Skupinski alias proti skupinskemu URL v ASA: kako se izbere profil

Profil povezave upravlja sejo šele potem, ko ga ASA izbere. Ta stavek je celoten model za odpravljanje težav pri starem portalu brez odjemalca. Neuporabljen profil ima lahko brezhibna pravila dostopa in še vedno ne velja za nikogar. Spremljajte vstopno točko prijave, preden spremenite katero koli politiko.

Spodnje razlike sledijo dokumentaciji za 9.16; SSL VPN brez odjemalca je bil odstranjen v 9.17(1) in pozneje.

Alias je vnos na seznamu, ne URL

group-alias zagotovi oznako, ki jo uporabnik izbere s seznama skupin na prijavni strani. Prikaz tega seznama je ločena nastavitev, tunnel-group-list enable. Alias je samo ime za izbiro in nič več. Konfiguriranje aliasa z imenom staff ne ustvari URL /staff, ki bi izbral profil.

Ljudje pričakujejo, da bo alias opravil dvojno delo, ker se s seznama in URL iz brskalnika zdita ista izbira.

Čemu group-url v resnici ustreza

group-url veže dohodni URL na profil povezave. Ko se ta omogočeni URL ujema, ASA izbere profil, ne da bi uporabnika prosil za izbiro s seznama. URL mora biti popoln in natanko tisti predvideni, v sintaksi, ki jo podpira vaša različica. Njegov zapis DNS in potrdilo se morata ujemati s tem, kar uporabniki vnesejo, sicer do ujemanja nikoli ne pride.

Kopirana končnica URL ne dokazuje ničesar o konfiguraciji. Preverite profil, ne naslovne vrstice.

Spremljajte izbiro vse do politike, ki se izvaja

Ko je skupina tunela izbrana, naprava razreši metodo preverjanja pristnosti in privzeto skupinsko politiko, ki je z njo povezana. Nato lahko uporabniku lastni atributi, vrednosti, ki jih vrne preverjanje pristnosti, in dinamična avtorizacija prepišejo dele te osnove. Preglejte, kaj je seja v resnici prejela. Branje samo imenovane politike vam da osnovo, ne rezultata.

Razlika med obema je vir večine poročil „pravilo je pravilno, dostop pa napačen“.

Dedovanje ni izolacija

Atributi, ki jih pustite nedoločene, se lahko dedujejo iz privzete skupinske politike. Nova imenovana politika zato ni ločena od skupnih privzetih vrednosti, njihovo urejanje pa doseže vsak profil, ki jih deduje. Primerjajte dejanski dostop do virov, nastavitve DNS in omejitve seje za vsak profil. To storite, preden spremenite karkoli skupnega.

Tudi uveljavljanje dostopa ločite od izbire.

Za sejo brez odjemalca je veljavni filter ACL webtype. Filter VPN za tunelskega odjemalca ga ne nadomesti samo zato, ker oba stojita blizu istega bloka politike v konfiguraciji.

Odločite primer brez ujemanja, nato preizkusite vsako pot

Določite, kaj naj se zgodi na splošnem URL portala in na drugih vstopnih točkah brez ujemanja. Poglejte resnično pot privzetega profila in njegovo avtorizacijo, namesto da bi urejali skupno privzeto vrednost, da bi en testni račun prišel skozi. Nato odprite tri nove seje: izrecni URL, omogočeni vnos s seznama in splošno vstopno točko. Zapišite izbrani profil in dejansko politiko za vsako od njih.

Ponovna uporaba zavihka brskalnika iz prejšnje prijave pokvari primerjavo, ker je ta seja že vezana na profil.

Ta zapis spremeni „portal se odpre“ v preslikavo od prijave do politike, ki jo lahko pozneje revidirate, in to je edini trajni odgovor, ko je profil videti pravilen in ne upravlja nikogar.