VPN guruh siyosati uchun ASA LDAP guruh xaritalash va DAP

AnyConnect seansi qaysi guruh siyosatini olishini ikkita alohida yozuv hal qiladi va ular konfiguratsiyaning turli qismlarida, turli xato rejimlari bilan joylashgan. LDAP atribut xaritasi autentifikatsiya paytida katalogdagi qiymatni ASA avtorizatsiya atributiga aylantiradi; DAP yozuvi keyin shartlarni baholaydi va atributlarni qo'shishi yoki bekor qilishi mumkin. Ikkalasi ham bir xil siyosat nomida tugashi mumkin, shuning uchun muvaffaqiyatli kirish qaysi mexanizm uni yaratganini aytmaydi. Ularni solishtirishdan maqsad ikkinchisi birinchisini jimgina bosib ketishiga yo'l qo'ymasdan, ataylab bittasini tanlashdir.

Ikki mexanizm, ikki qaror nuqtasi

Tanlov uchta savolga keladi. Qaror katalogning bitta atribut qiymatiga bog'liqmi, unga o'sha qiymatdan ko'proq kerakmi va ikkalasi mos kelganda qaysi mexanizmga g'alaba qozonishga ruxsat beriladi?

Agar yagona kirish guruh a'zoligi bo'lsa, atribut xaritasi kichikroq vosita va tekshirish osonroq: bitta xarita, bitta AAA serveriga bog'langan, har bir guruh uchun bitta satr. Agar tanlov qurilma holatini, oxirgi nuqta identifikatorini, ikkinchi atributni yoki vaqt oynasini hisobga olishi kerak bo'lsa, xaritaning kirishlari tugaydi va qoidani ifodalay oladigan mexanizm DAP. Ikkalasi ham ishlatilsa, ikkalasini yozishdan oldin o'z versiyangizdagi ustunlikni bilib oling, chunki DAP yozuviga mos keladigan seans xarita qaytargan siyosatni saqlab qolmasligi mumkin. Qolgan hamma narsa buxgalteriya.

Atribut xaritasining yo'li, konfiguratsiya tartibida

Xaritaning yo'li AAA serveri ta'rifidan boshlanadi. Atribut xaritasi ulanish profili haqiqatda ishlatadigan LDAP server yozuviga bog'langan bo'lishi kerak; ishlayotgan konfiguratsiyada mavjud bo'lsa-da, o'sha server havola qilmaydigan xarita hech narsani o'zgartirmaydi. Aynan o'sha bog'lash satri konfiguratsiyaning qolgan qismini jonlantiradi. ASA LDAP xaritalash qo'llanmasi 9.x versiyalarida xarita sintaksisi uchun ma'lumotnoma.

Xarita ichida bitta bayonot katalog atributini va u oziqlantiradigan ASA atributini nomlaydi, keyingi bayonotlar esa aniq qiymatlarni tarjima qiladi. map-name memberOf Group-Policy va undan keyingi map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly shakldir: chap tomon katalog qaytargan narsa, o'ng tomon esa allaqachon mavjud bo'lishi kerak bo'lgan guruh siyosatining nomi. Ajratuvchi nom va siyosatning ko'rsatish nomi bir-birini almashtirmaydi, va ikkala qatordan birida deyarli mos kelish kirishda hech qanday xato keltirmaydi.

Bu yerda ikkita tafsilot tishlaydi: memberOf hisob a'zo bo'lgan har bir guruhni qaytaradi, shuning uchun ikkita xaritalangan guruhdagi foydalanuvchi xaritaga ikkita nomzod qiymat beradi, va qo'llanmadagi alifbo qoidasi o'z ustuvorlik tartibingiz o'rniga tayanish mumkin bo'lgan yagona tenglik yechimidir. Xaritalanmagan qiymat hech narsa bermaydi va bu jimgina profilning standart siyosatiga qaytadi.

DAP yo'li va u nima qo'shadi

DAP shartlarni baholaydi va AAA natijasi ustiga atributlarni qo'llaydi. Yozuv ustuvorlik, amal va shartlar to'plamini olib yuradi; yozuvlar ustuvorlik tartibida baholanadi va amal baholash davom etishini yoki to'xtashini hal qiladi. Bu qiymat qidiruvidan boshqa ijro modeli, va aynan shu sababli xarita ifodalay olmaydigan qoidalarni ifodalay oladi.

DAP qo'shadigan narsa kirishlardir. Shartlar katalog atributlariga, oxirgi nuqta atributlariga va qurilma holatiga havola qilishi mumkin, va mos keladigan yozuv o'sha seans uchun ACL, URL ro'yxatlari yoki filtrlarni olib yurishi mumkin. Shunday qilib, boshqariladigan noutbukdagi qo'llab-quvvatlash xodimlari faqat-o'qish siyosatini olishi, o'sha xodimlar boshqarilmaydigan qurilmada cheklangan siyosat olishi kabi qoida DAPda ifodalanadi, atribut xaritasida emas. Xaritada aynan bitta kirish bor: katalog siz nomlagan atribut uchun qaytargan qiymat.

DAP shuningdek seans noto'g'ri siyosatga tushganda qarash uchun ikkinchi joyni qo'shadi. Davom etish amali bilan mos keladigan yozuv baholashni tugatmaydi va keyingi yozuv natijani hali ham o'zgartirishi mumkin, shuning uchun siz kuzatayotgan narsa bitta qidiruv emas, ketma-ketlik mahsulidir. Ustuvorlik raqamlarini tartib bilan o'qing va ishni zaxira yozuvi bajarayotgan bo'lishi mumkinligini unutmang. Xaritada esa ketma-ketlik yo'q: bitta atribut, bitta qiymat, bitta javob.

Ikkalasi kelishmaydigan joy

Ustuvorlik dizaynlarni buzadigan qismdir. Seans ham xarita yozuviga, ham DAP yozuviga mos kelganda, natija versiyaga va yozuvning amaliga bog'liq, shuning uchun mexanizmlardan biri natijaga egalik qiladi deb taxmin qilish o'rniga o'z ASAingizda tekshiring.

Uchta xato rejimi chalkashlikning ko'p qismini tushuntiradi. Aniqlangan, lekin profil ishlatadigan server tegiga hech qachon bog'lanmagan xarita hech qayerda xatosiz standart siyosatni beradi. Katalog qiymatidan katta-kichik harflar yoki bo'shliqlar bo'yicha farq qiladigan DAP shart qatori hech qachon mos kelmaydi va zaxira yozuvi jimgina qo'llaniladi. Va hali mavjud bo'lmagan guruh siyosati xarita tomonidan qabul qilinadi, chunki xarita faqat nom qaytaradi, shuning uchun seans ko'zda tutilgan ruxsatlarning birortasini olmaydi va jurnalda yo'q ob'ektga ishora qiladigan hech narsa bo'lmaydi. Guruh a'zoligiga tegishdan oldin uchtasini ham tekshiring.

Tirik seansdan dalillarni o'qish

Javobni konfiguratsiyadan emas, yangi seansdan o'qing. show vpn-sessiondb detail anyconnect filter name jdoe seans haqiqatda olgan guruh siyosatini chop etadi, show running-config ldap attribute-map esa xarita qaysi qiymatlarni qaytarishi mumkinligini tasdiqlaydi. Katalog tomonida test aaa-server authentication LDAP-AD username jdoe password <password> ASA qaytarib olgan atributlarni ko'rsatadi, debug ldap 255 esa test kutganingizga mos kelmasa, o'sha almashinuvni ko'rsatadi.

Keyin to'rtta yozuvni yozma ravishda moslashtiring: katalog qiymati, sozlangan xarita yoki DAP sharti, mahalliy guruh siyosati va foydalanuvchi haqiqatda yetib borgan resurs. Agar birinchi uchtasi mos kelsa, to'rtinchisi kelmasa, muammo tanlovda emas, siyosatning asosiy qismida. Agar seans to'g'ri siyosat nomini ko'rsatsa, lekin ACL noto'g'ri bo'lsa, LDAPga qarashni butunlay to'xtating. Bir vaqtning o'zida bitta yozuvni o'zgartiring va yangi seansni qayta tekshiring, chunki qayta ulangan seans siz hozir yozgan konfiguratsiyani aks ettiruvchi yagona dalildir.