Uwekaji ramani wa vikundi vya LDAP katika ASA dhidi ya DAP kwa sera ya kikundi cha VPN

Rekodi mbili tofauti huamua ni sera gani ya kikundi ambayo kipindi cha AnyConnect hupata, na zinaishi katika sehemu tofauti za usanidi zenye njia tofauti za kushindwa. Ramani ya sifa za LDAP hutafsiri thamani kutoka saraka kuwa sifa ya idhini ya ASA wakati wa uthibitishaji; rekodi ya DAP hutathmini masharti baadaye na inaweza kuongeza au kubatilisha sifa. Zote mbili zinaweza kuishia kwa jina moja la sera, kwa hiyo kuingia kunakofanya kazi hakukuambii kitu kuhusu utaratibu gani uliizalisha. Maana ya kuzilinganisha ni kuchagua moja kwa makusudi badala ya kuruhusu ya pili kupindua ya kwanza kwa utulivu.

Utaratibu mbili, pointi mbili za uamuzi

Uchaguzi unakuja kwa maswali matatu. Je, uamuzi unategemea thamani moja ya sifa kutoka saraka, unahitaji zaidi ya thamani hiyo, na ni utaratibu gani unaoruhusiwa kushinda wakati zote mbili zinalingana?

Ikiwa pembejeo pekee ni uanachama wa kikundi, ramani ya sifa ni chombo kidogo na rahisi kukagua: ramani moja, iliyounganishwa na seva moja ya AAA, kwa mstari mmoja kwa kila kikundi. Ikiwa uchaguzi lazima uzingatie hali ya kifaa, utambulisho wa sehemu ya mwisho, sifa ya pili au dirisha la muda, pembejeo za ramani zinaisha na DAP ndiyo utaratibu unaoweza kueleza kanuni. Ikiwa zote mbili zinatumika, jifunze kipaumbele katika toleo lako kabla ya kuandika yoyote kati yao, kwa sababu kipindi kinacholingana na rekodi ya DAP kinaweza kisihifadhi sera iliyorudishwa na ramani. Mengine yote ni uhasibu.

Njia ya ramani ya sifa, kwa mpangilio wa usanidi

Njia ya ramani huanza kwenye ufafanuzi wa seva ya AAA. Ramani ya sifa lazima iunganishwe na ingizo la seva ya LDAP ambalo wasifu wa muunganisho unatumia kwa kweli; ramani iliyopo katika usanidi unaoendesha lakini isiyorejelewa na seva hiyo haibadilishi chochote. Mstari huo wa muunganisho ndio unaofanya usanidi uliobaki uwe hai. mwongozo wa uwekaji ramani wa LDAP wa ASA ni marejeleo ya sintaksia ya ramani katika matoleo ya 9.x.

Ndani ya ramani, taarifa moja inataja sifa ya saraka na sifa ya ASA inayoilisha, na taarifa nyingine hutafsiri thamani mahususi. map-name memberOf Group-Policy ikifuatiwa na map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly ni umbo: upande wa kushoto ni kile saraka ilirudisha, upande wa kulia ni jina la sera ya kikundi ambayo lazima iwe tayari ipo. Jina la kutofautisha na jina la kuonyesha la sera haviwezi kubadilishana, na karibu-kulingana katika mojawapo ya mifuatano hiyo miwili hakutoi hitilafu yoyote wakati wa kuingia.

Mambo mawili yanauma hapa: memberOf hurudisha kila kikundi ambacho akaunti iko, kwa hiyo mtumiaji aliye katika vikundi viwili vilivyowekwa kwenye ramani huipa ramani thamani mbili za wagombea, na kanuni ya alfabeti katika mwongozo ndiyo suluhisho pekee la sare ambalo unaweza kulitegemea badala ya mpangilio wako mwenyewe wa kipaumbele. Thamani isiyowekwa kwenye ramani haitoi chochote, ambacho hurudi kwa utulivu kwenye sera chaguomsingi ya wasifu.

Njia ya DAP, na inaongeza nini

DAP hutathmini masharti na kutumia sifa juu ya matokeo ya AAA. Rekodi hubeba kipaumbele, kitendo na seti ya masharti; rekodi hutathminiwa kwa mpangilio wa kipaumbele na kitendo huamua kama tathmini inaendelea au inasimama. Hiyo ni modeli tofauti ya utekelezaji kuliko utafutaji wa thamani, na ndiyo sababu inaweza kueleza kanuni ambazo ramani haiwezi.

Kile DAP inaongeza ni pembejeo. Masharti yanaweza kurejelea sifa za saraka, sifa za sehemu ya mwisho na hali ya kifaa, na rekodi inayolingana inaweza kubeba ACL, orodha za URL au vichujio vya kipindi hicho. Kwa hiyo kanuni kama wafanyakazi wa msaada kwenye kompyuta ya mkononi inayosimamiwa wakipata sera ya kusoma-tu wakati wafanyakazi hao hao kwenye kifaa kisichosimamiwa wakipata iliyozuiliwa inaweza kuelezwa katika DAP na si katika ramani ya sifa. Ramani ina pembejeo moja hasa: thamani ambayo saraka ilirudisha kwa sifa uliyoitaja.

DAP pia inaongeza mahali pa pili pa kuangalia wakati kipindi kinaishia kwenye sera isiyo sahihi. Rekodi inayolingana na kitendo cha kuendelea haimalizi tathmini, na rekodi ya baadaye bado inaweza kubadilisha matokeo, kwa hiyo unachoona ni zao la mfuatano na si la utafutaji mmoja. Soma namba za kipaumbele kwa mpangilio, na kumbuka kuwa inaweza kuwa rekodi ya akiba inayofanya kazi. Ramani kwa upande mwingine haina mfuatano: sifa moja, thamani moja, jibu moja.

Mahali ambapo zote mbili hazikubaliani

Kipaumbele ndiyo sehemu inayovunja miundo. Wakati kipindi kinalingana na ingizo la ramani na rekodi ya DAP kwa wakati mmoja, matokeo hutegemea toleo na kitendo cha rekodi, kwa hiyo thibitisha kwenye ASA yako mwenyewe badala ya kudhani kuwa moja ya taratibu inamiliki matokeo.

Njia tatu za kushindwa zinaeleza sehemu kubwa ya mkanganyiko. Ramani iliyofafanuliwa lakini isiyowahi kuunganishwa na lebo ya seva ambayo wasifu unatumia hutoa sera chaguomsingi bila hitilafu yoyote mahali popote. Mfuatano wa sharti la DAP unaotofautiana na thamani ya saraka kwa herufi kubwa au nafasi hauwahi kulingana, na rekodi ya akiba hutumika kwa utulivu. Na sera ya kikundi ambayo bado haipo inakubaliwa na ramani, kwa sababu ramani hurudisha jina pekee, kwa hiyo kipindi hakipati ruhusa yoyote iliyokusudiwa na hakuna chochote kwenye kumbukumbu kinachoelekeza kwenye kitu kinachokosekana. Kagua zote tatu kabla ya kugusa uanachama wa kikundi.

Kusoma ushahidi kutoka kipindi hai

Soma jibu kutoka kipindi kipya na si kutoka usanidi. show vpn-sessiondb detail anyconnect filter name jdoe huchapisha sera ya kikundi ambayo kipindi kiliipata kwa kweli, na show running-config ldap attribute-map huthibitisha thamani ambazo ramani ingeweza kurudisha. Kwa upande wa saraka, test aaa-server authentication LDAP-AD username jdoe password <password> huonyesha sifa ambazo ASA ilirudishiwa, na debug ldap 255 huonyesha mabadilishano wakati jaribio halilingani na ulichotarajia.

Kisha linganisha rekodi nne kwa maandishi: thamani ya saraka, ramani au sharti la DAP lililowekwa, sera ya kikundi ya ndani na rasilimali ambayo mtumiaji alifanikiwa kuifikia kwa kweli. Ikiwa tatu za kwanza zinalingana na ya nne hailingani, tatizo liko kwenye mwili wa sera na si kwenye uchaguzi. Ikiwa kipindi kinaonyesha jina sahihi la sera lakini ACL isiyo sahihi, acha kabisa kuangalia LDAP. Badilisha rekodi moja kwa wakati na ukague kipindi kipya, kwa sababu kipindi kilichounganishwa upya ndicho ushahidi pekee unaoakisi usanidi ulioandika hivi punde.