ASA میں LDAP گروپ میپنگ بمقابلہ DAP برائے VPN گروپ پالیسی

دو الگ ریکارڈ فیصلہ کرتے ہیں کہ AnyConnect سیشن کو کون سی گروپ پالیسی ملے گی، اور وہ کنفیگریشن کے مختلف حصوں میں مختلف ناکامی کے طریقوں کے ساتھ رہتے ہیں۔ LDAP خصوصیت کا نقشہ تصدیق کے دوران ڈائریکٹری کی قدر کو ASA کی اجازت کی خصوصیت میں بدلتا ہے؛ DAP ریکارڈ بعد میں شرائط کا جائزہ لیتا ہے اور خصوصیات شامل یا زیر کر سکتا ہے۔ دونوں ایک ہی پالیسی نام پر ختم ہو سکتے ہیں، اس لیے کامیاب لاگ ان آپ کو کچھ نہیں بتاتا کہ کس طریقہ کار نے اسے بنایا۔ ان کا موازنہ کرنے کا مقصد یہ ہے کہ دوسرے کو پہلے کو خاموشی سے زیر کرنے دینے کے بجائے جان بوجھ کر ایک منتخب کریں۔

دو طریقہ کار، دو فیصلے کے مقامات

انتخاب تین سوالوں پر آتا ہے۔ کیا فیصلہ ڈائریکٹری کی ایک ہی خصوصیت کی قدر پر منحصر ہے، کیا اسے اس قدر سے زیادہ کی ضرورت ہے، اور جب دونوں میل کھاتے ہیں تو کس طریقہ کار کو جیتنے کی اجازت ہے؟

اگر واحد ان پٹ گروپ رکنیت ہے تو خصوصیت کا نقشہ چھوٹا آلہ ہے اور اس کا آڈٹ کرنا آسان ہے: ایک نقشہ، ایک AAA سرور سے منسلک، ہر گروپ کے لیے ایک سطر۔ اگر انتخاب کو ڈیوائس کی حالت، اینڈ پوائنٹ کی شناخت، دوسری خصوصیت یا وقت کی کھڑکی پر غور کرنا ہو تو نقشے کے ان پٹ ختم ہو جاتے ہیں اور اصول بیان کر سکنے والا طریقہ کار DAP ہے۔ اگر دونوں استعمال میں ہوں تو ان میں سے کوئی بھی لکھنے سے پہلے اپنی ریلیز میں ترجیح معلوم کریں، کیونکہ DAP ریکارڈ سے میل کھانے والا سیشن شاید نقشے کی واپس کردہ پالیسی برقرار نہ رکھے۔ باقی سب حساب کتاب ہے۔

خصوصیت کے نقشے کا راستہ، کنفیگریشن کی ترتیب میں

نقشے کا راستہ AAA سرور کی تعریف سے شروع ہوتا ہے۔ خصوصیت کا نقشہ اس LDAP سرور اندراج سے منسلک ہونا چاہیے جسے کنکشن پروفائل واقعی استعمال کرتا ہے؛ جو نقشہ چلتی کنفیگریشن میں موجود ہے مگر اس سرور نے اس کا حوالہ نہیں دیا وہ کچھ نہیں بدلتا۔ وہی منسلک کرنے والی سطر باقی کنفیگریشن کو زندہ کرتی ہے۔ ASA LDAP میپنگ گائیڈ 9.x ریلیز میں نقشے کی نحو کے لیے حوالہ ہے۔

نقشے کے اندر، ایک بیان ڈائریکٹری کی خصوصیت اور اس ASA خصوصیت کا نام دیتا ہے جسے وہ پالتا ہے، اور مزید بیانات مخصوص قدروں کا ترجمہ کرتے ہیں۔ map-name memberOf Group-Policy اور اس کے بعد map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly شکل ہے: بائیں طرف وہ ہے جو ڈائریکٹری نے واپس کیا، دائیں طرف اس گروپ پالیسی کا نام ہے جو پہلے سے موجود ہونی چاہیے۔ امتیازی نام اور پالیسی کا ڈسپلے نام ایک دوسرے کے بدلے استعمال نہیں ہو سکتے، اور دونوں میں سے کسی بھی سٹرنگ میں تقریباً مماثلت لاگ ان پر کوئی خرابی پیدا نہیں کرتی۔

یہاں دو چیزیں کاٹتی ہیں: memberOf ہر وہ گروپ واپس کرتا ہے جس میں اکاؤنٹ ہے، اس لیے دو میپ شدہ گروپوں والا صارف نقشے کو دو امیدوار قدریں دیتا ہے، اور گائیڈ کا حروف تہجی کا اصول ہی وہ واحد ٹائی بریک ہے جس پر آپ اپنی ترجیحی ترتیب کے بجائے بھروسہ کر سکتے ہیں۔ غیر میپ شدہ قدر کچھ نہیں دیتی، جو خاموشی سے پروفائل کی طے شدہ پالیسی پر واپس آ جاتی ہے۔

DAP کا راستہ، اور یہ کیا شامل کرتا ہے

DAP شرائط کا جائزہ لیتا ہے اور AAA کے نتیجے پر خصوصیات لاگو کرتا ہے۔ ایک ریکارڈ ترجیح، عمل اور شرائط کا مجموعہ رکھتا ہے؛ ریکارڈ ترجیحی ترتیب میں جانچے جاتے ہیں اور عمل فیصلہ کرتا ہے کہ جائزہ جاری رہے یا رک جائے۔ یہ قدر کی تلاش سے مختلف عمل درآمد کا نمونہ ہے، اور اسی لیے یہ وہ اصول بیان کر سکتا ہے جو نقشہ نہیں کر سکتا۔

DAP جو شامل کرتا ہے وہ ان پٹ ہیں۔ شرائط ڈائریکٹری کی خصوصیات، اینڈ پوائنٹ کی خصوصیات اور ڈیوائس کی حالت کا حوالہ دے سکتی ہیں، اور میل کھانے والا ریکارڈ اس سیشن کے لیے ACL، URL فہرستیں یا فلٹر رکھ سکتا ہے۔ اس لیے یہ اصول کہ منظم لیپ ٹاپ پر معاون عملہ صرف پڑھنے کی پالیسی پائے جبکہ وہی عملہ غیر منظم ڈیوائس پر محدود پالیسی پائے، DAP میں بیان ہو سکتا ہے، خصوصیت کے نقشے میں نہیں۔ نقشے میں بالکل ایک ان پٹ ہے: وہ قدر جو ڈائریکٹری نے آپ کے بتائے گئے خصوصیت کے لیے واپس کی۔

DAP دوسری جگہ بھی شامل کرتا ہے جہاں دیکھنا ہے جب سیشن غلط پالیسی میں پہنچے۔ جاری رکھنے کے عمل سے میل کھانے والا ریکارڈ جائزہ ختم نہیں کرتا، اور بعد کا ریکارڈ نتیجہ بدل سکتا ہے، اس لیے جو آپ دیکھتے ہیں وہ ایک ترتیب کا نتیجہ ہے، ایک تلاش کا نہیں۔ ترجیحی نمبر ترتیب سے پڑھیں، اور یاد رکھیں کہ کام بیک اپ ریکارڈ کر رہا ہو سکتا ہے۔ نقشے میں البتہ کوئی ترتیب نہیں: ایک خصوصیت، ایک قدر، ایک جواب۔

جہاں دونوں متفق نہیں

ترجیح ہی وہ حصہ ہے جو ڈیزائن توڑتا ہے۔ جب سیشن نقشے کے اندراج اور DAP ریکارڈ دونوں سے میل کھاتا ہے تو نتیجہ ریلیز اور ریکارڈ کے عمل پر منحصر ہوتا ہے، اس لیے یہ فرض کرنے کے بجائے کہ کوئی ایک طریقہ کار نتیجے کا مالک ہے، اپنے ASA پر جانچیں۔

تین ناکامی کے طریقے زیادہ تر الجھن کی وضاحت کرتے ہیں۔ جو نقشہ متعین ہے مگر کبھی اس سرور ٹیگ سے منسلک نہیں ہوا جو پروفائل استعمال کرتا ہے، وہ کہیں بھی کوئی خرابی کے بغیر طے شدہ پالیسی دیتا ہے۔ DAP شرط کی سٹرنگ جو بڑے چھوٹے حروف یا خالی جگہوں میں ڈائریکٹری کی قدر سے مختلف ہے کبھی میل نہیں کھاتی، اور بیک اپ ریکارڈ خاموشی سے لاگو ہوتا ہے۔ اور جو گروپ پالیسی ابھی موجود نہیں اسے نقشہ قبول کر لیتا ہے، کیونکہ نقشہ صرف نام واپس کرتا ہے، اس لیے سیشن کو مطلوبہ اجازتوں میں سے کوئی نہیں ملتی اور لاگ میں کچھ بھی غائب شے کی طرف اشارہ نہیں کرتا۔ گروپ رکنیت کو چھونے سے پہلے تینوں جانچیں۔

زندہ سیشن سے شہادتیں پڑھنا

جواب کنفیگریشن سے نہیں، نئے سیشن سے پڑھیں۔ show vpn-sessiondb detail anyconnect filter name jdoe سیشن کو واقعی ملنے والی گروپ پالیسی چھاپتا ہے، اور show running-config ldap attribute-map تصدیق کرتا ہے کہ نقشہ کون سی قدریں واپس کر سکتا تھا۔ ڈائریکٹری کی طرف، test aaa-server authentication LDAP-AD username jdoe password <password> وہ خصوصیات دکھاتا ہے جو ASA نے واپس پائیں، اور debug ldap 255 جب امتحان آپ کی توقع سے میل نہ کھائے تو وہ تبادلہ دکھاتا ہے۔

پھر چار ریکارڈ تحریری طور پر ملائیں: ڈائریکٹری کی قدر، ترتیب شدہ نقشہ یا DAP شرط، مقامی گروپ پالیسی اور وہ وسیلہ جہاں صارف واقعی پہنچ سکا۔ اگر پہلے تین میل کھائیں اور چوتھا نہ کھائے، مسئلہ انتخاب میں نہیں، پالیسی کے اصل حصے میں ہے. اگر سیشن درست پالیسی نام دکھائے مگر غلط ACL، تو LDAP کو دیکھنا مکمل بند کر دیں۔ ایک وقت میں ایک ریکارڈ بدلیں اور نیا سیشن دوبارہ جانچیں، کیونکہ دوبارہ جڑا سیشن ہی واحد شہادت ہے جو آپ کی ابھی لکھی کنفیگریشن کی عکاسی کرتا ہے۔