ASA grup takma adı ve grup URL'si: profil nasıl seçilir

Bir bağlantı profili, bir oturumu ancak ASA onu seçtikten sonra yönetir. Bu tek cümle, istemcisiz eski bir portal için tüm sorun giderme modelidir. Kullanılmayan bir profil kusursuz erişim kurallarına sahip olabilir ve yine de hiç kimseye uygulanmayabilir. Herhangi bir politikayı düzenlemeden önce oturum açma giriş noktasını izleyin.

Aşağıdaki ayrımlar 9.16 belgelerini izler; istemcisiz SSL VPN 9.17(1) ve sonrasında kaldırıldı.

Takma ad bir liste girdisidir, URL değildir

group-alias, kullanıcının oturum açma sayfasındaki grup listesinden seçtiği bir etiket sağlar. Bu listeyi göstermek ayrı bir ayardır, tunnel-group-list enable. Takma ad yalnızca bir seçim adıdır, başka bir şey değildir. staff adlı bir takma ad yapılandırmak, profili seçen bir /staff URL'si oluşturmaz.

İnsanlar takma adın çift iş görmesini bekler, çünkü tarayıcının içinden liste ve URL aynı seçim gibi görünür.

group-url gerçekte neyle eşleşir

group-url, gelen bir URL'yi bir bağlantı profiline bağlar. Etkinleştirilmiş o URL eşleştiğinde ASA, kullanıcıdan listeden seçim yapmasını istemeden profili seçer. URL, sürümünüzün desteklediği sözdiziminde, tam ve amaçlanan adres olmalıdır. DNS kaydı ve sertifikası kullanıcıların yazdıklarıyla uyuşmalıdır, aksi halde eşleşme hiç gerçekleşmez.

Kopyalanmış bir URL soneki yapılandırma hakkında hiçbir şey kanıtlamaz. Adres çubuğunu değil, profili kontrol edin.

Seçimi çalışan politikaya kadar izleyin

Bir tünel grubu seçildiğinde, cihaz kimlik doğrulama yöntemini ve ona bağlı varsayılan grup politikasını çözer. Ardından kullanıcıya özgü nitelikler, kimlik doğrulamanın döndürdüğü değerler ve dinamik yetkilendirme bu temelin bölümlerini geçersiz kılabilir. Oturumun gerçekte ne aldığını inceleyin. Yalnızca adlandırılmış politikayı okumak size temeli verir, sonucu değil.

İkisi arasındaki fark, «kural doğru ama erişim yanlış» bildirimlerinin çoğunun kaynağıdır.

Miras, yalıtım değildir

Belirtmeden bıraktığınız nitelikler varsayılan grup politikasından miras alınabilir. Bu nedenle yeni adlandırılmış bir politika paylaşılan varsayılanlardan yalıtılmış değildir ve bunları düzenlemek onları miras alan her profile ulaşır. Profil başına etkin kaynak erişimini, DNS ayarlarını ve oturum kısıtlamalarını karşılaştırın. Paylaşılan bir şeyi değiştirmeden önce bunu yapın.

Erişim uygulamasını seçimden ayrı tutun.

İstemcisiz bir oturum için geçerli filtre webtype ACL'sidir. Tünel istemcisi için bir VPN filtresi, yalnızca ikisi de yapılandırmada aynı politika bloğunun yakınında diye onun yerini tutmaz.

Eşleşmeyen duruma karar verin, sonra her yolu test edin

Portalın genel URL'sinde ve eşleşmeyen diğer giriş noktalarında ne olması gerektiğini belirleyin. Bir test hesabının geçmesi için paylaşılan bir varsayılanı düzenlemek yerine gerçek varsayılan profil yoluna ve yetkilendirmesine bakın. Ardından üç yeni oturum açın: açık URL, etkinleştirilmiş liste girdisi ve genel giriş noktası. Her biri için seçilen profili ve etkin politikayı kaydedin.

Önceki bir oturum açmadan kalan tarayıcı sekmesini yeniden kullanmak karşılaştırmayı bozar, çünkü o oturum zaten bir profile bağlıdır.

Bu kayıt, «portal açılıyor» ifadesini daha sonra denetleyebileceğiniz oturum açmadan politikaya bir eşlemeye dönüştürür ve bir profil doğru görünüp kimseyi yönetmediğinde tek kalıcı yanıt budur.