ASA-gruppealias mot gruppe-URL: korleis profilen blir vald

Ein tilkoplingsprofil styrer ein sesjon først etter at ASA har valt han. Den setninga er heile feilsøkingsmodellen for ein gamal klientlaus portal. Ein ubrukt profil kan ha perfekte tilgangsreglar og likevel ikkje gjelde for nokon. Følg inngangspunktet for pålogging før du endrar nokon policy.

Skilnadene nedanfor følgjer 9.16-dokumentasjonen; klientlaus SSL VPN vart fjerna i 9.17(1) og seinare.

Aliaset er ei listepost, ikkje ei URL

group-alias gir ei etikett som brukaren vel frå gruppelista på påloggingssida. Å visa den lista er ei eiga innstilling, tunnel-group-list enable. Aliaset er eit valnamn og ikkje noko meir. Å konfigurere eit alias kalla staff lagar ikkje ei /staff-URL som vel profilen.

Folk ventar at aliaset gjer dobbelt arbeid, fordi lista og URL-a frå nettlesaren ser ut som det same valet.

Kva group-url faktisk matchar

group-url bind ei innkomande URL til ein tilkoplingsprofil. Når den aktiverte URL-a matchar, vel ASA profilen utan å be brukaren velje frå lista. URL-a må vere den komplette tiltenkte, i syntaksen versjonen din støttar. DNS-oppføringa og sertifikatet må stemme med det brukarane skriv, elles får matchinga aldri skje.

Eit kopiert URL-suffiks beviser ingenting om konfigurasjonen. Kontroller profilen, ikkje adresselinja.

Følg valet inn i policyen som køyrer

Når ei tunnelgruppe er vald, løyser eininga opp autentiseringsmetoden og standardgruppepolicyen som er knytt til henne. Deretter kan brukarspecifikke attributt, verdiar autentiseringa returnerer og dynamisk autorisasjon overstyre delar av dette grunnlaget. Undersøk kva sesjonen faktisk fekk. Å lese den namngjevne policyen åleine gir grunnlaget, ikkje resultatet.

Gapet mellom dei to er opphavet til dei fleste rapportane om «regelen er riktig, men tilgangen er feil».

Arv er ikkje isolasjon

Attributt du lèt vere uspesifiserte, kan arvast frå standardgruppepolicyen. Ein ny namngjeven policy er derfor ikkje lukka frå delte standardverdiar, og endring av dei når kvar profil som arvar dei. Samanlikn faktisk ressurstilgang, DNS-innstillingar og sesjonsavgrensingar per profil. Gjer det før du endrar noko delt.

Hald òg handhevinga av tilgang skild frå valet.

For ein klientlaus sesjon er det aktuelle filteret webtype-ACL-en. Eit VPN-filter for tunnelklientar er ikkje ei erstatning berre fordi begge ligg nær same policyblokk i konfigurasjonen.

Avgjer tilfellet utan match, og test deretter kvar veg

Bestem kva som skal skje på den generiske URL-a til portalen og ved andre inngangspunkt utan match. Sjå på den reelle standardprofilvegen og autorisasjonen hans i staden for å endre ein delt standard slik at éin testkonto slepp gjennom. Opne deretter tre ferske sesjonar: den eksplisitte URL-a, den aktiverte listeposten og det generiske inngangspunktet. Noter den valde profilen og den effektive policyen for kvar av dei.

Gjenbruk av ei nettlesarfane frå ei tidlegare pålogging øydelegg samanlikninga, fordi den sesjonen alt er bunden til ein profil.

Den registreringa gjer «portalen opnar» om til ei tildeling frå pålogging til policy som du kan revidere seinare, og det er det einaste varige svaret når ein profil ser riktig ut og ikkje styrer nokon.