Pagmamapa ng mga pangkat LDAP sa ASA laban sa DAP para sa patakaran ng pangkat VPN

Dalawang magkahiwalay na record ang nagpapasya kung aling patakaran ng pangkat ang natatanggap ng isang sesyon ng AnyConnect, at nakatira sila sa magkaibang bahagi ng pagsasaayos na may magkaibang paraan ng pagpalya. Ang mapa ng mga katangian ng LDAP ay nagsasalin ng halaga mula sa direktoryo patungong katangian ng awtorisasyon ng ASA habang nagpapatotoo; ang rekord ng DAP ay sumusuri ng mga kondisyon pagkatapos at maaaring magdagdag o magpalit ng mga katangian. Pareho silang maaaring magtapos sa parehong pangalan ng patakaran, kaya ang isang matagumpay na pag-login ay walang sinasabi tungkol sa kung aling mekanismo ang gumawa nito. Ang layunin ng paghahambing sa kanila ay sadyang pumili ng isa sa halip na hayaan ang pangalawa na tahimik na manaig sa una.

Dalawang mekanismo, dalawang punto ng pasya

Bumababa ang pagpili sa tatlong tanong. Nakadepende ba ang pasya sa isang halaga ng katangian mula sa direktoryo, kailangan ba nito ng higit pa sa halagang iyon, at aling mekanismo ang pinapayagang manalo kapag parehong tumugma?

Kung ang tanging input ay pagiging kasapi ng pangkat, ang mapa ng mga katangian ang mas maliit na kasangkapan at ang pinakamadaling i-audit: isang mapa, nakakabit sa isang server ng AAA, na may isang linya sa bawat pangkat. Kung kailangang isaalang-alang ng pagpili ang kalagayan ng device, pagkakakilanlan ng endpoint, pangalawang katangian o window ng oras, mauubos ang mga input ng mapa at ang DAP ang mekanismong makapagpapahayag ng tuntunin. Kung parehong ginagamit, alamin ang precedence sa iyong release bago isulat ang alinman sa kanila, dahil ang sesyong tumutugma sa rekord ng DAP ay maaaring hindi mapanatili ang patakarang ibinalik ng mapa. Ang lahat ng iba ay pagtutuos.

Ang landas ng mapa ng mga katangian, sa ayos ng pagsasaayos

Nagsisimula ang landas ng mapa sa depinisyon ng server ng AAA. Ang mapa ng mga katangian ay dapat nakakabit sa entry ng server ng LDAP na aktwal na ginagamit ng profile ng koneksyon; ang mapang nasa tumatakbong pagsasaayos ngunit hindi tinutukoy ng server na iyon ay walang binabago. Ang linyang iyon ng pagkakabit ang nagbibigay-buhay sa natitirang pagsasaayos. Ang gabay sa pagmamapa ng LDAP ng ASA ang sanggunian para sa sintaks ng mapa sa mga bersyon 9.x.

Sa loob ng mapa, pinapangalanan ng isang pahayag ang katangian ng direktoryo at ang katangian ng ASA na pinapakain nito, at isinasalin ng iba pang pahayag ang mga partikular na halaga. map-name memberOf Group-Policy na sinusundan ng map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly ang anyo: ang kaliwang bahagi ang ibinalik ng direktoryo, ang kanang bahagi ang pangalan ng patakaran ng pangkat na dapat umiiral na. Ang natatanging pangalan at ang pangalan sa pagpapakita ng patakaran ay hindi mapagpapalit, at ang halos-tugma sa alinman sa dalawang string ay walang naidudulot na error sa pag-login.

Dalawang detalye ang kumagat dito: memberOf ibinabalik ang bawat pangkat na kinabibilangan ng account, kaya ang user sa dalawang naka-map na pangkat ay nagbibigay sa mapa ng dalawang kandidatong halaga, at ang tuntunin sa abakada sa gabay ang tanging tie-break na maaasahan mo sa halip na ang sarili mong ayos ng priyoridad. Ang hindi naka-map na halaga ay walang ibinibigay, na tahimik na bumabalik sa default na patakaran ng profile.

Ang landas ng DAP, at ang idinadagdag nito

Sinusuri ng DAP ang mga kondisyon at inilalapat ang mga katangian sa ibabaw ng resulta ng AAA. Nagdadala ang rekord ng priyoridad, aksyon at hanay ng mga kondisyon; sinusuri ang mga rekord sa ayos ng priyoridad at ang aksyon ang nagpapasya kung magpapatuloy o hihinto ang pagsusuri. Iba itong modelo ng pagpapatupad kaysa sa paghahanap ng halaga, at iyon mismo ang dahilan kung bakit naipapahayag nito ang mga tuntuning hindi kayang ipahayag ng mapa.

Ang idinadagdag ng DAP ay mga input. Maaaring tumukoy ang mga kondisyon sa mga katangian ng direktoryo, katangian ng endpoint at kalagayan ng device, at ang tugmang rekord ay maaaring magdala ng ACL, listahan ng URL o filter para sa sesyong iyon. Kaya ang tuntunin tulad ng ang support staff sa pinamamahalaang laptop ay nakakakuha ng read-only na patakaran habang ang parehong staff sa hindi pinamamahalaang device ay nakakakuha ng limitado ay naipapahayag sa DAP at hindi sa mapa ng mga katangian. Ang mapa ay may eksaktong isang input: ang halagang ibinalik ng direktoryo para sa katangiang pinangalanan mo.

Nagdadagdag din ang DAP ng pangalawang lugar na titingnan kapag napunta ang sesyon sa maling patakaran. Ang rekord na tumutugma sa aksyong magpatuloy ay hindi nagtatapos sa pagsusuri, at ang susunod na rekord ay maaari pang magbago ng resulta, kaya ang naoobserbahan mo ay produkto ng isang pagkakasunod-sunod at hindi ng isang paghahanap. Basahin ang mga numero ng priyoridad sa ayos, at tandaan na maaaring ang backup na rekord ang gumagawa ng trabaho. Ang mapa, sa kabilang banda, ay walang pagkakasunod-sunod: isang katangian, isang halaga, isang sagot.

Kung saan hindi nagkakasundo ang dalawa

Ang precedence ang bahaging sumisira sa mga disenyo. Kapag tumutugma ang sesyon sa parehong entry ng mapa at rekord ng DAP, nakadepende ang resulta sa release at sa aksyon ng rekord, kaya i-verify ito sa sarili mong ASA sa halip na ipagpalagay na pag-aari ng isa sa mga mekanismo ang resulta.

Tatlong paraan ng pagpalya ang nagpapaliwanag sa halos lahat ng kalituhan. Ang mapang natukoy ngunit hindi kailanman nakakabit sa tag ng server na ginagamit ng profile ay nagbibigay ng default na patakaran nang walang anumang error kahit saan. Ang string ng kondisyon ng DAP na naiiba sa halaga ng direktoryo sa malalaki o maliliit na titik o puwang ay hindi kailanman tumutugma, at tahimik na nalalapat ang backup na rekord. At ang patakaran ng pangkat na wala pa ay tinatanggap ng mapa, dahil pangalan lamang ang ibinabalik ng mapa, kaya walang nakukuhang alinman sa mga inaasahang pahintulot ang sesyon at walang anuman sa log na tumutukoy sa nawawalang object. Suriin ang tatlo bago hawakan ang pagiging kasapi ng pangkat.

Pagbasa ng ebidensya mula sa buhay na sesyon

Basahin ang sagot mula sa bagong sesyon at hindi mula sa pagsasaayos. show vpn-sessiondb detail anyconnect filter name jdoe ipinapakita ang patakaran ng pangkat na aktwal na natanggap ng sesyon, at show running-config ldap attribute-map kinukumpirma kung aling mga halaga ang maaaring ibinalik ng mapa. Sa panig ng direktoryo, test aaa-server authentication LDAP-AD username jdoe password <password> ipinapakita ang mga katangiang natanggap pabalik ng ASA, at debug ldap 255 ipinapakita ang palitan kapag hindi tumutugma ang pagsubok sa inaasahan mo.

Pagkatapos, pagtugmain ang apat na rekord sa sulat: ang halaga ng direktoryo, ang nakaayos na mapa o kondisyon ng DAP, ang lokal na patakaran ng pangkat at ang resource na aktwal na naabot ng user. Kung tumutugma ang unang tatlo at hindi ang pang-apat, nasa katawan ng patakaran ang problema at hindi sa pagpili. Kung ipinapakita ng sesyon ang tamang pangalan ng patakaran ngunit maling ACL, tuluyang itigil ang pagtingin sa LDAP. Palitan ang isang rekord sa bawat pagkakataon at suriin muli ang bagong sesyon, dahil ang muling nakonektang sesyon lamang ang ebidensyang sumasalamin sa pagsasaayos na isinulat mo lang.