Alias ng grupo sa ASA kumpara sa URL ng grupo: paano pinipili ang profile

Isang profile ng koneksyon ang namamahala sa session pagkatapos lamang piliin ito ng ASA. Ang pangungusap na iyon ang buong modelo ng pag-troubleshoot para sa lumang portal na walang client. Ang hindi ginagamit na profile ay maaaring may perpektong mga tuntunin sa pag-access at hindi pa rin nalalapat sa kaninuman. Sundan ang entry point ng pag-login bago baguhin ang anumang patakaran.

Ang mga pagkakaiba sa ibaba ay sumusunod sa dokumentasyon ng 9.16; ang SSL VPN na walang client ay inalis noong 9.17(1) at mas bago.

Ang alias ay entry sa listahan, hindi URL

group-alias ay nagbibigay ng label na pinipili ng user mula sa listahan ng grupo sa pahina ng pag-login. Ang pagpapakita ng listahang iyon ay hiwalay na setting, tunnel-group-list enable. Ang alias ay pangalan ng pagpili lamang at wala nang iba. Ang pag-configure ng alias na tinatawag na staff ay hindi gumagawa ng /staff URL na pumipili sa profile.

Inaasahan ng mga tao na gagawa ng dobleng trabaho ang alias dahil, mula sa loob ng browser, ang listahan at ang URL ay mukhang parehong pagpili.

Ano ang aktuwal na itinutugma ng group-url

group-url ay nag-uugnay ng papasok na URL sa isang profile ng koneksyon. Kapag tumugma ang naka-enable na URL na iyon, pinipili ng ASA ang profile nang hindi hinihiling sa user na pumili mula sa listahan. Ang URL ay dapat ang kumpleto at nilalayong isa, sa syntax na sinusuportahan ng iyong release. Ang DNS record at certificate nito ay dapat tumugma sa itinatype ng mga user, kung hindi ay hindi kailanman mangyayari ang tugma.

Ang kinopyang suffix ng URL ay walang pinapatunayan tungkol sa configuration. Suriin ang profile, hindi ang address bar.

Sundan ang pagpili hanggang sa patakarang tumatakbo

Kapag napili na ang tunnel group, tinutukoy ng appliance ang paraan ng authentication at ang default na patakaran ng grupo na nakakabit dito. Pagkatapos, ang mga attribute na partikular sa user, mga value na ibinabalik ng authentication, at ang dynamic na awtorisasyon ay maaaring mag-override sa mga bahagi ng baseline na iyon. Inspeksyunin kung ano ang aktuwal na natanggap ng session. Ang pagbasa lamang sa pinangalanang patakaran ay nagbibigay ng baseline, hindi ang kinalabasan.

Ang agwat ng dalawa ang pinagmumulan ng karamihan ng ulat na «tama ang tuntunin pero mali ang access».

Ang pagmamana ay hindi paghihiwalay

Ang mga attribute na iniiwan mong hindi tinukoy ay maaaring magmana mula sa default na patakaran ng grupo. Kaya ang bagong pinangalanang patakaran ay hindi hiwalay sa mga ibinabahaging default, at ang pag-edit sa mga ito ay umaabot sa bawat profile na nagmamana sa kanila. Ihambing ang epektibong pag-access sa resource, mga setting ng DNS, at mga paghihigpit sa session kada profile. Gawin ito bago baguhin ang anumang ibinabahagi.

Paghiwalayin din ang pagpapatupad ng access mula sa pagpili.

Para sa session na walang client, ang naaangkop na filter ay ang webtype ACL. Ang VPN filter para sa tunnel client ay hindi kapalit nito dahil lang sa pareho silang malapit sa parehong block ng patakaran sa configuration.

Magpasya sa kasong hindi tugma, pagkatapos subukan ang bawat landas

Tukuyin kung ano ang dapat mangyari sa generic na URL ng portal at sa iba pang hindi tugmang entry point. Tingnan ang tunay na landas ng default na profile at ang awtorisasyon nito sa halip na i-edit ang isang ibinabahaging default para makapasok ang isang test account. Pagkatapos magbukas ng tatlong bagong session: ang tahasang URL, ang naka-enable na entry sa listahan, at ang generic na entry point. Itala ang napiling profile at ang epektibong patakaran para sa bawat isa.

Ang muling paggamit ng tab ng browser mula sa naunang pag-login ay sumisira sa paghahambing, dahil ang session na iyon ay nakatali na sa isang profile.

Ang talaang iyon ay ginagawang mapping mula sa pag-login patungo sa patakaran ang «bukas ang portal» na maaari mong i-audit mamaya, at iyon ang tanging matibay na sagot kapag ang profile ay mukhang tama at wala namang pinamamahalaan.