Alias i grupit në ASA kundrejt URL-së së grupit: si zgjidhet profili

Një profil lidhjeje drejton një sesion vetëm pasi ASA ta zgjedhë atë. Ai fjali është i gjithë modeli i zgjidhjes së problemeve për një portal të vjetër pa klient. Një profil i papërdorur mund të ketë rregulla hyrjeje të përsosura dhe prapëseprapë të mos zbatohet për askënd. Ndiqni pikën e hyrjes përpara se të ndryshoni çfarëdo politike.

Dallimet më poshtë ndjekin dokumentacionin 9.16; SSL VPN pa klient u hoq në 9.17(1) e më pas.

Aliasi është një zë liste, jo një URL

group-alias siguron një etiketë që përdoruesi e zgjedh nga lista e grupeve në faqen e hyrjes. Shfaqja e asaj liste është një cilësim i veçantë, tunnel-group-list enable. Aliasi është vetëm një emër zgjedhjeje dhe asgjë më shumë. Konfigurimi i një aliasi të quajtur staff nuk krijon një URL /staff që zgjedh profilin.

Njerëzit presin që aliasi të bëjë punë të dyfishtë, sepse nga shfletuesi lista dhe URL-ja duken si e njëjta zgjedhje.

Çfarë përputh në të vërtetë group-url

group-url lidh një URL hyrëse me një profil lidhjeje. Kur ajo URL e aktivizuar përputhet, ASA zgjedh profilin pa i kërkuar përdoruesit të zgjedhë nga lista. URL-ja duhet të jetë e plotë dhe e synuara, në sintaksën që mbështet versioni juaj. Regjistrimi i saj DNS dhe certifikata duhet të përputhen me atë që shkruajnë përdoruesit, përndryshe përputhja nuk ndodh kurrë.

Një prapashtesë URL e kopjuar nuk provon asgjë për konfigurimin. Kontrolloni profilin, jo shiritin e adresës.

Ndiqni zgjedhjen deri në politikën që ekzekutohet

Pasi zgjidhet një grup tuneli, pajisja zgjidh metodën e vërtetimit dhe politikën e grupit të paracaktuar që lidhet me të. Më pas atributet specifike të përdoruesit, vlerat e kthyera nga vërtetimi dhe autorizimi dinamik mund të anashkalojnë pjesë të asaj baze. Inspektoni çfarë ka marrë vërtet sesioni. Leximi i vetëm politikës së emërtuar ju jep bazën, jo rezultatin.

Hendeku mes të dyjave është burimi i shumicës së raporteve «rregulli është i saktë, por hyrja është e gabuar».

Trashëgimia nuk është izolim

Atributet që i lini të paspecifikuara mund të trashëgohen nga politika e grupit të paracaktuar. Një politikë e re e emërtuar, pra, nuk është e izoluar nga vlerat e paracaktuara të përbashkëta, dhe redaktimi i tyre arrin çdo profil që i trashëgon. Krahasoni hyrjen efektive në burime, cilësimet DNS dhe kufizimet e sesionit për çdo profil. Bëjeni këtë përpara se të ndryshoni diçka të përbashkët.

Mbani edhe zbatimin e hyrjes të ndarë nga zgjedhja.

Për një sesion pa klient filtri i zbatueshëm është ACL webtype. Një filtër VPN për klient tuneli nuk është zëvendësim thjesht sepse të dy ndodhen pranë të njëjtit bllok politike në konfigurim.

Vendosni rastin pa përputhje, pastaj provoni çdo rrugë

Përcaktoni çfarë duhet të ndodhë në URL-në e përgjithshme të portalit dhe në pikat e tjera të hyrjes pa përputhje. Shikoni rrugën reale të profilit të paracaktuar dhe autorizimin e tij në vend që të ndryshoni një vlerë të paracaktuar të përbashkët që të kalojë një llogari prove. Pastaj hapni tre sesione të reja: URL-në e qartë, zërin e listës të aktivizuar dhe pikën e përgjithshme të hyrjes. Regjistroni profilin e zgjedhur dhe politikën efektive për secilin.

Ripërdorimi i një skede shfletuesi nga një hyrje e mëparshme prish krahasimin, sepse ai sesion është tashmë i lidhur me një profil.

Ai regjistrim e kthen «portali hapet» në një hartëzim nga hyrja në politikë që mund ta auditoni më vonë, dhe është përgjigjja e vetme e qëndrueshme kur një profil duket i saktë dhe nuk drejton askënd.