Alias de grup în ASA versus URL de grup: cum este selectat profilul

Un profil de conexiune guvernează o sesiune doar după ce ASA îl selectează. Acea frază este întregul model de diagnosticare pentru un portal vechi fără client. Un profil neutilizat poate avea reguli de acces perfecte și totuși nu se aplică nimănui. Urmăriți punctul de intrare al autentificării înainte de a modifica orice politică.

Distincțiile de mai jos urmează documentația 9.16; SSL VPN fără client a fost eliminat în 9.17(1) și ulterior.

Aliasul este o intrare în listă, nu un URL

group-alias furnizează o etichetă pe care utilizatorul o alege din lista de grupuri de pe pagina de autentificare. Afișarea acelei liste este o setare separată, tunnel-group-list enable. Aliasul este doar un nume de selecție și nimic mai mult. Configurarea unui alias numit staff nu creează un URL /staff care să selecteze profilul.

Oamenii se așteaptă ca aliasul să facă treabă dublă, deoarece din browser lista și URL-ul par aceeași alegere.

Ce compară de fapt group-url

group-url leagă un URL de intrare de un profil de conexiune. Când acel URL activat se potrivește, ASA selectează profilul fără a-i cere utilizatorului să aleagă din listă. URL-ul trebuie să fie cel complet dorit, în sintaxa acceptată de versiunea dumneavoastră. Înregistrarea DNS și certificatul acestuia trebuie să corespundă cu ceea ce tastează utilizatorii, altfel potrivirea nu se produce niciodată.

Un sufix de URL copiat nu dovedește nimic despre configurație. Verificați profilul, nu bara de adrese.

Urmăriți selecția până la politica ce se execută

Odată selectat un grup de tunel, aparatul stabilește metoda de autentificare și politica de grup implicită atașată acestuia. Apoi atributele specifice utilizatorului, valorile returnate de autentificare și autorizarea dinamică pot suprascrie părți din acea bază. Inspectați ce a primit de fapt sesiunea. Citirea politicii numite singure vă dă baza, nu rezultatul.

Diferența dintre cele două este sursa majorității rapoartelor „regula este corectă, dar accesul este greșit”.

Moștenirea nu este izolare

Atributele lăsate nespecificate pot moșteni din politica de grup implicită. O nouă politică numită nu este, așadar, separată de valorile implicite partajate, iar editarea acestora ajunge la fiecare profil care le moștenește. Comparați accesul efectiv la resurse, setările DNS și restricțiile de sesiune pentru fiecare profil. Faceți asta înainte de a schimba ceva partajat.

Țineți și aplicarea accesului separată de selecție.

Pentru o sesiune fără client, filtrul aplicabil este ACL-ul webtype. Un filtru VPN pentru client de tunel nu îl înlocuiește doar pentru că ambele stau lângă același bloc de politică din configurație.

Decideți cazul fără potrivire, apoi testați fiecare cale

Stabiliți ce ar trebui să se întâmple la URL-ul generic al portalului și la alte puncte de intrare fără potrivire. Uitați-vă la calea reală a profilului implicit și la autorizarea acesteia în loc să editați o valoare implicită partajată ca să treacă un singur cont de test. Apoi deschideți trei sesiuni noi: URL-ul explicit, intrarea activată din listă și punctul de intrare generic. Notați profilul selectat și politica efectivă pentru fiecare.

Reutilizarea unui tab de browser dintr-o autentificare anterioară strică comparația, pentru că acea sesiune este deja legată de un profil.

Acea înregistrare transformă „portalul se deschide” într-o mapare de la autentificare la politică pe care o puteți audita ulterior, și este singurul răspuns durabil când un profil pare corect și nu guvernează pe nimeni.