ASA guruh aliasi va guruh URL manzili: profil qanday tanlanadi

Ulanish profili sessiyani faqat ASA uni tanlagandan keyin boshqaradi. Shu bitta gap eski kliyentsiz portal uchun butun muammoni aniqlash modelidir. Ishlatilmagan profilda mukammal kirish qoidalari bo'lishi mumkin va baribir hech kimga tatbiq etilmaydi. Har qanday siyosatni tahrirlashdan oldin kirish nuqtasini kuzatib boring.

Quyidagi farqlar 9.16 hujjatlariga asoslanadi; kliyentsiz SSL VPN 9.17(1) va undan keyin olib tashlangan.

Alias ro'yxat yozuvi, URL emas

group-alias foydalanuvchi kirish sahifasidagi guruhlar ro'yxatidan tanlaydigan yorliqni beradi. O'sha ro'yxatni ko'rsatish alohida sozlama, tunnel-group-list enable. Alias faqat tanlov nomi va boshqa hech narsa emas. staff nomli aliasni sozlash profilni tanlaydigan /staff URL yaratmaydi.

Brauzer ichidan ro'yxat ham, URL ham bir xil tanlov bo'lib ko'ringani uchun odamlar alias ikki ish qiladi deb kutishadi.

group-url aslida nimaga mos keladi

group-url kiruvchi URLni ulanish profiliga bog'laydi. O'sha yoqilgan URL mos kelganda, ASA foydalanuvchidan ro'yxatdan tanlashni so'ramasdan profilni tanlaydi. URL to'liq va ko'zlangan manzil bo'lishi kerak, sizning versiyangiz qo'llab-quvvatlaydigan sintaksisda. Uning DNS yozuvi va sertifikati foydalanuvchilar teradigan narsaga mos kelishi kerak, aks holda moslik hech qachon yuz bermaydi.

Ko'chirilgan URL qo'shimchasi konfiguratsiya haqida hech narsani isbotlamaydi. Manzil satrini emas, profilni tekshiring.

Tanlovni ishlaydigan siyosatgacha kuzatib boring

Tunnel guruhi tanlangandan so'ng, qurilma autentifikatsiya usulini va unga bog'langan standart guruh siyosatini aniqlaydi. So'ng foydalanuvchiga xos atributlar, autentifikatsiya qaytargan qiymatlar va dinamik avtorizatsiya o'sha asosning qismlarini bekor qilishi mumkin. Sessiya haqiqatda nima olganini tekshiring. Faqat nomlangan siyosatni o'qish asosni beradi, natijani emas.

Bu ikkisi orasidagi tafovut «qoida to'g'ri, ammo kirish noto'g'ri» degan xabarlarning ko'pchiligining manbai.

Meros izolyatsiya emas

Siz aniqlanmagan qoldirgan atributlar standart guruh siyosatidan meros bo'lishi mumkin. Shuning uchun yangi nomlangan siyosat umumiy standart qiymatlardan ajratilmagan va ularni tahrirlash ularni meros oladigan har bir profilga yetib boradi. Har bir profil bo'yicha amaldagi resurs kirishini, DNS sozlamalarini va sessiya cheklovlarini solishtiring. Biror umumiy narsani o'zgartirishdan oldin shuni qiling.

Kirishni amalga oshirishni ham tanlovdan alohida saqlang.

Kliyentsiz sessiya uchun qo'llaniladigan filtr — webtype ACL. Tunnel kliyenti uchun VPN filtri uning o'rnini bosmaydi, shunchaki ikkalasi konfiguratsiyada bir siyosat bloki yonida turgani uchun.

Mos kelmaydigan holatni hal qiling, so'ng har bir yo'lni sinab ko'ring

Portalning umumiy URL manzilida va boshqa mos kelmaydigan kirish nuqtalarida nima bo'lishi kerakligini aniqlang. Bitta sinov hisobi o'tishi uchun umumiy standartni tahrirlash o'rniga haqiqiy standart profil yo'lini va uning avtorizatsiyasini ko'ring. So'ng uchta yangi sessiya oching: aniq URL, yoqilgan ro'yxat yozuvi va umumiy kirish nuqtasi. Har biri uchun tanlangan profil va amaldagi siyosatni yozib oling.

Avvalgi kirishdan brauzer varag'ini qayta ishlatish taqqoslashni buzadi, chunki u sessiya allaqachon profilga bog'langan.

Bu qayd «portal ochiladi» deganini keyinchalik audit qilishingiz mumkin bo'lgan kirishdan siyosatga xaritasiga aylantiradi va profil to'g'ri ko'rinib, hech kimni boshqarmasa, bu yagona barqaror javob.