په ASA کې د LDAP ګروپونو نقشه اخیستنه د DAP په مقابل کې د VPN ګروپ پالیسۍ لپاره

دوه جلا ریکارډونه ټاکي چې یوه AnyConnect ناسته کومه ګروپي پالیسي ترلاسه کوي، او دوی د ترتیباتو په بېلو برخو کې دي، د بېلو ناکامۍ حالتونو سره. د LDAP ځانګړتیاوو نقشه د تصدیق پر مهال د لارښود یوه ارزښت ته د ASA د اجازې ځانګړتیا بدلوي؛ د DAP ریکارډ وروسته شرایط ارزوي او کولای شي ځانګړتیاوې اضافه یا پایمال کړي. دواړه کولای شي په هماغه پالیسي نوم پای ته ورسېږي، نو بریالۍ ننوتنه تاسو ته هېڅ نه وایي چې کوم میکانیزم یې جوړ کړی. د دوی پرتلې مانا دا ده چې په قصد سره یو وټاکئ، نه دا چې دویم په چوپتیا لومړی لاندې کړي.

دوه میکانیزمونه، دوه د پرېکړې ټکي

ټاکنه درې پوښتنو ته راځي. ایا پرېکړه د لارښود د یوې ځانګړتیا ارزښت پورې تړلې ده، ایا له هغه ارزښت زیات څه ته اړتیا لري، او کله چې دواړه سره سمون وخوري کوم میکانیزم د ګټلو اجازه لري؟

که یوازینی انپټ د ګروپ غړیتوب وي، د ځانګړتیاوو نقشه کوچنی اوزار دی او د پلټنې لپاره اسانه: یوه نقشه، یو AAA سرور ته تړلې، د هر ګروپ لپاره یوه کرښه. که ټاکنه باید د وسیلې حالت، د پای ټکي هویت، دویمه ځانګړتیا یا د وخت کړکۍ په پام کې ونیسي، د نقشې انپټونه ختم شي او DAP هغه میکانیزم دی چې قاعده بیانولای شي. که دواړه په لوبه کې وي، د یوې لیکلو دمخه په خپل خپرونه کې لومړیتوب زده کړئ، ځکه چې د DAP ریکارډ سره سمون خوړونکې ناسته کېدای شي د نقشې راګرځول شوې پالیسي ونه ساتي. نور هر څه حساب دی.

د ځانګړتیاوو نقشې لار، د ترتیباتو په ترتیب

د نقشې لار د AAA سرور له تعریف پیلېږي. د ځانګړتیاوو نقشه باید د هغه LDAP سرور ننوتنې سره تړلې وي چې د اړیکې پروفایل یې په رښتیا کاروي؛ هغه نقشه چې په روانو ترتیباتو کې شته خو هغه سرور ورته اشاره نه کوي هېڅ نه بدلوي. هماغه د تړلو کرښه پاتې ترتیبات ژوندي کوي. په ASA کې د LDAP نقشې اخیستنې لارښود په 9.x خپرونو کې د نقشې سینټکس لپاره مرجع ده.

د نقشې په دننه کې یوه جمله د لارښود ځانګړتیا او هغه ASA ځانګړتیا نوموي چې تغذیه کوي، او نورې جملې ځانګړي ارزښتونه ژباړي. map-name memberOf Group-Policy او ورپسې map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly بڼه ده: کیڼ اړخ هغه څه دي چې لارښود راګرځولي، ښي اړخ د ګروپي پالیسۍ نوم دی چې باید مخکې موجود وي. جلا کوونکی نوم او د پالیسۍ ښودنې نوم یو بل ته بدلېدونکي نه دي، او په دواړو تارونو کې نږدې سمون د ننوتلو پر مهال هېڅ تېروتنه نه جوړوي.

دلته دوه څیزونه چیچي: memberOf هره هغه ګروپ راګرځوي چې حساب پکې دی، نو په دوو نقشه شوو ګروپونو کې کارن نقشې ته دوه نوماند ارزښتونه ورکوي، او په لارښود کې الفبایي قاعده یوازینی برابرۍ حل دی چې پر خپل لومړیتوب ترتیب پرځای پرې تکیه کولای شئ. نه نقشه شوی ارزښت هېڅ نه ورکوي، چې په چوپتیا د پروفایل بنسټیزې پالیسۍ ته راګرځي.

د DAP لار، او څه چې زیاتوي

DAP شرایط ارزوي او د AAA پایلې پرمخ ځانګړتیاوې پلي کوي. ریکارډ لومړیتوب، عمل او د شرایطو ټولګه لري؛ ریکارډونه د لومړیتوب په ترتیب ارزول کېږي او عمل پرېکړه کوي چې ارزونه دوام ومومي که ودريږي. دا د ارزښت پلټنې څخه بېل اجرایوي ماډل دی، او همدې له کبله کولای شي هغه قواعد بیان کړي چې نقشه یې نه شي کولای.

هغه څه چې DAP زیاتوي انپټونه دي. شرایط کولای شي د لارښود ځانګړتیاوو، د پای ټکي ځانګړتیاوو او د وسیلې حالت ته اشاره وکړي، او سمون خوړونکی ریکارډ کولای شي د هغې ناستې لپاره ACL، د URL لیستونه یا فلټرونه ولري. نو هغه قاعده چې د ملاتړ کارکوونکي په مدیریت شوي لپ ټاپ کې یوازې د لوستلو پالیسي ترلاسه کوي او هماغه کارکوونکي په غیرمدیریت شوې وسیله کې محدوده پالیسي ترلاسه کوي، په DAP کې بیانېدلای شي، نه په ځانګړتیاوو نقشه کې. نقشه یوازې یو انپټ لري: هغه ارزښت چې لارښود ستاسو نومول شوې ځانګړتیا لپاره راګرځولی.

DAP دویمه ځای هم زیاتوي چې کله ناسته غلطه پالیسي ته ورسیږي هلته وګورئ. هغه ریکارډ چې د دوام عمل سره سمون خوري ارزونه نه پای ته رسوي، او وروستی ریکارډ لا هم کولای شي پایله بدله کړي، نو هغه څه چې تاسو یې ګورئ د یوې تسلسل پایله ده، نه د یوې پلټنې. لومړیتوب شمېرې په ترتیب ولولئ، او په یاد ولرئ چې کېدای شي کار د ذخیرې ریکارډ وي. نقشه بیا هېڅ تسلسل نه لري: یوه ځانګړتیا، یو ارزښت، یو ځواب.

چېرته چې دواړه سره نه جوړېږي

لومړیتوب هغه برخه ده چې ډیزاینونه ماتوي. کله چې یوه ناسته د نقشې ننوتنې او د DAP ریکارډ دواړو سره سمون وخوري، پایله د خپرونې او د ریکارډ عمل پورې تړلې ده، نو په خپل ASA کې یې وګورئ، نه دا چې فرض کړئ پایله د یو میکانیزم په لاس کې ده.

درې ناکامۍ حالتونه ډېره ګډوډي تشریح کوي. هغه نقشه چې تعریف شوې خو هېڅکله د پروفایل کارول شوي سرور ټګ سره نه ده تړل شوې، بنسټیزه پالیسي پرته له هېڅ تېروتنې چېرته هم ورکوي. د DAP د شرط تار چې د لارښود ارزښت څخه په لویو او کوچنیو تورو یا تشو ځایونو کې توپیر لري هېڅکله نه سمون خوري، او ذخیره ریکارډ په چوپتیا پلي کېږي. او هغه ګروپي پالیسي چې لا نه ده موجوده نقشه یې مني، ځکه نقشه یوازې نوم راګرځوي، نو ناسته هېڅ یو له پلان شوو اجازو نه ترلاسه کوي او په لاګ کې هېڅ شی نشته چې ورکه شوې شیبې ته اشاره وکړي. د ګروپ غړیتوب ته له لاس وهلو دمخه درېواړه وګورئ.

له ژوندې ناستې څخه شاهدې لوستل

ځواب له نوي ناستې ولولئ، نه له ترتیباتو. show vpn-sessiondb detail anyconnect filter name jdoe هغه ګروپي پالیسي چاپوي چې ناستې په رښتیا ترلاسه کړې، او show running-config ldap attribute-map تصدیقوي چې نقشه کوم ارزښتونه راګرځولای شوې. د لارښود په اړخ کې، test aaa-server authentication LDAP-AD username jdoe password <password> هغه ځانګړتیاوې ښیي چې ASA بیرته ترلاسه کړې، او debug ldap 255 هغه تبادله ښیي چې ازموینه ستاسو له تمې سره نه سمون خوري.

بیا څلور ریکارډونه په لیکلي ډول سره برابر کړئ: د لارښود ارزښت، ترتیب شوې نقشه یا DAP شرط، سیمه ییزه ګروپي پالیسي او هغه سرچینه چې کارن په رښتیا ورته رسېدلای شو. که لومړي درې سره سمون وخوري او څلورم نه، ستونزه په ټاکنه کې نه، په پالیسۍ په اصلي برخه کې ده. که ناسته سم پالیسي نوم وښیي خو غلط ACL، له LDAP څخه ګوتې وهل په بشپړ ډول بند کړئ. یو وخت یو ریکارډ بدل کړئ او نوی ناسته بیا وګورئ، ځکه یوازې بیا وتړل شوې ناسته هغه شاهدي ده چې همدا اوس لیکل شوي ترتیبات منعکس کوي.