Alias nhóm ASA so với URL nhóm: hồ sơ được chọn như thế nào

Hồ sơ kết nối chỉ điều khiển một phiên sau khi ASA chọn nó. Câu đó là toàn bộ mô hình xử lý sự cố cho một cổng cũ không có ứng dụng khách. Một hồ sơ không dùng vẫn có thể có quy tắc truy cập hoàn hảo mà không áp dụng cho ai. Hãy theo dõi điểm vào đăng nhập trước khi sửa bất kỳ chính sách nào.

Các khác biệt dưới đây theo tài liệu 9.16; SSL VPN không có ứng dụng khách đã bị loại bỏ trong 9.17(1) và sau đó.

Alias là một mục danh sách, không phải URL

group-alias cung cấp nhãn mà người dùng chọn từ danh sách nhóm trên trang đăng nhập. Việc hiển thị danh sách đó là một cài đặt riêng, tunnel-group-list enable. Alias chỉ là một tên lựa chọn và không hơn gì nữa. Cấu hình một alias tên staff không tạo ra URL /staff chọn hồ sơ.

Người ta kỳ vọng alias làm việc đôi, vì từ trong trình duyệt danh sách và URL trông như cùng một lựa chọn.

group-url thực sự khớp với cái gì

group-url gắn một URL đến với một hồ sơ kết nối. Khi URL đã bật đó khớp, ASA chọn hồ sơ mà không yêu cầu người dùng chọn từ danh sách. URL phải là địa chỉ đầy đủ như mong muốn, theo cú pháp mà bản phát hành của bạn hỗ trợ. Bản ghi DNS và chứng chỉ của nó phải khớp với những gì người dùng nhập, nếu không sự khớp sẽ không bao giờ xảy ra.

Một hậu tố URL sao chép chẳng chứng minh gì về cấu hình. Hãy kiểm tra hồ sơ, không phải thanh địa chỉ.

Theo dõi lựa chọn đến chính sách đang chạy

Sau khi một nhóm đường hầm được chọn, thiết bị phân giải phương thức xác thực và chính sách nhóm mặc định gắn với nó. Sau đó các thuộc tính riêng của người dùng, giá trị do xác thực trả về và ủy quyền động có thể ghi đè các phần của nền tảng đó. Hãy kiểm tra những gì phiên thực sự nhận được. Chỉ đọc chính sách được đặt tên cho bạn nền tảng, không phải kết quả.

Khoảng cách giữa hai điều đó là nguồn gốc của phần lớn báo cáo «quy tắc đúng nhưng truy cập sai».

Kế thừa không phải là cô lập

Các thuộc tính bạn để không xác định có thể kế thừa từ chính sách nhóm mặc định. Vì vậy một chính sách được đặt tên mới không tách khỏi các giá trị mặc định dùng chung, và việc sửa chúng sẽ đến mọi hồ sơ kế thừa chúng. Hãy so sánh quyền truy cập tài nguyên hiệu dụng, cài đặt DNS và các hạn chế phiên cho từng hồ sơ. Làm điều đó trước khi thay đổi bất cứ thứ gì dùng chung.

Cũng hãy tách việc thực thi truy cập khỏi việc lựa chọn.

Với một phiên không có ứng dụng khách, bộ lọc áp dụng là ACL webtype. Bộ lọc VPN cho ứng dụng khách đường hầm không thay thế nó chỉ vì cả hai nằm gần cùng một khối chính sách trong cấu hình.

Quyết định trường hợp không khớp, rồi kiểm tra từng đường đi

Xác định điều gì nên xảy ra tại URL chung của cổng và tại các điểm vào khác không khớp. Hãy xem đường đi thực của hồ sơ mặc định và ủy quyền của nó thay vì sửa một giá trị mặc định dùng chung để một tài khoản thử nghiệm đi qua. Sau đó mở ba phiên mới: URL rõ ràng, mục danh sách đã bật và điểm vào chung. Ghi lại hồ sơ được chọn và chính sách hiệu dụng cho từng phiên.

Dùng lại một thẻ trình duyệt từ lần đăng nhập trước sẽ làm hỏng việc so sánh, vì phiên đó đã gắn với một hồ sơ.

Bản ghi đó biến «cổng mở ra» thành một ánh xạ từ đăng nhập đến chính sách mà bạn có thể kiểm toán sau này, và đó là câu trả lời bền vững duy nhất khi một hồ sơ trông đúng mà không điều khiển ai.