Alias de grupo no ASA versus URL de grupo: como o perfil é selecionado

Um perfil de conexão governa uma sessão somente depois que o ASA o seleciona. Essa frase é todo o modelo de diagnóstico para um portal antigo sem cliente. Um perfil não utilizado pode ter regras de acesso perfeitas e mesmo assim não se aplicar a ninguém. Acompanhe o ponto de entrada do login antes de editar qualquer política.

As distinções abaixo seguem a documentação da 9.16; o SSL VPN sem cliente foi removido na 9.17(1) e posteriores.

O alias é uma entrada de lista, não uma URL

group-alias fornece um rótulo que o usuário escolhe na lista de grupos da página de login. Exibir essa lista é um ajuste separado, tunnel-group-list enable. O alias é um nome de seleção e nada mais. Configurar um alias chamado staff não cria uma URL /staff que selecione o perfil.

As pessoas esperam que o alias faça trabalho duplo porque, de dentro do navegador, a lista e a URL parecem a mesma escolha.

O que o group-url realmente compara

group-url vincula uma URL de entrada a um perfil de conexão. Quando essa URL habilitada corresponde, o ASA seleciona o perfil sem pedir ao usuário que escolha na lista. A URL precisa ser a completa pretendida, na sintaxe que sua versão suporta. O registro DNS e o certificado dela devem concordar com o que os usuários digitam, ou a correspondência nunca acontece.

Um sufixo de URL copiado não prova nada sobre a configuração. Verifique o perfil, não a barra de endereços.

Siga a seleção até a política que é executada

Uma vez selecionado um grupo de túnel, o appliance resolve o método de autenticação e a política de grupo padrão associada a ele. Depois, atributos específicos do usuário, valores retornados pela autenticação e a autorização dinâmica podem substituir partes dessa base. Inspecione o que a sessão realmente recebeu. Ler a política nomeada sozinha dá a base, não o resultado.

A diferença entre as duas é a origem da maioria dos relatos de «a regra está certa mas o acesso está errado».

Herança não é isolamento

Atributos deixados sem especificação podem herdar da política de grupo padrão. Uma nova política nomeada, portanto, não está isolada dos valores padrão compartilhados, e editar esses valores alcança todo perfil que os herda. Compare o acesso efetivo a recursos, as configurações de DNS e as restrições de sessão por perfil. Faça isso antes de mudar qualquer coisa compartilhada.

Mantenha também a aplicação do acesso separada da seleção.

Para uma sessão sem cliente, o filtro aplicável é a ACL webtype. Um filtro de VPN para cliente de túnel não é substituto só porque os dois ficam perto do mesmo bloco de política na configuração.

Decida o caso sem correspondência e depois teste cada caminho

Determine o que deve acontecer na URL genérica do portal e em outros pontos de entrada sem correspondência. Olhe o caminho real do perfil padrão e a autorização dele em vez de editar um padrão compartilhado para que uma única conta de teste passe. Depois abra três sessões novas: a URL explícita, a entrada habilitada da lista e o ponto de entrada genérico. Registre o perfil selecionado e a política efetiva de cada uma.

Reutilizar uma aba do navegador de um login anterior estraga a comparação, porque essa sessão já está vinculada a um perfil.

Esse registro transforma «o portal abre» em um mapeamento de login para política que você pode auditar depois, e é a única resposta duradoura quando um perfil parece correto e não governa ninguém.