alias ของกลุ่มใน ASA เทียบกับ URL ของกลุ่ม: โปรไฟล์ถูกเลือกอย่างไร

โปรไฟล์การเชื่อมต่อจะควบคุมเซสชันก็ต่อเมื่อ ASA เลือกมันแล้วเท่านั้น ประโยคนั้นคือแบบจำลองการแก้ปัญหาทั้งหมดสำหรับพอร์ทัลเก่าที่ไม่มีไคลเอนต์ โปรไฟล์ที่ไม่ได้ใช้อาจมีกฎการเข้าถึงที่สมบูรณ์แบบแต่ก็ยังไม่มีผลกับใคร ติดตามจุดเข้าสู่ระบบก่อนแก้ไขนโยบายใด ๆ

ความแตกต่างด้านล่างเป็นไปตามเอกสาร 9.16; SSL VPN แบบไม่มีไคลเอนต์ถูกนำออกใน 9.17(1) และหลังจากนั้น

alias คือรายการในลิสต์ ไม่ใช่ URL

group-alias ให้ป้ายกำกับที่ผู้ใช้เลือกจากลิสต์กลุ่มบนหน้าเข้าสู่ระบบ การแสดงลิสต์นั้นเป็นการตั้งค่าแยกต่างหาก tunnel-group-list enable alias เป็นเพียงชื่อสำหรับการเลือกและไม่มีอะไรมากกว่านั้น การกำหนดค่า alias ชื่อ staff ไม่ได้สร้าง URL /staff ที่เลือกโปรไฟล์

ผู้คนคาดว่า alias จะทำงานสองหน้าที่ เพราะจากภายในเบราว์เซอร์ลิสต์และ URL ดูเหมือนเป็นการเลือกเดียวกัน

group-url จับคู่กับอะไรจริง ๆ

group-url ผูก URL ขาเข้ากับโปรไฟล์การเชื่อมต่อ เมื่อ URL ที่เปิดใช้นั้นตรงกัน ASA จะเลือกโปรไฟล์โดยไม่ขอให้ผู้ใช้เลือกจากลิสต์ URL ต้องเป็นแบบเต็มตามที่ตั้งใจ ในไวยากรณ์ที่รีลีสของคุณรองรับ บันทึก DNS และใบรับรองต้องตรงกับสิ่งที่ผู้ใช้พิมพ์ มิฉะนั้นการจับคู่จะไม่มีทางเกิดขึ้น

ส่วนต่อท้าย URL ที่คัดลอกมาไม่ได้พิสูจน์อะไรเกี่ยวกับการกำหนดค่า ตรวจสอบโปรไฟล์ ไม่ใช่แถบที่อยู่

ติดตามการเลือกไปจนถึงนโยบายที่ทำงาน

เมื่อเลือกกลุ่มอุโมงค์แล้ว อุปกรณ์จะตัดสินวิธีรับรองความถูกต้องและนโยบายกลุ่มเริ่มต้นที่ผูกอยู่ จากนั้นแอตทริบิวต์เฉพาะผู้ใช้ ค่าที่การรับรองส่งกลับ และ การอนุญาตแบบไดนามิกสามารถเขียนทับบางส่วนของฐานนั้นได้ ตรวจสอบว่าเซสชันได้รับอะไรจริง การอ่านนโยบายที่ตั้งชื่อไว้เพียงอย่างเดียวให้ฐาน ไม่ใช่ผลลัพธ์

ช่องว่างระหว่างสองสิ่งนี้คือที่มาของรายงาน «กฎถูกแต่การเข้าถึงผิด» ส่วนใหญ่

การสืบทอดไม่ใช่การแยกจากกัน

แอตทริบิวต์ที่คุณปล่อยไว้ไม่ระบุอาจสืบทอดจากนโยบายกลุ่มเริ่มต้น นโยบายที่ตั้งชื่อใหม่จึงไม่ได้แยกออกจากค่าเริ่มต้นที่ใช้ร่วมกัน และการแก้ไขค่าเหล่านั้นไปถึงทุกโปรไฟล์ที่สืบทอด เปรียบเทียบการเข้าถึงทรัพยากรที่มีผล การตั้งค่า DNS และข้อจำกัดเซสชันต่อโปรไฟล์ ทำเช่นนั้นก่อนเปลี่ยนสิ่งที่ใช้ร่วมกัน

แยกการบังคับใช้การเข้าถึงออกจากการเลือกด้วย

สำหรับเซสชันแบบไม่มีไคลเอนต์ ตัวกรองที่ใช้คือ ACL webtype ตัวกรอง VPN สำหรับไคลเอนต์อุโมงค์ไม่ใช่สิ่งทดแทนเพียงเพราะทั้งสองอยู่ใกล้บล็อกนโยบายเดียวกันในการกำหนดค่า

ตัดสินกรณีที่ไม่ตรงกัน แล้วทดสอบทุกเส้นทาง

กำหนดว่าควรเกิดอะไรขึ้นที่ URL ทั่วไปของพอร์ทัลและที่จุดเข้าอื่นที่ไม่ตรงกัน ดูเส้นทางโปรไฟล์เริ่มต้นจริงและการอนุญาตของมันแทนการแก้ไขค่าเริ่มต้นที่ใช้ร่วมกันเพื่อให้บัญชีทดสอบบัญชีเดียวผ่าน จากนั้นเปิดสามเซสชันใหม่: URL ที่ชัดเจน รายการในลิสต์ที่เปิดใช้ และจุดเข้าทั่วไป บันทึกโปรไฟล์ที่เลือกและนโยบายที่มีผลของแต่ละรายการ

การใช้แท็บเบราว์เซอร์จากการเข้าสู่ระบบก่อนหน้าซ้ำจะทำให้การเปรียบเทียบเสีย เพราะเซสชันนั้นผูกกับโปรไฟล์แล้ว

บันทึกนั้นเปลี่ยน «พอร์ทัลเปิด» ให้เป็นการแมปจากการเข้าสู่ระบบไปสู่นโยบายที่คุณตรวจสอบภายหลังได้ และนั่นคือคำตอบเดียวที่ยั่งยืนเมื่อโปรไฟล์ดูถูกต้องแต่ไม่ได้ควบคุมใคร