Mapimi i grupeve LDAP në ASA kundrejt DAP për politikën e grupit VPN

Dy regjistra të veçantë vendosin se cilën politikë grupi merr një sesion AnyConnect, dhe ata jetojnë në pjesë të ndryshme të konfigurimit me mënyra të ndryshme dështimi. Një hartë e atributeve LDAP përkthen gjatë vërtetimit një vlerë nga drejtoria në një atribut autorizimi të ASA-s; një regjistër DAP vlerëson kushtet më pas dhe mund të shtojë ose të mbivendosë atribute. Të dyja mund të përfundojnë në të njëjtin emër politike, kështu që një hyrje që funksionon nuk ju thotë asgjë për mekanizmin që e prodhoi. Kuptimi i krahasimit është të zgjidhni një me qëllim, në vend që të lini të dytin të mbivendosë në heshtje të parin.

Dy mekanizma, dy pika vendimi

Zgjedhja zbret në tri pyetje. A varet vendimi nga një vlerë e vetme atributi nga drejtoria, a i duhet më shumë se ajo vlerë, dhe cili mekanizëm lejohet të fitojë kur të dyja përputhen?

Nëse i vetmi input është anëtarësia në grup, harta e atributeve është mjeti më i vogël dhe ai që auditohet më lehtë: një hartë, e lidhur me një server AAA, me një rresht për çdo grup. Nëse zgjedhja duhet të marrë parasysh gjendjen e pajisjes, identitetin e pikës fundore, një atribut të dytë ose një dritare kohore, inputet e hartës mbarojnë dhe DAP është mekanizmi që mund të shprehë rregullin. Nëse të dyja janë në lojë, mësoni përparësinë në versionin tuaj përpara se të shkruani ndonjërin, sepse një sesion që përputhet me një regjistër DAP mund të mos e mbajë politikën që ktheu harta. Çdo gjë tjetër është kontabilitet.

Rruga e hartës së atributeve, sipas rendit të konfigurimit

Rruga e hartës fillon te përcaktimi i serverit AAA. Harta e atributeve duhet të lidhet me zërin e serverit LDAP që profili i lidhjes përdor në të vërtetë; një hartë që ekziston në konfigurimin në punë por që nuk referohet nga ai server nuk ndryshon asgjë. Pikërisht ai rresht lidhjeje e bën të gjallë pjesën tjetër të konfigurimit. udhëzuesi i mapimit LDAP të ASA-s është referenca për sintaksën e hartës në versionet 9.x.

Brenda hartës, një deklaratë emërton atributin e drejtorisë dhe atributin e ASA-s që ushqen, dhe deklarata të tjera përkthejnë vlera specifike. map-name memberOf Group-Policy e ndjekur nga map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly është forma: ana e majtë është ajo që ktheu drejtoria, ana e djathtë është emri i një politike grupi që duhet të ekzistojë tashmë. Një emër i dallueshëm dhe një emër shfaqjeje i politikës nuk janë të këmbyeshëm, dhe një pothuajse-përputhje në secilin prej dy vargjeve nuk prodhon asnjë gabim në hyrje.

Dy detaje kafshojnë këtu: memberOf kthen çdo grup të cilit i përket llogaria, kështu që një përdorues në dy grupe të mapuara i jep hartës dy vlera kandidate, dhe rregulli alfabetik në udhëzues është i vetmi zgjidhje barazie në të cilin mund të mbështeteni në vend të rendit tuaj të përparësisë. Një vlerë e pamapuar nuk jep asgjë, e cila bie në heshtje në politikën e parazgjedhur të profilit.

Rruga DAP, dhe çfarë shton ajo

DAP vlerëson kushtet dhe zbaton atribute mbi rezultatin e AAA-s. Një regjistër mbart një përparësi, një veprim dhe një grup kushtesh; regjistrat vlerësohen sipas rendit të përparësisë dhe veprimi vendos nëse vlerësimi vazhdon ose ndalon. Ky është një model tjetër ekzekutimi nga një kërkim vlere, dhe pikërisht për këtë arsye mund të shprehë rregulla që harta nuk i shpreh dot.

Ajo që shton DAP janë inputet. Kushtet mund të referojnë atribute të drejtorisë, atribute të pikës fundore dhe gjendjen e pajisjes, dhe një regjistër që përputhet mund të mbartë ACL, lista URL ose filtra për atë sesion. Kështu një rregull si: stafi i mbështetjes në një laptop të menaxhuar merr politikën vetëm-lexim, ndërsa i njëjti staf në një pajisje të pamenaxhuar merr një të kufizuar, është i shprehshëm në DAP dhe jo në një hartë atributesh. Harta ka saktësisht një input: vlerën që drejtoria ktheu për atributin që ju emërtuat.

DAP shton gjithashtu një vend të dytë për të shikuar kur një sesion përfundon në politikën e gabuar. Një regjistër që përputhet me veprimin vazhdo nuk e përfundon vlerësimin, dhe një regjistër i mëvonshëm mund ta ndryshojë rezultatin, kështu që ajo që vëzhgoni është produkt i një sekuence dhe jo i një kërkimi të vetëm. Lexoni numrat e përparësisë sipas rendit, dhe mbani mend se mund të jetë regjistri rezervë ai që bën punën. Harta, përkundrazi, nuk ka sekuencë: një atribut, një vlerë, një përgjigje.

Ku të dyja nuk pajtohen

Përparësia është pjesa që thyen modelet. Kur një sesion përputhet njëkohësisht me një zë të hartës dhe me një regjistër DAP, rezultati varet nga versioni dhe nga veprimi i regjistrit, prandaj verifikojeni në ASA-n tuaj në vend që të supozoni se njëri prej mekanizmave e zotëron rezultatin.

Tri mënyra dështimi shpjegojnë pjesën më të madhe të konfuzionit. Një hartë e përcaktuar por e lidhur kurrë me etiketën e serverit që përdor profili prodhon politikën e parazgjedhur pa asnjë gabim askund. Një varg kushti DAP që ndryshon nga vlera e drejtorisë në shkronja të mëdha ose hapësira nuk përputhet kurrë, dhe regjistri rezervë zbatohet në heshtje. Dhe një politikë grupi që nuk ekziston ende pranohet nga harta, sepse harta kthen vetëm një emër, kështu që sesioni nuk merr asnjë prej lejeve të synuara dhe nuk ka asgjë në regjistër që të tregojë objektin që mungon. Kontrolloni të tria përpara se të prekni anëtarësinë në grup.

Leximi i provave nga një sesion i gjallë

Lexoni përgjigjen nga një sesion i ri dhe jo nga konfigurimi. show vpn-sessiondb detail anyconnect filter name jdoe shtyp politikën e grupit që sesioni mori në të vërtetë, dhe show running-config ldap attribute-map konfirmon cilat vlera mund të kishte kthyer harta. Në anën e drejtorisë, test aaa-server authentication LDAP-AD username jdoe password <password> tregon atributet që ASA mori mbrapsht, dhe debug ldap 255 tregon shkëmbimin kur testi nuk përputhet me atë që prisnit.

Pastaj rakordoni katër regjistra me shkrim: vlerën e drejtorisë, hartën ose kushtin DAP të konfiguruar, politikën lokale të grupit dhe burimin të cilin përdoruesi arriti vërtet ta prekë. Nëse të tre të parët përputhen dhe i katërti jo, problemi është në trupin e politikës dhe jo në zgjedhje. Nëse sesioni tregon emrin e saktë të politikës por ACL të gabuar, ndaloni plotësisht së shikuari LDAP. Ndryshoni një regjistër në një herë dhe rikontrolloni një sesion të ri, sepse një sesion i rilidhur është prova e vetme që pasqyron konfigurimin që sapo shkruat.