ASA LDAP grup eşlemesi ile VPN grup ilkesi için DAP karşılaştırması

Bir AnyConnect oturumunun hangi grup ilkesini alacağına iki ayrı kayıt karar verir ve bunlar yapılandırmanın farklı yerlerinde, farklı hata biçimleriyle durur. Bir LDAP öznitelik eşlemesi, kimlik doğrulama sırasında dizinden gelen bir değeri ASA yetkilendirme özniteliğine çevirir; bir DAP kaydı ise sonrasında koşulları değerlendirir ve öznitelikleri ekleyebilir ya da geçersiz kılabilir. İkisi de aynı ilke adında bitebilir, bu yüzden çalışan bir oturum açma hangi mekanizmanın onu ürettiğini söylemez. Bunları karşılaştırmanın anlamı, ikincisinin birinciyi sessizce geçersiz kılmasına izin vermek yerine birini bilinçli olarak seçmektir.

İki mekanizma, iki karar noktası

Seçim üç soruya iner. Karar tek bir dizin öznitelik değerine mi bağlı, o değerden fazlasına mı ihtiyaç var ve ikisi de eşleştiğinde hangi mekanizmanın kazanmasına izin veriliyor?

Tek girdi grup üyeliği ise öznitelik eşlemesi daha küçük araçtır ve denetlenmesi daha kolaydır: bir eşleme, bir AAA sunucusuna bağlı, her grup için bir satır. Seçimin cihaz durumunu, uç nokta kimliğini, ikinci bir özniteliği veya zaman penceresini dikkate alması gerekiyorsa eşlemenin girdileri tükenir ve kuralı ifade edebilen mekanizma DAP olur. İkisi de kullanılıyorsa, herhangi birini yazmadan önce sürümünüzdeki önceliği öğrenin, çünkü bir DAP kaydıyla eşleşen oturum, eşlemenin döndürdüğü ilkeyi korumayabilir. Geri kalan her şey muhasebedir.

Öznitelik eşlemesinin yolu, yapılandırma sırasına göre

Eşlemenin yolu AAA sunucu tanımında başlar. Öznitelik eşlemesi, bağlantı profilinin gerçekten kullandığı LDAP sunucu girdisine bağlı olmalıdır; çalışan yapılandırmada var olan ama o sunucu tarafından başvurulmayan bir eşleme hiçbir şeyi değiştirmez. Yapılandırmanın geri kalanını canlı kılan tam olarak o bağlama satırıdır. ASA LDAP eşleme kılavuzu 9.x sürümlerinde eşleme sözdizimi için başvuru kaynağıdır.

Eşlemenin içinde bir ifade, dizin özniteliğini ve onu besleyen ASA özniteliğini adlandırır; sonraki ifadeler belirli değerleri çevirir. map-name memberOf Group-Policy ve ardından gelen map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly biçimdir: sol taraf dizinin döndürdüğü değerdir, sağ taraf önceden var olması gereken bir grup ilkesinin adıdır. Ayırt edici ad ile ilkenin görünen adı birbirinin yerine geçmez ve iki dizeden birindeki neredeyse eşleşme oturum açmada hiçbir hata üretmez.

Burada iki ayrıntı ısırır: memberOf hesabın üye olduğu her grubu döndürür, bu yüzden eşlenmiş iki gruptaki bir kullanıcı eşlemeye iki aday değer verir ve kılavuzdaki alfabetik kural, kendi öncelik sıranız yerine güvenebileceğiniz tek eşitlik çözümüdür. Eşlenmemiş bir değer hiçbir şey vermez ve bu sessizce profilin varsayılan ilkesine geri düşer.

DAP yolu ve ne eklediği

DAP koşulları değerlendirir ve öznitelikleri AAA sonucunun üzerine uygular. Bir kayıt bir öncelik, bir eylem ve bir koşul kümesi taşır; kayıtlar öncelik sırasına göre değerlendirilir ve eylem değerlendirmenin devam mı edeceğine yoksa duracağına karar verir. Bu, bir değer aramasından farklı bir yürütme modelidir ve tam da bu yüzden eşlemenin ifade edemediği kuralları ifade edebilir.

DAP'ın eklediği şey girdilerdir. Koşullar dizin özniteliklerine, uç nokta özniteliklerine ve cihaz durumuna başvurabilir ve eşleşen bir kayıt o oturum için ACL'ler, URL listeleri veya filtreler taşıyabilir. Böylece yönetilen bir dizüstü bilgisayardaki destek personelinin salt okunur ilkeyi alması, aynı personelin yönetilmeyen bir cihazda kısıtlı bir ilke alması gibi bir kural DAP'ta ifade edilebilir, öznitelik eşlemesinde değil. Eşlemenin tam olarak bir girdisi vardır: dizinin adını verdiğiniz öznitelik için döndürdüğü değer.

DAP ayrıca oturum yanlış ilkeye düştüğünde bakılacak ikinci bir yer ekler. Devam eylemiyle eşleşen bir kayıt değerlendirmeyi bitirmez ve daha sonraki bir kayıt sonucu yine değiştirebilir, bu yüzden gözlemlediğiniz şey tek bir aramanın değil bir dizinin ürünüdür. Öncelik numaralarını sırayla okuyun ve işi yedek kaydın yapıyor olabileceğini unutmayın. Eşlemenin ise hiç dizisi yoktur: tek öznitelik, tek değer, tek yanıt.

İkisinin ayrıldığı yer

Tasarımları kıran kısım önceliktir. Bir oturum hem eşleme girdisiyle hem de DAP kaydıyla eşleştiğinde sonuç sürüme ve kaydın eylemine bağlıdır, bu yüzden mekanizmalardan birinin sonucu sahiplendiğini varsaymak yerine kendi ASA'nızda doğrulayın.

Üç hata biçimi karışıklığın çoğunu açıklar. Tanımlanmış ama profilin kullandığı sunucu etiketine hiç bağlanmamış bir eşleme, hiçbir yerde hata olmadan varsayılan ilkeyi verir. Dizindeki değerden büyük-küçük harf veya boşluk bakımından farklı bir DAP koşul dizesi hiçbir zaman eşleşmez ve yedek kayıt sessizce uygulanır. Ve henüz var olmayan bir grup ilkesi eşleme tarafından kabul edilir, çünkü eşleme yalnızca bir ad döndürür, bu yüzden oturum amaçlanan izinlerin hiçbirini almaz ve günlükte eksik nesneyi işaret eden hiçbir şey yoktur. Grup üyeliğine dokunmadan önce üçünü de kontrol edin.

Kanıtları canlı bir oturumdan okumak

Yanıtı yapılandırmadan değil yeni bir oturumdan okuyun. show vpn-sessiondb detail anyconnect filter name jdoe oturumun gerçekten aldığı grup ilkesini yazdırır ve show running-config ldap attribute-map eşlemenin hangi değerleri döndürmüş olabileceğini doğrular. Dizin tarafında test aaa-server authentication LDAP-AD username jdoe password <password> ASA'nın geri aldığı öznitelikleri gösterir ve debug ldap 255 test beklediğinizle uyuşmadığında o alışverişi gösterir.

Ardından dört kaydı yazılı olarak uzlaştırın: dizindeki değer, yapılandırılmış eşleme veya DAP koşulu, yerel grup ilkesi ve kullanıcının gerçekten ulaşabildiği kaynak. İlk üçü uyuşup dördüncüsü uyuşmuyorsa, sorun seçimde değil ilkenin gövdesindedir. Oturum doğru ilke adını gösterip yanlış ACL gösteriyorsa LDAP'a bakmayı tamamen bırakın. Her seferinde bir kaydı değiştirin ve yeni bir oturumu yeniden kontrol edin, çünkü yeniden bağlanan oturum yalnızca az önce yazdığınız yapılandırmayı yansıtan kanıttır.