Групповой alias и групповой URL в ASA: как выбирается профиль

Профиль подключения управляет сеансом только после того, как ASA его выберет. Это предложение — вся модель поиска неисправностей для старого портала без клиента. Неиспользуемый профиль может иметь безупречные правила доступа и всё равно не применяться ни к кому. Проследите точку входа, прежде чем менять любую политику.

Описанные ниже различия основаны на документации 9.16; SSL VPN без клиента был удалён в 9.17(1) и позже.

Alias — это запись в списке, а не URL

group-alias задаёт метку, которую пользователь выбирает из списка групп на странице входа. Показ этого списка — отдельный параметр, tunnel-group-list enable. Alias — это только имя для выбора, и ничего больше. Настройка alias с именем staff не создаёт URL /staff, выбирающий профиль.

Люди ожидают, что alias будет выполнять двойную работу, потому что из браузера список и URL выглядят как один и тот же выбор.

Что на самом деле сопоставляет group-url

group-url привязывает входящий URL к профилю подключения. Когда этот включённый URL совпадает, ASA выбирает профиль, не предлагая пользователю выбирать из списка. URL должен быть полным и именно тем, в синтаксисе, который поддерживает ваша версия. Его запись DNS и сертификат должны совпадать с тем, что вводят пользователи, иначе совпадение никогда не произойдёт.

Скопированный суффикс URL ничего не доказывает о конфигурации. Проверяйте профиль, а не адресную строку.

Проследите выбор до политики, которая выполняется

После выбора туннельной группы устройство определяет метод аутентификации и связанную с ней групповую политику по умолчанию. Затем атрибуты конкретного пользователя, значения, возвращаемые аутентификацией, и динамическая авторизация могут переопределить части этой базы. Проверьте, что сеанс получил на самом деле. Чтение только именованной политики даёт базу, а не результат.

Разрыв между этими двумя и есть источник большинства сообщений «правило верное, но доступ неверный».

Наследование — не изоляция

Атрибуты, которые вы оставляете неуказанными, могут наследоваться из групповой политики по умолчанию. Поэтому новая именованная политика не изолирована от общих значений по умолчанию, и их изменение доходит до каждого профиля, который их наследует. Сравните фактический доступ к ресурсам, параметры DNS и ограничения сеанса по каждому профилю. Сделайте это до того, как менять что-либо общее.

Держите принудительное применение доступа отдельно от выбора.

Для сеанса без клиента применимый фильтр — ACL webtype. Фильтр VPN для туннельного клиента не заменяет его только потому, что оба находятся рядом с одним и тем же блоком политики в конфигурации.

Определите случай без совпадения, затем проверьте каждый путь

Определите, что должно происходить на общем URL портала и в других точках входа без совпадения. Смотрите на реальный путь профиля по умолчанию и его авторизацию, а не правьте общее значение по умолчанию, чтобы прошёл один тестовый аккаунт. Затем откройте три новых сеанса: явный URL, включённую запись списка и общую точку входа. Запишите выбранный профиль и фактическую политику для каждого из них.

Повторное использование вкладки браузера из прошлого входа портит сравнение, потому что этот сеанс уже привязан к профилю.

Эта запись превращает «портал открывается» в соответствие от входа к политике, которое можно проверить позже, и это единственный устойчивый ответ, когда профиль выглядит правильным и не управляет никем.