Skupinový alias verzus skupinová URL v ASA: ako sa profil vyberá

Profil pripojenia riadi reláciu až po tom, čo ho ASA vyberie. Táto veta je celý model riešenia problémov pre starý portál bez klienta. Nepoužívaný profil môže mať bezchybné pravidlá prístupu a napriek tomu sa na nikoho nevzťahovať. Sledujte vstupný bod prihlásenia, skôr než upravíte akúkoľvek politiku.

Nižšie uvedené rozdiely vychádzajú z dokumentácie k 9.16; SSL VPN bez klienta bola odstránená v 9.17(1) a neskôr.

Alias je položka zoznamu, nie URL

group-alias poskytuje označenie, ktoré používateľ vyberá zo zoznamu skupín na prihlasovacej stránke. Zobrazenie tohto zoznamu je samostatné nastavenie, tunnel-group-list enable. Alias je len názov voľby a nič viac. Konfigurácia aliasu s názvom staff nevytvára URL /staff, ktorá by profil vyberala.

Ľudia očakávajú, že alias bude plniť dvojitú úlohu, pretože z prehliadača zoznam aj URL vyzerajú ako tá istá voľba.

Čomu group-url skutočne zodpovedá

group-url viaže prichádzajúcu URL na profil pripojenia. Keď sa táto povolená URL zhoduje, ASA vyberie profil bez toho, aby používateľa žiadala o výber zo zoznamu. URL musí byť úplná a presne tá zamýšľaná, v syntaxi, ktorú vaša verzia podporuje. Jej záznam DNS a certifikát musia zodpovedať tomu, čo používatelia zadávajú, inak sa zhoda nikdy neuskutoční.

Skopírovaný suffix URL nič o konfigurácii nepreukazuje. Kontrolujte profil, nie adresný riadok.

Sledujte voľbu až do politiky, ktorá sa vykonáva

Po výbere tunelovej skupiny zariadenie určí metódu overovania a predvolenú skupinovú politiku, ktorá je k nej pripojená. Potom atribúty špecifické pre používateľa, hodnoty vrátené overovaním a dynamická autorizácia môžu prepísať časti tohto základu. Preskúmajte, čo relácia skutočne dostala. Čítanie pomenovanej politiky samotnej vám dá základ, nie výsledok.

Medzera medzi oboma je zdrojom väčšiny hlásení „pravidlo je správne, ale prístup je nesprávny“.

Dedičnosť nie je izolácia

Atribúty, ktoré necháte nešpecifikované, môžu dediť z predvolenej skupinovej politiky. Nová pomenovaná politika preto nie je oddelená od zdieľaných predvolených hodnôt a ich úprava zasiahne každý profil, ktorý ich dedí. Porovnajte efektívny prístup k zdrojom, nastavenia DNS a obmedzenia relácie pre každý profil. Urobte to skôr, než zmeníte čokoľvek zdieľané.

Vynucovanie prístupu držte tiež oddelene od voľby.

Pre reláciu bez klienta je použiteľným filtrom ACL webtype. VPN filter pre tunelového klienta ho nenahrádza len preto, že oba ležia blízko toho istého bloku politiky v konfigurácii.

Rozhodnite prípad bez zhody a potom otestujte každú cestu

Určte, čo sa má diať na všeobecnej URL portálu a na ďalších vstupných bodoch bez zhody. Pozrite sa na skutočnú cestu predvoleného profilu a jeho autorizáciu namiesto úpravy zdieľanej predvolenej hodnoty, aby prešiel jeden testovací účet. Potom otvorte tri nové relácie: explicitnú URL, povolenú položku zoznamu a všeobecný vstupný bod. Zapíšte vybraný profil a efektívnu politiku pre každú z nich.

Opätovné použitie karty prehliadača z predchádzajúceho prihlásenia porušuje porovnanie, pretože tá relácia je už viazaná na profil.

Tento záznam mení „portál sa otvorí“ na mapovanie od prihlásenia k politike, ktoré môžete neskôr auditovať, a to je jediná trvalá odpoveď, keď profil vyzerá správne a nikomu nevládne.