Inhoud

uitgifte

Na het verwijderen van een Zero Trust Access (ZTA)-profiel waarvan werd aangenomen dat het ongebruikt was, ondervonden alle gebruikers met de ZTNA-module volledig verlies van toegang tot zowel privébronnen als internetnavigatie. Het verwijderen van dit profiel resulteerde in een onmiddellijke onderbreking van de service voor alle ZTNA-gebruikers, waardoor ze geen toegang hadden tot bronnen via de Zero Trust Network Access-infrastructuur.

De getroffen gebruikers konden geen verbindingen tot stand brengen met:

- Particuliere interne middelen

- Internetnavigatie via de ZTNA-module

milieu

- Veilige toegang (netwerktoegang zonder vertrouwen)

- ZTNA-module geïmplementeerd met meerdere gebruikersprofielen

- Standaardbeleid geconfigureerd met ZTNA-besturing

- Meerdere ZTA-profielen geconfigureerd voor gebruikerstoegangsbeheer

resolutie

Logica voor het matchen van ZTA-profielen

Zero Trust Access-profielen worden toegepast op basis van een specifieke overeenkomende volgorde en logica:

- Profielovereenkomende volgorde: ZTA-profielen worden in volgorde geëvalueerd op basis van criteria voor het matchen van gebruikers en bestemmingen

- Default Profile Behavior: Wanneer er geen specifiek profiel overeenkomt met de gebruikers- of bestemmingscriteria, wordt het systeem teruggebracht naar het standaardprofiel

- Profielafhankelijkheden: Als u een profiel verwijdert dat als de effectieve standaardwaarde fungeert, kan dit leiden tot een onderbreking van de service, zelfs als het profiel ongebruikt lijkt

Het verwijderde profiel functioneerde waarschijnlijk als het effectieve standaardprofiel voor het matchen van gebruikers, ondanks het feit dat het niet werd gebruikt in de configuratie-interface. Toen dit profiel werd verwijderd, verloren gebruikers hun primaire toegangspad via de ZTNA-infrastructuur.

Validatiestappen

Om soortgelijke problemen in de toekomst te voorkomen, moet deze validatieaanpak worden geïmplementeerd:

1.- Controleer alle geconfigureerde ZTA-profielen en hun overeenkomende criteria voordat u ze verwijdert.

2.- Identificeer welk profiel dient als de effectieve standaard voor gebruikerstoegang.

3.- Controleer de toewijzing van gebruikers aan profielen via screenshots van de configuratie en beleidscontrole.

4.- Veranderingen in het testprofiel op gecontroleerde wijze voordat ze op de productie worden toegepast.

Oorzaak

De hoofdoorzaak was het verwijderen van een ZTA-profiel dat functioneerde als het effectieve standaardprofiel voor ZTNA-gebruikerstoegang, ondanks het feit dat het niet werd gebruikt in de configuratie-interface. Toen dit profiel werd verwijderd, verloor het systeem de primaire matchingscriteria voor gebruikerstoegang, waardoor alle ZTNA-gebruikers de verbinding met zowel privébronnen als internetnavigatie verloren. De logica voor het matchen van profielen is afhankelijk van het beschikbaar hebben van een geldig standaardprofiel voor terugval wanneer andere geconfigureerde profielen niet voldoen aan specifieke gebruikers- of bestemmingscriteria.

Gerelateerde inhoud

- Cisco Technical Support en downloads