Ánh xạ nhóm LDAP trong ASA so với DAP cho chính sách nhóm VPN

Hai bản ghi riêng biệt quyết định phiên AnyConnect nhận chính sách nhóm nào, và chúng nằm ở những phần khác nhau của cấu hình với những kiểu hỏng khác nhau. Bản đồ thuộc tính LDAP chuyển một giá trị từ thư mục thành thuộc tính ủy quyền của ASA trong quá trình xác thực; bản ghi DAP đánh giá các điều kiện sau đó và có thể thêm hoặc ghi đè thuộc tính. Cả hai đều có thể kết thúc ở cùng một tên chính sách, nên một lần đăng nhập thành công không cho bạn biết cơ chế nào đã tạo ra nó. Ý nghĩa của việc so sánh là chọn một cách có chủ đích thay vì để cái thứ hai âm thầm lấn át cái thứ nhất.

Hai cơ chế, hai điểm quyết định

Việc lựa chọn quy về ba câu hỏi. Quyết định có phụ thuộc vào một giá trị thuộc tính duy nhất từ thư mục không, có cần nhiều hơn giá trị đó không, và cơ chế nào được phép thắng khi cả hai cùng khớp?

Nếu đầu vào duy nhất là tư cách thành viên nhóm, bản đồ thuộc tính là công cụ nhỏ hơn và dễ kiểm toán hơn: một bản đồ, gắn với một máy chủ AAA, với một dòng cho mỗi nhóm. Nếu việc chọn phải xét đến trạng thái thiết bị, danh tính điểm cuối, thuộc tính thứ hai hoặc khung thời gian, đầu vào của bản đồ sẽ cạn và DAP là cơ chế có thể diễn đạt quy tắc đó. Nếu cả hai cùng được dùng, hãy tìm hiểu thứ tự ưu tiên trong bản phát hành của bạn trước khi viết bất kỳ cái nào, vì một phiên khớp với bản ghi DAP có thể không giữ được chính sách mà bản đồ trả về. Mọi thứ còn lại chỉ là sổ sách.

Đường đi của bản đồ thuộc tính, theo thứ tự cấu hình

Đường đi của bản đồ bắt đầu tại định nghĩa máy chủ AAA. Bản đồ thuộc tính phải được gắn vào mục máy chủ LDAP mà hồ sơ kết nối thực sự dùng; một bản đồ tồn tại trong cấu hình đang chạy nhưng không được máy chủ đó tham chiếu sẽ không thay đổi gì. Chính dòng gắn đó làm cho phần còn lại của cấu hình hoạt động. hướng dẫn ánh xạ LDAP của ASA là tài liệu tham chiếu cho cú pháp bản đồ trong các bản 9.x.

Bên trong bản đồ, một câu lệnh đặt tên thuộc tính thư mục và thuộc tính ASA mà nó cấp dữ liệu cho, các câu lệnh tiếp theo dịch những giá trị cụ thể. map-name memberOf Group-Policy theo sau là map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly là hình thức: bên trái là giá trị thư mục trả về, bên phải là tên của một chính sách nhóm phải đã tồn tại. Tên phân biệt và tên hiển thị của chính sách không thể thay thế cho nhau, và một gần-khớp trong bất kỳ chuỗi nào cũng không tạo ra lỗi khi đăng nhập.

Hai chi tiết cắn ở đây: memberOf trả về mọi nhóm mà tài khoản thuộc về, nên một người dùng trong hai nhóm được ánh xạ đưa cho bản đồ hai giá trị ứng viên, và quy tắc theo bảng chữ cái trong hướng dẫn là cách phá thế hòa duy nhất bạn có thể dựa vào thay vì thứ tự ưu tiên của riêng bạn. Một giá trị không được ánh xạ không cho gì cả, và nó âm thầm quay về chính sách mặc định của hồ sơ.

Đường đi của DAP, và những gì nó thêm vào

DAP đánh giá các điều kiện và áp dụng thuộc tính lên trên kết quả AAA. Một bản ghi mang theo mức ưu tiên, một hành động và một tập điều kiện; các bản ghi được đánh giá theo thứ tự ưu tiên và hành động quyết định việc đánh giá tiếp tục hay dừng lại. Đó là một mô hình thực thi khác với việc tra cứu giá trị, và chính vì thế nó có thể diễn đạt những quy tắc mà bản đồ không thể.

Những gì DAP thêm vào là đầu vào. Điều kiện có thể tham chiếu thuộc tính thư mục, thuộc tính điểm cuối và trạng thái thiết bị, và một bản ghi khớp có thể mang ACL, danh sách URL hoặc bộ lọc cho phiên đó. Vì vậy một quy tắc như nhân viên hỗ trợ trên laptop được quản lý nhận chính sách chỉ đọc trong khi chính nhân viên đó trên thiết bị không được quản lý nhận chính sách hạn chế là điều diễn đạt được trong DAP chứ không phải trong bản đồ thuộc tính. Bản đồ chỉ có đúng một đầu vào: giá trị mà thư mục trả về cho thuộc tính bạn đặt tên.

DAP cũng thêm một chỗ thứ hai để xem khi một phiên rơi vào chính sách sai. Một bản ghi khớp với hành động tiếp tục không kết thúc việc đánh giá, và một bản ghi sau đó vẫn có thể thay đổi kết quả, nên điều bạn quan sát là sản phẩm của một chuỗi chứ không phải một lần tra cứu. Hãy đọc các số ưu tiên theo thứ tự, và nhớ rằng có thể bản ghi dự phòng mới là cái đang làm việc. Ngược lại, bản đồ không có chuỗi: một thuộc tính, một giá trị, một câu trả lời.

Nơi hai cơ chế bất đồng

Thứ tự ưu tiên là phần làm hỏng thiết kế. Khi một phiên khớp với cả mục của bản đồ lẫn bản ghi DAP, kết quả phụ thuộc vào bản phát hành và vào hành động của bản ghi, nên hãy kiểm chứng trên ASA của bạn thay vì giả định một trong hai cơ chế sở hữu kết quả.

Ba kiểu hỏng giải thích phần lớn sự nhầm lẫn. Một bản đồ được định nghĩa nhưng chưa bao giờ gắn vào thẻ máy chủ mà hồ sơ dùng sẽ cho chính sách mặc định mà không có lỗi ở bất kỳ đâu. Một chuỗi điều kiện DAP khác giá trị thư mục về chữ hoa chữ thường hoặc khoảng trắng sẽ không bao giờ khớp, và bản ghi dự phòng âm thầm được áp dụng. Và một chính sách nhóm chưa tồn tại vẫn được bản đồ chấp nhận, vì bản đồ chỉ trả về một cái tên, nên phiên không nhận được quyền nào như dự định và không có gì trong nhật ký chỉ ra đối tượng còn thiếu. Hãy kiểm tra cả ba trước khi chạm vào tư cách thành viên nhóm.

Đọc bằng chứng từ một phiên đang chạy

Hãy đọc câu trả lời từ một phiên mới chứ không phải từ cấu hình. show vpn-sessiondb detail anyconnect filter name jdoe in ra chính sách nhóm mà phiên thực sự nhận được, và show running-config ldap attribute-map xác nhận những giá trị mà bản đồ lẽ ra có thể trả về. Về phía thư mục, test aaa-server authentication LDAP-AD username jdoe password <password> hiển thị các thuộc tính mà ASA nhận lại, và debug ldap 255 hiển thị trao đổi khi bài kiểm tra không khớp với điều bạn mong đợi.

Sau đó đối chiếu bốn bản ghi bằng văn bản: giá trị từ thư mục, bản đồ hoặc điều kiện DAP đã cấu hình, chính sách nhóm cục bộ và tài nguyên mà người dùng thực sự chạm tới được. Nếu ba cái đầu khớp và cái thứ tư không, vấn đề nằm ở phần thân chính sách chứ không phải ở việc chọn. Nếu phiên hiển thị đúng tên chính sách nhưng sai ACL, hãy ngừng xem LDAP hoàn toàn. Thay đổi từng bản ghi một và kiểm tra lại một phiên mới, vì phiên được kết nối lại là bằng chứng duy nhất phản ánh cấu hình bạn vừa viết.