Cisco ASA DAP 规则和 LDAP.memberOf 属性无法识别答案

【问题标题】：Cisco ASA DAP rule and LDAP.memberOf attribute is not recognizedCisco ASA DAP 规则和 LDAP.memberOf 属性无法识别
【发布时间】：2021-08-08 21:47:41
【问题描述】：

我负责设置带有 OpenLDAP 服务器的 Cisco ASA 5xxx 防火墙，用于在 VPN 中进行身份验证。到目前为止一切正常。

但是，我正在尝试检查用户的“memberOf”属性，以评估他是否能够连接到连接配置文件隧道。事实上，我有一些连接配置文件，我想阻止用户访问它们中的每一个。根据 memberOf 值，我想允许或不允许用户访问隧道。所以我开始使用 DAP 规则来检查被认证用户的 memberOf ldap 属性。这个 memberOf 是我的 OpenLDAP 服务器中的一个覆盖，并且有很多 memberOf 属性。

我能够根据“ldap.uid”过滤规则并根据用户名拒绝访问。如果我尝试使用“ldap.memberOf”进行过滤，它就不再起作用了。就像 cisco DAP 规则无法识别此特定属性或其值一样。我不理解为什么：/。此属性的格式为：“cn=myGroup,ou=Groups,dc=xxxx,dc=yyyy”。我已经复制/粘贴了防火墙 DAP 规则中的值。

我使用 ASDM 来管理防火墙，但我不熟悉它的命令行...

如果有人想使它与“memberOf”一起工作，我将非常感激：D

提前谢谢你

【问题讨论】：

标签： openldap cisco asa memberof

【解决方案1】：

好的，我找到了解决方案：

由于 memberOf 被认为是可选的，因此它不会返回给 CISCO ASA 的请求。例如，如果我使用属性“description”作为连接配置文件过滤器，它会返回到 ASA（如在 ldapsearch 中）并且它将起作用。此属性描述可多次使用，并可用作快速修复。但是，最好使用自定义属性创建用户的自定义 objectClass，确保它由 ldap 返回（没有 ldapsearch 的选项“+”）。

也许我的回答不清楚，因为它确实很具体。如果你们中的一个人需要帮助，我可以通过详细说明我的答案来提供帮助:-)

【讨论】：