VPN समूह नीतिका लागि ASA LDAP समूह म्यापिङ बनाम DAP

AnyConnect सत्रले कुन समूह नीति पाउँछ भन्ने दुई छुट्टै रेकर्डले निर्धारण गर्छन्, र ती कन्फिगरेसनका फरक भागमा फरक असफलता मोडसँग बस्छन्। LDAP विशेषता म्यापले प्रमाणीकरणका क्रममा निर्देशिकाको मानलाई ASA अधिकार विशेषतामा रूपान्तरण गर्छ; DAP रेकर्डले पछि सर्तहरू मूल्याङ्कन गर्छ र विशेषताहरू थप्न वा अधिलेखन गर्न सक्छ। दुवै एउटै नीति नाममा अन्त्य हुन सक्छन्, त्यसैले सफल लगइनले कुन संयन्त्रले यो बनायो भन्ने बताउँदैन। तिनीहरूको तुलना गर्नुको अर्थ दोस्रोले पहिलोलाई चुपचाप अधिक्रमण गर्न नदिई जानाजानी एउटा छान्नु हो।

दुई संयन्त्र, दुई निर्णय बिन्दु

चुनाव तीन प्रश्नमा आउँछ। निर्णय निर्देशिकाको एउटै विशेषता मानमा निर्भर छ, त्यसलाई त्यो मानभन्दा बढी चाहिन्छ, र दुवै मिल्दा कुन संयन्त्रले जित्न पाउँछ?

यदि एकमात्र इनपुट समूह सदस्यता हो भने, विशेषता म्याप सानो उपकरण हो र अडिट गर्न सजिलो: एउटा म्याप, एउटा AAA सर्भरमा जोडिएको, प्रत्येक समूहका लागि एक लाइन। यदि चयनले यन्त्रको अवस्था, इन्डपोइन्ट पहिचान, दोस्रो विशेषता वा समय विन्डो विचार गर्नुपर्छ भने, म्यापका इनपुट सकिन्छन् र नियम व्यक्त गर्न सक्ने संयन्त्र DAP हो। दुवै प्रयोगमा छन् भने, कुनै पनि लेख्नुअघि आफ्नो रिलिजमा प्राथमिकता जान्नुहोस्, किनकि DAP रेकर्डसँग मिल्ने सत्रले म्यापले फर्काएको नीति कायम नराख्न सक्छ। बाँकी सबै हिसाब हो।

विशेषता म्यापको मार्ग, कन्फिगरेसन क्रममा

म्यापको मार्ग AAA सर्भर परिभाषाबाट सुरु हुन्छ। विशेषता म्याप कनेक्सन प्रोफाइलले वास्तवमा प्रयोग गर्ने LDAP सर्भर प्रविष्टिसँग जोडिएको हुनुपर्छ; चालु कन्फिगरेसनमा भए पनि त्यो सर्भरले सन्दर्भ नगरेको म्यापले केही बदल्दैन। त्यही जोड्ने लाइनले बाँकी कन्फिगरेसनलाई जीवित बनाउँछ। ASA LDAP म्यापिङ गाइड 9.x रिलिजहरूमा म्याप सिन्ट्याक्सका लागि सन्दर्भ हो।

म्यापभित्र, एउटा कथनले निर्देशिका विशेषता र त्यसले पोषण गर्ने ASA विशेषताको नाम दिन्छ, र थप कथनहरूले विशिष्ट मानहरू अनुवाद गर्छन्। map-name memberOf Group-Policy र त्यसपछि map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly आकार हो: बायाँ पक्ष निर्देशिकाले फर्काएको कुरा, दायाँ पक्ष पहिले नै अवस्थित हुनुपर्ने समूह नीतिको नाम। विशिष्ट नाम र नीतिको प्रदर्शन नाम आपसमा बदल्न मिल्दैन, र दुवै स्ट्रिङमध्ये नजिकको मेलले लगइनमा कुनै त्रुटि दिँदैन।

यहाँ दुई कुराले टोक्छन्: memberOf खाता रहेका प्रत्येक समूह फर्काउँछ, त्यसैले दुई म्याप गरिएका समूहमा रहेको प्रयोगकर्ताले म्यापलाई दुई उम्मेदवार मान दिन्छ, र गाइडको वर्णानुक्रम नियम नै तपाईंको आफ्नै प्राथमिकता क्रमको सट्टा भरोसा गर्न सकिने एकमात्र टाई-ब्रेक हो। म्याप नगरिएको मानले केही दिँदैन, जो चुपचाप प्रोफाइलको पूर्वनिर्धारित नीतिमा फर्किन्छ।

DAP मार्ग, र यसले के थप्छ

DAP सर्तहरू मूल्याङ्कन गर्छ र AAA नतिजामाथि विशेषताहरू लागू गर्छ। रेकर्डमा प्राथमिकता, कार्य र सर्तहरूको समूह हुन्छ; रेकर्डहरू प्राथमिकता क्रममा मूल्याङ्कन गरिन्छन् र कार्यले मूल्याङ्कन जारी रहने वा रोकिने निर्णय गर्छ। यो मान खोजभन्दा फरक कार्यान्वयन मोडेल हो, र त्यसैले म्यापले व्यक्त गर्न नसक्ने नियमहरू व्यक्त गर्न सक्छ।

DAP ले थप्ने कुरा इनपुटहरू हुन्। सर्तहरूले निर्देशिका विशेषता, इन्डपोइन्ट विशेषता र यन्त्रको अवस्थालाई सन्दर्भ गर्न सक्छन्, र मिल्ने रेकर्डले त्यो सत्रका लागि ACL, URL सूची वा फिल्टर बोक्न सक्छ। त्यसैले व्यवस्थापित ल्यापटपमा रहेका सहयोग कर्मचारीले पढ्न-मात्र नीति पाउने र तीही कर्मचारीले अव्यवस्थापित यन्त्रमा सीमित नीति पाउने भन्ने नियम DAP मा व्यक्त गर्न सकिन्छ, विशेषता म्यापमा होइन। म्यापसँग ठ्याक्कै एउटा इनपुट छ: तपाईंले नाम दिनुभएको विशेषताका लागि निर्देशिकाले फर्काएको मान।

सत्र गलत नीतिमा पर्दा हेर्ने दोस्रो ठाउँ पनि DAP ले थप्छ। जारी राख्ने कार्यसँग मिल्ने रेकर्डले मूल्याङ्कन अन्त्य गर्दैन, र पछिको रेकर्डले नतिजा अझै बदल्न सक्छ, त्यसैले तपाईंले देख्नुभएको कुरा एउटा क्रमको परिणाम हो, एउटै खोजको होइन। प्राथमिकता नम्बरहरू क्रममा पढ्नुहोस्, र काम ब्याकअप रेकर्डले गरिरहेको हुन सक्छ भन्ने सम्झनुहोस्। म्यापसँग भने कुनै क्रम छैन: एउटा विशेषता, एउटा मान, एउटा उत्तर।

दुवै नमिल्ने ठाउँ

प्राथमिकता नै डिजाइन तोड्ने भाग हो। सत्र म्याप प्रविष्टि र DAP रेकर्ड दुवैसँग मिल्दा, नतिजा रिलिज र रेकर्डको कार्यमा निर्भर हुन्छ, त्यसैले कुनै एउटा संयन्त्रले नतिजाको स्वामित्व राख्छ भनी मान्नुको सट्टा आफ्नै ASA मा जाँच्नुहोस्।

तीन असफलता मोडले अधिकांश भ्रम व्याख्या गर्छन्। परिभाषित तर प्रोफाइलले प्रयोग गर्ने सर्भर ट्यागसँग कहिल्यै नजोडिएको म्यापले कतै पनि कुनै त्रुटिबिना पूर्वनिर्धारित नीति दिन्छ। निर्देशिका मानभन्दा ठूला-साना अक्षर वा खाली ठाउँमा फरक पर्ने DAP सर्त स्ट्रिङ कहिल्यै मिल्दैन, र ब्याकअप रेकर्ड चुपचाप लागू हुन्छ। र अझै नभएको समूह नीति म्यापले स्वीकार गर्छ, किनकि म्यापले नाम मात्र फर्काउँछ, त्यसैले सत्रले इच्छित अनुमतिहरूमध्ये कुनै पाउँदैन र लगमा हराएको वस्तुतर्फ देखाउने केही हुँदैन। समूह सदस्यता छुनुअघि तीनै जाँच्नुहोस्।

जीवित सत्रबाट प्रमाण पढ्ने

उत्तर कन्फिगरेसनबाट होइन, नयाँ सत्रबाट पढ्नुहोस्। show vpn-sessiondb detail anyconnect filter name jdoe सत्रले वास्तवमा पाएको समूह नीति छाप्छ, र show running-config ldap attribute-map म्यापले कुन मानहरू फर्काउन सक्थ्यो भनी पुष्टि गर्छ। निर्देशिकाकोतर्फ, test aaa-server authentication LDAP-AD username jdoe password <password> ASA ले फर्काएर पाएका विशेषताहरू देखाउँछ, र debug ldap 255 परीक्षण तपाईंको अपेक्षासँग नमिल्दा त्यो आदानप्रदान देखाउँछ।

त्यसपछि चार रेकर्ड लिखित रूपमा मिलाउनुहोस्: निर्देशिकाको मान, कन्फिगर गरिएको म्याप वा DAP सर्त, स्थानीय समूह नीति र प्रयोगकर्ता वास्तवमा पुग्न सकेको स्रोत। पहिलो तीन मिले र चौथो नमिले, समस्या छनोटमा होइन, नीतिको मुख्य भागमा छ. यदि सत्रले सही नीति नाम देखाउँछ तर गलत ACL, तर LDAP हेर्न पूरै बन्द गर्नुहोस्। एकैचोटि एउटा रेकर्ड बदल्नुहोस् र नयाँ सत्र पुनः जाँच्नुहोस्, किनकि पुनः जोडिएको सत्र मात्र तपाईंले भर्खर लेख्नुभएको कन्फिगरेसन प्रतिबिम्बित गर्ने प्रमाण हो।