Групни alias наспрам групног URL-а у ASA: како се бира профил

Профил везе управља сесијом тек након што га ASA изабере. Та реченица је цео модел за отклањање проблема на старом порталу без клијента. Неискоришћен профил може имати беспрекорна правила приступа и ипак се не примењивати ни на кога. Пратите улазну тачку пријаве пре него што измените било коју политику.

Разлике у наставку прате документацију за 9.16; SSL VPN без клијента уклоњен је у 9.17(1) и касније.

Alias је ставка листе, а не URL

group-alias даје ознаку коју корисник бира са листе група на страници за пријаву. Приказ те листе је засебно подешавање, tunnel-group-list enable. Alias је само назив за избор и ништа више. Конфигурисање alias-а названог staff не ствара URL /staff који бира профил.

Људи очекују да alias обавља двоструку улогу јер, гледано из прегледача, листа и URL изгледају као исти избор.

Шта group-url заправо упарује

group-url везује долазни URL за профил везе. Када се та омогућена URL адреса поклопи, ASA бира профил без питања корисника да бира са листе. URL мора бити потпун и управо онај који се жели, у синтакси коју ваше издање подржава. Његов DNS запис и сертификат морају се слагати с оним што корисници уписују, иначе се поклапање никада неће догодити.

Копирани суфикс URL-а не доказује ништа о конфигурацији. Проверите профил, а не адресну траку.

Пратите избор до политике која се извршава

Након што се изабере тунелска група, уређај разрешава метод аутентификације и подразумевану групну политику која је уз њу везана. Затим кориснички атрибути, вредности које врати аутентификација и динамичка ауторизација могу надјачати делове те основе. Проверите шта је сесија заиста добила. Читање само именоване политике даје вам основу, а не исход.

Размак између то двоје извор је већине пријава „правило је исправно, али приступ је погрешан“.

Наслеђивање није изолација

Атрибути које оставите неодређенима могу се наследити из подразумеване групне политике. Нова именована политика зато није одвојена од заједничких подразумеваних вредности, а њихова измена допире до сваког профила који их наслеђује. Упоредите стварни приступ ресурсима, DNS поставке и ограничења сесије по профилу. Урадите то пре него што промените било шта заједничко.

Држите и спровођење приступа одвојено од избора.

За сесију без клијента применљиви филтер је webtype ACL. VPN филтер за тунелског клијента није замена само зато што обоје стоје близу истог блока политике у конфигурацији.

Одлучите о случају без поклапања, па тестирајте сваки пут

Одредите шта треба да се догоди на генеричком URL-у портала и на осталим улазним тачкама без поклапања. Погледајте стварни пут подразумеваног профила и његову ауторизацију уместо да мењате заједничку подразумевану вредност да би један тестни налог прошао. Затим отворите три нове сесије: експлицитни URL, омогућену ставку листе и генеричку улазну тачку. Забележите изабрани профил и стварну политику за сваку од њих.

Поновно коришћење картице прегледача из раније пријаве квари поређење, јер је та сесија већ везана за профил.

Тај запис претвара „портал се отвара“ у мапирање пријаве у политику које можете касније ревидирати, и то је једини трајан одговор када профил изгледа исправно и никим не управља.