VPN குழு கொள்கைக்கான ASA LDAP குழு மேப்பிங் மற்றும் DAP

AnyConnect அமர்வு எந்தக் குழுக் கொள்கையைப் பெறுகிறது என்பதை இரண்டு தனி பதிவுகள் தீர்மானிக்கின்றன, அவை உள்ளமைவின் வெவ்வேறு பகுதிகளில் வெவ்வேறு தோல்வி முறைகளுடன் உள்ளன. LDAP பண்பு வரைபடம் அங்கீகாரத்தின் போது அடைவின் மதிப்பை ASA அனுமதி பண்பாக மாற்றுகிறது; DAP பதிவு பின்னர் நிபந்தனைகளை மதிப்பிடுகிறது மற்றும் பண்புகளைச் சேர்க்க அல்லது மேலெழுத முடியும். இரண்டும் ஒரே கொள்கைப் பெயரில் முடியலாம், எனவே வெற்றிகரமான உள்நுழைவு எந்த பொறிமுறை அதை உருவாக்கியது என்று எதையும் சொல்லாது. அவற்றை ஒப்பிடுவதன் நோக்கம் இரண்டாவது முதல் ஒன்றை அமைதியாக மேலெழுத அனுமதிப்பதற்குப் பதிலாக வேண்டுமென்றே ஒன்றைத் தேர்ந்தெடுப்பதாகும்.

இரண்டு பொறிமுறைகள், இரண்டு முடிவுப் புள்ளிகள்

தேர்வு மூன்று கேள்விகளாகச் சுருக்கப்படுகிறது. முடிவு அடைவின் ஒரே பண்பு மதிப்பைச் சார்ந்ததா, அந்த மதிப்பை விட அதிகம் தேவையா, இரண்டும் பொருந்தும்போது எந்தப் பொறிமுறை வெல்ல அனுமதிக்கப்படுகிறது?

ஒரே உள்ளீடு குழு உறுப்பினர் நிலை என்றால், பண்பு வரைபடம் சிறிய கருவி மற்றும் தணிக்கை செய்ய எளிதானது: ஒரு வரைபடம், ஒரு AAA சேவையகத்துடன் இணைக்கப்பட்டு, ஒவ்வொரு குழுவுக்கும் ஒரு வரி. தேர்வு சாதனத்தின் நிலை, முனை அடையாளம், இரண்டாவது பண்பு அல்லது நேரச் சாளரத்தைக் கருத்தில் கொள்ள வேண்டும் என்றால், வரைபடத்தின் உள்ளீடுகள் தீர்ந்து விடும், விதியை வெளிப்படுத்தக்கூடிய பொறிமுறை DAP. இரண்டும் பயன்பாட்டில் இருந்தால், எதையும் எழுதுவதற்கு முன் உங்கள் வெளியீட்டில் முன்னுரிமையை அறிந்து கொள்ளுங்கள், ஏனெனில் DAP பதிவுடன் பொருந்தும் அமர்வு வரைபடம் திருப்பித் தந்த கொள்கையைத் தக்கவைக்காமல் போகலாம். மற்ற அனைத்தும் கணக்கியல்.

பண்பு வரைபடத்தின் பாதை, உள்ளமைவு வரிசையில்

வரைபடத்தின் பாதை AAA சேவையக வரையறையில் தொடங்குகிறது. பண்பு வரைபடம் இணைப்பு விவரக்குறிப்பு உண்மையில் பயன்படுத்தும் LDAP சேவையகப் பதிவுடன் இணைக்கப்பட்டிருக்க வேண்டும்; இயங்கும் உள்ளமைவில் இருந்தாலும் அந்த சேவையகம் குறிப்பிடாத வரைபடம் எதையும் மாற்றாது. அந்த இணைப்பு வரிசையே மற்ற உள்ளமைவை உயிர்ப்புள்ளதாக்குகிறது. ASA LDAP மேப்பிங் வழிகாட்டி 9.x வெளியீடுகளில் உள்ள வரைபட தொடரியலுக்கான குறிப்பு ஆகும்.

வரைபடத்திற்குள், ஒரு கூற்று அடைவு பண்பையும் அது ஊட்டும் ASA பண்பையும் பெயரிடுகிறது, மேலும் கூற்றுகள் குறிப்பிட்ட மதிப்புகளை மொழிபெயர்க்கின்றன. map-name memberOf Group-Policy மற்றும் அதைத் தொடர்ந்து map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly வடிவம்: இடது பக்கம் அடைவு திருப்பித் தந்தது, வலது பக்கம் ஏற்கனவே இருக்க வேண்டிய குழுக் கொள்கையின் பெயர். தனித்துவமான பெயரும் கொள்கையின் காட்சிப் பெயரும் ஒன்றுக்கொன்று மாற்றக்கூடியவை அல்ல, இரண்டு சரங்களில் ஏதேனும் ஒன்றில் கிட்டத்தட்ட பொருத்தம் உள்நுழைவில் எந்தப் பிழையையும் ஏற்படுத்தாது.

இங்கே இரண்டு விஷயங்கள் கடிக்கின்றன: memberOf கணக்கு உள்ள ஒவ்வொரு குழுவையும் திருப்பித் தருகிறது, எனவே இரண்டு வரைபடமிடப்பட்ட குழுக்களில் உள்ள பயனர் வரைபடத்திற்கு இரண்டு வேட்பாளர் மதிப்புகளைத் தருகிறார், வழிகாட்டியில் உள்ள அகர வரிசை விதியே உங்கள் சொந்த முன்னுரிமை வரிசைக்குப் பதிலாக நீங்கள் நம்பக்கூடிய ஒரே சமநிலைத் தீர்வு. வரைபடமிடப்படாத மதிப்பு எதையும் தராது, அது அமைதியாக விவரக்குறிப்பின் இயல்புநிலைக் கொள்கைக்குத் திரும்புகிறது.

DAP பாதை, அது சேர்ப்பது என்ன

DAP நிபந்தனைகளை மதிப்பிட்டு AAA முடிவின் மேல் பண்புகளைப் பயன்படுத்துகிறது. ஒரு பதிவு முன்னுரிமை, ஒரு செயல் மற்றும் நிபந்தனைகளின் தொகுப்பைக் கொண்டுள்ளது; பதிவுகள் முன்னுரிமை வரிசையில் மதிப்பிடப்படுகின்றன, செயல் மதிப்பீடு தொடர்கிறதா நிற்கிறதா என்பதைத் தீர்மானிக்கிறது. இது மதிப்புத் தேடலில் இருந்து வேறுபட்ட செயலாக்க மாதிரி, அதனாலேயே வரைபடம் வெளிப்படுத்த முடியாத விதிகளை வெளிப்படுத்த முடிகிறது.

DAP சேர்ப்பது உள்ளீடுகள். நிபந்தனைகள் அடைவு பண்புகள், முனை பண்புகள் மற்றும் சாதன நிலையைக் குறிப்பிடலாம், பொருந்தும் பதிவு அந்த அமர்வுக்கான ACL, URL பட்டியல்கள் அல்லது வடிகட்டிகளைக் கொண்டு செல்லலாம். எனவே நிர்வகிக்கப்பட்ட மடிக்கணினியில் உள்ள ஆதரவு ஊழியர்கள் படிக்க-மட்டும் கொள்கையைப் பெறுகிறார்கள், அதே ஊழியர்கள் நிர்வகிக்கப்படாத சாதனத்தில் வரம்புக்குட்பட்ட ஒன்றைப் பெறுகிறார்கள் என்ற விதியை DAP இல் வெளிப்படுத்த முடியும், பண்பு வரைபடத்தில் அல்ல. வரைபடத்திற்கு சரியாக ஒரு உள்ளீடு உள்ளது: நீங்கள் பெயரிட்ட பண்புக்கு அடைவு திருப்பித் தந்த மதிப்பு.

அமர்வு தவறான கொள்கையில் விழும்போது பார்க்க DAP இரண்டாவது இடத்தையும் சேர்க்கிறது. தொடர்வதற்கான செயலுடன் பொருந்தும் பதிவு மதிப்பீட்டை முடிக்காது, பின்னர் வரும் பதிவு முடிவை இன்னும் மாற்றலாம், எனவே நீங்கள் காண்பது ஒரு வரிசையின் விளைவே, ஒரு தேடலின் அல்ல. முன்னுரிமை எண்களை வரிசையாகப் படியுங்கள், வேலையை காப்புப் பதிவு செய்திருக்கலாம் என்பதை நினைவில் கொள்ளுங்கள். வரைபடத்திற்கு எந்த வரிசையும் இல்லை: ஒரு பண்பு, ஒரு மதிப்பு, ஒரு பதில்.

இரண்டும் உடன்படாத இடம்

முன்னுரிமையே வடிவமைப்புகளை உடைக்கும் பகுதி. ஒரு அமர்வு வரைபடப் பதிவுடனும் DAP பதிவுடனும் ஒரே நேரத்தில் பொருந்தும்போது, முடிவு வெளியீட்டையும் பதிவின் செயலையும் பொறுத்தது, எனவே பொறிமுறைகளில் ஒன்று முடிவைச் சொந்தமாக்குகிறது என்று கருதுவதற்குப் பதிலாக உங்கள் சொந்த ASA இல் சரிபார்க்கவும்.

மூன்று தோல்வி முறைகள் பெரும்பாலான குழப்பத்தை விளக்குகின்றன. வரையறுக்கப்பட்டாலும் விவரக்குறிப்பு பயன்படுத்தும் சேவையகக் குறிச்சொல்லுடன் எப்போதும் இணைக்கப்படாத வரைபடம் எங்கும் எந்தப் பிழையும் இல்லாமல் இயல்புநிலைக் கொள்கையைத் தருகிறது. அடைவு மதிப்பிலிருந்து பெரிய-சிறிய எழுத்து அல்லது இடைவெளிகளில் வேறுபடும் DAP நிபந்தனை சரம் ஒருபோதும் பொருந்தாது, காப்புப் பதிவு அமைதியாகப் பயன்படுத்தப்படுகிறது. மேலும் இன்னும் இல்லாத குழுக் கொள்கையை வரைபடம் ஏற்றுக்கொள்கிறது, ஏனெனில் வரைபடம் ஒரு பெயரை மட்டுமே திருப்பித் தருகிறது, எனவே அமர்வுக்கு எந்தவொரு நோக்கமான அனுமதியும் கிடைக்காது, பதிவில் காணாமல் போன பொருளைச் சுட்டும் எதுவும் இல்லை. குழு உறுப்பினர் நிலையைத் தொடுவதற்கு முன் மூன்றையும் சரிபார்க்கவும்.

நேரடி அமர்விலிருந்து சான்றுகளைப் படித்தல்

பதிலை உள்ளமைவிலிருந்து அல்ல, புதிய அமர்விலிருந்து படியுங்கள். show vpn-sessiondb detail anyconnect filter name jdoe அமர்வு உண்மையில் பெற்ற குழுக் கொள்கையை அச்சிடுகிறது, show running-config ldap attribute-map வரைபடம் எந்த மதிப்புகளைத் திருப்பித் தந்திருக்கலாம் என்பதை உறுதிப்படுத்துகிறது. அடைவுப் பக்கத்தில், test aaa-server authentication LDAP-AD username jdoe password <password> ASA திரும்பப் பெற்ற பண்புகளைக் காட்டுகிறது, debug ldap 255 சோதனை உங்கள் எதிர்பார்ப்புடன் பொருந்தாதபோது அந்தப் பரிமாற்றத்தைக் காட்டுகிறது.

பின்னர் நான்கு பதிவுகளை எழுத்துப்பூர்வமாக ஒப்புக்கொள்ளுங்கள்: அடைவு மதிப்பு, உள்ளமைக்கப்பட்ட வரைபடம் அல்லது DAP நிபந்தனை, உள்ளூர் குழுக் கொள்கை மற்றும் பயனர் உண்மையில் அடைந்த மூலம். முதல் மூன்றும் பொருந்தி நான்காவது பொருந்தவில்லை என்றால், பிரச்சனை தேர்வில் அல்ல, கொள்கையின் முக்கிய பகுதியில் உள்ளது. அமர்வு சரியான கொள்கைப் பெயரைக் காட்டி ஆனால் தவறான ACL காட்டினால், LDAP ஐப் பார்ப்பதை முழுவதுமாக நிறுத்துங்கள். ஒரு நேரத்தில் ஒரு பதிவை மாற்றி புதிய அமர்வை மீண்டும் சரிபார்க்கவும், ஏனெனில் மீண்டும் இணைக்கப்பட்ட அமர்வே நீங்கள் இப்போது எழுதிய உள்ளமைவைப் பிரதிபலிக்கும் ஒரே சான்று.