

Ġewwa l-mappa, dikjarazzjoni waħda ssemmi l-attribut tad-direttorju u l-attribut ASA li tmantni, u dikjarazzjonijiet oħra jittraduċu valuri speċifiċi. map-name memberOf Group-Policy segwit minn map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly hija l-forma: in-naħa tax-xellug hija dak li rritorna d-direttorju, in-naħa tal-lemin hija l-isem ta' politika tal-grupp li trid tkun diġà teżisti. Isem distint u isem tal-wiri ta' politika mhumiex interkambjabbli, u kważi-qabla f'waħda jew oħra miż-żewġ strings ma tipproduċi l-ebda żball fil-login.

Żewġ dettalji jigdim hawn: memberOf jirritorna kull grupp li l-kont jappartjeni għalih, allura utent f'żewġ gruppi mmappjati jagħti lill-mappa żewġ valuri kandidati, u r-regola alfabetika fil-gwida hija l-uniku tie-break li tista' tiddependi fuqu minflok l-ordni ta' priorità tiegħek. Valur mhux immappjat ma jagħti xejn, li jaqa' bil-kwiet lura għall-politika default tal-profil.

It-triq DAP, u x'żżid

DAP tevalwa l-kundizzjonijiet u tapplika l-attributi fuq ir-riżultat AAA. Rekord iġorr priorità, azzjoni u sett ta' kundizzjonijiet; ir-rekords jiġu evalwati fl-ordni tal-priorità u l-azzjoni tiddeċiedi jekk l-evalwazzjoni tkomplix jew tieqaf. Dan huwa mudell ta' eżekuzzjoni differenti minn tfittxija tal-valur, u għalhekk jista' jesprimi regoli li l-mappa ma tistax.

Dak li żżid DAP huma l-inputs. Il-kundizzjonijiet jistgħu jirreferu għal attributi tad-direttorju, attributi tal-endpoint u l-istat tal-apparat, u rekord li jaqbel jista' jġorr ACLs, listi tal-URL jew filtri għal dik is-sessjoni. Għalhekk regola bħal persunal ta' appoġġ fuq laptop ġestit jirċievi l-politika ta' qari biss filwaqt li l-istess persunal fuq apparat mhux ġestit jirċievi waħda ristretta hija espressibbli f'DAP u mhux f'mappa tal-attributi. Il-mappa għandha eżattament input wieħed: il-valur li rritorna d-direttorju għall-attribut li semmejt.

DAP iżżid ukoll it-tieni post fejn tħares meta sessjoni tispiċċa fil-politika ħażina. Rekord li jaqbel b'azzjoni ta' kompli ma jtemmx l-evalwazzjoni, u rekord aktar tard għadu jista' jbiddel ir-riżultat, allura dak li tosserva huwa l-prodott ta' sekwenza u mhux ta' tfittxija waħda. Aqra n-numri tal-priorità fl-ordni, u ftakar li r-rekord ta' fallback jista' jkun dak li jagħmel ix-xogħol. Il-mappa, għall-kuntrarju, m'għandha l-ebda sekwenza: attribut wieħed, valur wieħed, tweġiba waħda.

Fejn it-tnejn ma jaqblux

Il-preċedenza hija l-parti li tkisser id-disinji. Meta sessjoni taqbel kemm ma' entrata tal-mappa kif ukoll ma' rekord DAP, ir-riżultat jiddependi mill-verżjoni u mill-azzjoni tar-rekord, allura ivverifikah fuq l-ASA tiegħek stess minflok tassumi li wieħed mill-mekkaniżmi jippossjedi r-riżultat.

Tliet modi ta' falliment jispjegaw il-biċċa l-kbira tal-konfużjoni. Mappa definita imma qatt ma marbuta mat-tikketta tas-server li juża l-profil tipproduċi l-politika default mingħajr ebda żball imkien. String ta' kundizzjoni DAP li jkun differenti mill-valur tad-direttorju fil-kaxxa tal-ittri jew fl-ispazji qatt ma jaqbel, u r-rekord ta' fallback jiġi applikat bil-kwiet. U politika tal-grupp li għadha ma teżistix tiġi aċċettata mill-mappa, għax il-mappa tirritorna biss isem, allura s-sessjoni ma tirċievi l-ebda wieħed mill-permessi maħsuba u xejn fil-log ma jindika lejn l-oġġett nieqes. Iċċekkja t-tlieta qabel ma tmiss is-sħubija fil-grupp.

Il-qari tal-evidenza minn sessjoni ħajja

Aqra t-tweġiba minn sessjoni ġdida u mhux mill-konfigurazzjoni. show vpn-sessiondb detail anyconnect filter name jdoe tipprintja l-politika tal-grupp li s-sessjoni fil-fatt irċeviet, u show running-config ldap attribute-map tikkonferma liema valuri setgħet irritornat il-mappa. Fuq in-naħa tad-direttorju, test aaa-server authentication LDAP-AD username jdoe password <password> turi l-attributi li l-ASA rċeviet lura, u debug ldap 255 turi l-iskambju meta t-test ma jaqbilx ma' dak li kont qed tistenna.

Imbagħad irrikonċilja erba' rekords bil-miktub: il-valur tad-direttorju, il-mappa jew il-kundizzjoni DAP konfigurati, il-politika tal-grupp lokali u r-riżorsa li l-utent fil-fatt seta' jasal għaliha. Jekk l-ewwel tlieta jaqblu u r-raba' le, il-problema tinsab fil-ġisem tal-politika u mhux fl-għażla. Jekk is-sessjoni turi l-isem tal-politika t-tajjeb imma l-ACL ħażina, waqaf għal kollox milli tħares lejn LDAP. Ibdel rekord wieħed kull darba u erġa' ċċekkja sessjoni ġdida, għax sessjoni rikonnessa hija l-unika evidenza li tirrifletti l-konfigurazzjoni li għadek kif ktibt.