Груповий alias і груповий URL у ASA: як вибирається профіль

Профіль з'єднання керує сеансом лише після того, як ASA його вибере. Це речення — уся модель пошуку несправностей для старого порталу без клієнта. Невикористаний профіль може мати бездоганні правила доступу і все одно не застосовуватися ні до кого. Простежте точку входу, перш ніж змінювати будь-яку політику.

Описані нижче відмінності ґрунтуються на документації 9.16; SSL VPN без клієнта було вилучено в 9.17(1) і пізніше.

Alias — це запис у списку, а не URL

group-alias задає мітку, яку користувач вибирає зі списку груп на сторінці входу. Показ цього списку — окреме налаштування, tunnel-group-list enable. Alias — це лише ім'я для вибору, і нічого більше. Налаштування alias з іменем staff не створює URL /staff, який вибирає профіль.

Люди очікують, що alias виконуватиме подвійну роботу, бо з браузера список і URL виглядають як той самий вибір.

Що насправді зіставляє group-url

group-url прив'язує вхідний URL до профілю з'єднання. Коли цей увімкнений URL збігається, ASA вибирає профіль, не просячи користувача вибрати зі списку. URL має бути повним і саме тим, у синтаксисі, який підтримує ваша версія. Його запис DNS і сертифікат мають відповідати тому, що вводять користувачі, інакше збіг ніколи не відбудеться.

Скопійований суфікс URL нічого не доводить щодо конфігурації. Перевіряйте профіль, а не адресний рядок.

Простежте вибір до політики, яка виконується

Після вибору тунельної групи пристрій визначає метод автентифікації та прив'язану до неї групову політику за замовчуванням. Далі атрибути конкретного користувача, значення, які повертає автентифікація, і динамічна авторизація можуть перевизначити частини цієї бази. Перевірте, що сеанс отримав насправді. Читання лише названої політики дає базу, а не результат.

Розрив між цими двома і є джерелом більшості повідомлень «правило правильне, але доступ неправильний».

Успадкування — не ізоляція

Атрибути, які ви залишаєте неуточненими, можуть успадковуватися з групової політики за замовчуванням. Тому нова названа політика не відокремлена від спільних значень за замовчуванням, і їхня зміна сягає кожного профілю, який їх успадковує. Порівняйте фактичний доступ до ресурсів, налаштування DNS і обмеження сеансу для кожного профілю. Зробіть це перед тим, як змінювати щось спільне.

Тримайте застосування доступу окремо від вибору.

Для сеансу без клієнта застосовний фільтр — ACL webtype. Фільтр VPN для тунельного клієнта не замінює його лише тому, що обидва стоять поруч з одним і тим самим блоком політики в конфігурації.

Визначте випадок без збігу, потім перевірте кожен шлях

Визначте, що має відбуватися на загальному URL порталу та в інших точках входу без збігу. Подивіться на реальний шлях профілю за замовчуванням і його авторизацію, а не змінюйте спільне значення за замовчуванням, щоб пройшов один тестовий обліковий запис. Потім відкрийте три нові сеанси: явний URL, увімкнений запис списку та загальну точку входу. Запишіть вибраний профіль і фактичну політику для кожного з них.

Повторне використання вкладки браузера з попереднього входу псує порівняння, бо цей сеанс уже прив'язаний до профілю.

Цей запис перетворює «портал відкривається» на відповідність від входу до політики, яку можна перевірити пізніше, і це єдина тривала відповідь, коли профіль виглядає правильним і не керує ніким.