VPN సమూహ విధానం కోసం ASA LDAP సమూహ మ్యాపింగ్ మరియు DAP

AnyConnect సెషన్ ఏ సమూహ విధానాన్ని పొందుతుందో రెండు వేర్వేరు రికార్డులు నిర్ణయిస్తాయి, అవి కాన్ఫిగరేషన్‌లోని వేర్వేరు భాగాలలో వేర్వేరు వైఫల్య పద్ధతులతో ఉంటాయి. LDAP లక్షణ మ్యాప్ ప్రామాణీకరణ సమయంలో డైరెక్టరీ విలువను ASA అధికార లక్షణంగా మారుస్తుంది; DAP రికార్డు తర్వాత షరతులను అంచనా వేస్తుంది మరియు లక్షణాలను జోడించవచ్చు లేదా భర్తీ చేయవచ్చు. రెండూ ఒకే విధాన పేరుతో ముగియవచ్చు, కాబట్టి విజయవంతమైన లాగిన్ ఏ యంత్రాంగం దానిని సృష్టించిందో ఏమీ చెప్పదు. వాటిని పోల్చడం లక్ష్యం రెండవది మొదటిదాన్ని నిశ్శబ్దంగా అధిగమించనివ్వకుండా ఉద్దేశపూర్వకంగా ఒకదాన్ని ఎంచుకోవడం.

రెండు యంత్రాంగాలు, రెండు నిర్ణయ బిందువులు

ఎంపిక మూడు ప్రశ్నలకు వస్తుంది. నిర్ణయం డైరెక్టరీలోని ఒకే లక్షణ విలువపై ఆధారపడి ఉందా, దానికి ఆ విలువ కంటే ఎక్కువ అవసరమా, మరియు రెండూ సరిపోలినప్పుడు ఏ యంత్రాంగం గెలవడానికి అనుమతి ఉంది?

ఏకైక ఇన్‌పుట్ సమూహ సభ్యత్వం అయితే, లక్షణ మ్యాప్ చిన్న సాధనం మరియు ఆడిట్ చేయడానికి సులభం: ఒక మ్యాప్, ఒక AAA సర్వర్‌కు జోడించబడి, ప్రతి సమూహానికి ఒక పంక్తి. ఎంపిక పరికర స్థితి, ఎండ్‌పాయింట్ గుర్తింపు, రెండవ లక్షణం లేదా సమయ విండోను పరిగణించాల్సి ఉంటే, మ్యాప్ ఇన్‌పుట్‌లు అయిపోతాయి మరియు నియమాన్ని వ్యక్తపరచగల యంత్రాంగం DAP. రెండూ వాడుకలో ఉంటే, ఏదైనా రాయడానికి ముందు మీ విడుదలలో ప్రాధాన్యతను తెలుసుకోండి, ఎందుకంటే DAP రికార్డుతో సరిపోలే సెషన్ మ్యాప్ తిరిగి ఇచ్చిన విధానాన్ని నిలుపుకోకపోవచ్చు. మిగతావన్నీ లెక్కింపు.

లక్షణ మ్యాప్ మార్గం, కాన్ఫిగరేషన్ క్రమంలో

మ్యాప్ మార్గం AAA సర్వర్ నిర్వచనం నుండి ప్రారంభమవుతుంది. లక్షణ మ్యాప్ కనెక్షన్ ప్రొఫైల్ నిజంగా ఉపయోగించే LDAP సర్వర్ ఎంట్రీకి జోడించబడాలి; నడుస్తున్న కాన్ఫిగరేషన్‌లో ఉన్నా ఆ సర్వర్ సూచించని మ్యాప్ ఏమీ మార్చదు. ఆ జోడింపు పంక్తే మిగతా కాన్ఫిగరేషన్‌ను సజీవం చేస్తుంది. ASA LDAP మ్యాపింగ్ గైడ్ 9.x విడుదలలలో మ్యాప్ సింటాక్స్‌కు సూచన.

మ్యాప్ లోపల, ఒక ప్రకటన డైరెక్టరీ లక్షణాన్ని మరియు అది పోషించే ASA లక్షణాన్ని పేర్కొంటుంది, మరిన్ని ప్రకటనలు నిర్దిష్ట విలువలను అనువదిస్తాయి. map-name memberOf Group-Policy మరియు దాని తర్వాత map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly రూపం: ఎడమ వైపు డైరెక్టరీ తిరిగి ఇచ్చినది, కుడి వైపు ఇప్పటికే ఉండాల్సిన సమూహ విధానం పేరు. ప్రత్యేకమైన పేరు మరియు విధానం ప్రదర్శన పేరు పరస్పరం మార్చుకోలేనివి, రెండు స్ట్రింగ్‌లలో ఏదైనా దాదాపు సరిపోలిక లాగిన్‌లో ఎటువంటి లోపం ఇవ్వదు.

ఇక్కడ రెండు విషయాలు కరుస్తాయి: memberOf ఖాతా ఉన్న ప్రతి సమూహాన్ని తిరిగి ఇస్తుంది, కాబట్టి రెండు మ్యాప్ చేయబడిన సమూహాలలో ఉన్న వినియోగదారు మ్యాప్‌కు రెండు అభ్యర్థి విలువలను ఇస్తాడు, గైడ్‌లోని అక్షర క్రమ నియమమే మీ స్వంత ప్రాధాన్యత క్రమానికి బదులుగా మీరు ఆధారపడగల ఏకైక టై-బ్రేక్. మ్యాప్ చేయని విలువ ఏమీ ఇవ్వదు, అది నిశ్శబ్దంగా ప్రొఫైల్ డిఫాల్ట్ విధానానికి తిరిగి వస్తుంది.

DAP మార్గం, మరియు అది ఏమి జోడిస్తుంది

DAP షరతులను అంచనా వేసి AAA ఫలితంపై లక్షణాలను వర్తిస్తుంది. రికార్డు ప్రాధాన్యత, చర్య మరియు షరతుల సమితిని కలిగి ఉంటుంది; రికార్డులు ప్రాధాన్యత క్రమంలో అంచనా వేయబడతాయి మరియు చర్య అంచనా కొనసాగుతుందా ఆగుతుందా అని నిర్ణయిస్తుంది. ఇది విలువ శోధనకు భిన్నమైన అమలు నమూనా, అందుకే మ్యాప్ వ్యక్తపరచలేని నియమాలను వ్యక్తపరచగలదు.

DAP జోడించేది ఇన్‌పుట్‌లు. షరతులు డైరెక్టరీ లక్షణాలు, ఎండ్‌పాయింట్ లక్షణాలు మరియు పరికర స్థితిని సూచించగలవు, సరిపోలే రికార్డు ఆ సెషన్ కోసం ACL, URL జాబితాలు లేదా ఫిల్టర్‌లను కలిగి ఉండవచ్చు. కాబట్టి నిర్వహించబడే ల్యాప్‌టాప్‌లోని మద్దతు సిబ్బంది చదవడం-మాత్రమే విధానాన్ని పొందుతారు, అదే సిబ్బంది నిర్వహించబడని పరికరంలో పరిమితమైనది పొందుతారు అనే నియమాన్ని DAPలో వ్యక్తపరచవచ్చు, లక్షణ మ్యాప్‌లో కాదు. మ్యాప్‌కు సరిగ్గా ఒక ఇన్‌పుట్ ఉంది: మీరు పేర్కొన్న లక్షణానికి డైరెక్టరీ తిరిగి ఇచ్చిన విలువ.

సెషన్ తప్పు విధానంలో పడినప్పుడు చూడటానికి DAP రెండవ స్థలాన్ని కూడా జోడిస్తుంది. కొనసాగించు చర్యతో సరిపోలే రికార్డు అంచనాను ముగించదు, మరియు తర్వాతి రికార్డు ఫలితాన్ని ఇంకా మార్చగలదు, కాబట్టి మీరు గమనించేది ఒక క్రమం ఫలితం, ఒకే శోధనది కాదు. ప్రాధాన్యత సంఖ్యలను క్రమంగా చదవండి, పని బ్యాకప్ రికార్డు చేస్తుండవచ్చని గుర్తుంచుకోండి. మ్యాప్‌కు ఏ క్రమం లేదు: ఒక లక్షణం, ఒక విలువ, ఒక సమాధానం.

రెండూ ఏకీభవించని చోటు

ప్రాధాన్యతే డిజైన్‌లను బద్దలు కొట్టే భాగం. సెషన్ మ్యాప్ ఎంట్రీ మరియు DAP రికార్డు రెండింటితో సరిపోలినప్పుడు, ఫలితం విడుదల మరియు రికార్డు చర్యపై ఆధారపడి ఉంటుంది, కాబట్టి యంత్రాంగాలలో ఒకటి ఫలితాన్ని కలిగి ఉందని భావించకుండా మీ స్వంత ASAలో ధృవీకరించండి.

మూడు వైఫల్య పద్ధతులు ఎక్కువ గందరగోళాన్ని వివరిస్తాయి. నిర్వచించబడినా ప్రొఫైల్ ఉపయోగించే సర్వర్ ట్యాగ్‌కు ఎప్పుడూ జోడించని మ్యాప్ ఎక్కడా ఎటువంటి లోపం లేకుండా డిఫాల్ట్ విధానాన్ని ఇస్తుంది. డైరెక్టరీ విలువ నుండి పెద్ద-చిన్న అక్షరాలు లేదా ఖాళీలలో భిన్నంగా ఉండే DAP షరతు స్ట్రింగ్ ఎప్పుడూ సరిపోలదు, బ్యాకప్ రికార్డు నిశ్శబ్దంగా వర్తిస్తుంది. మరియు ఇంకా లేని సమూహ విధానాన్ని మ్యాప్ అంగీకరిస్తుంది, ఎందుకంటే మ్యాప్ పేరును మాత్రమే తిరిగి ఇస్తుంది, కాబట్టి సెషన్ ఉద్దేశించిన అనుమతులలో ఏదీ పొందదు మరియు లాగ్‌లో తప్పిపోయిన వస్తువును చూపేది ఏమీ ఉండదు. సమూహ సభ్యత్వాన్ని తాకే ముందు మూడింటినీ తనిఖీ చేయండి.

సజీవ సెషన్ నుండి సాక్ష్యాలను చదవడం

సమాధానాన్ని కాన్ఫిగరేషన్ నుండి కాదు, కొత్త సెషన్ నుండి చదవండి. show vpn-sessiondb detail anyconnect filter name jdoe సెషన్ నిజంగా పొందిన సమూహ విధానాన్ని ముద్రిస్తుంది, show running-config ldap attribute-map మ్యాప్ ఏ విలువలను తిరిగి ఇచ్చి ఉండవచ్చో ధృవీకరిస్తుంది. డైరెక్టరీ వైపు, test aaa-server authentication LDAP-AD username jdoe password <password> ASA తిరిగి పొందిన లక్షణాలను చూపుతుంది, debug ldap 255 పరీక్ష మీ అంచనాతో సరిపోలనప్పుడు ఆ మార్పిడిని చూపుతుంది.

తర్వాత నాలుగు రికార్డులను లిఖితపూర్వకంగా సరిపోల్చండి: డైరెక్టరీ విలువ, కాన్ఫిగర్ చేసిన మ్యాప్ లేదా DAP షరతు, స్థానిక సమూహ విధానం మరియు వినియోగదారు నిజంగా చేరుకోగలిగిన వనరు. మొదటి మూడు సరిపోలి నాల్గవది సరిపోలకపోతే, సమస్య ఎంపికలో కాదు, విధానం ప్రధాన భాగంలో ఉంది. సెషన్ సరైన విధాన పేరును చూపి కానీ తప్పు ACL చూపితే, LDAP చూడటం పూర్తిగా ఆపండి. ఒకసారి ఒక రికార్డును మార్చి కొత్త సెషన్‌ను మళ్లీ తనిఖీ చేయండి, ఎందుకంటే తిరిగి కనెక్ట్ అయిన సెషన్ మాత్రమే మీరు ఇప్పుడు రాసిన కాన్ఫిగరేషన్‌ను ప్రతిబింబించే ఏకైక సాక్ష్యం.