1 个已接受解答
已接受的解答
应该是acs策略配置问题。
当前有两个问题点：
1，你说ezvpn进来之后，匹配mac地址等等。我所理解的ezvpn进来之后，应该已经完成了客户端认证工作，完成了认证之后基本上就没有acs的事情了，如果想做限制，一般也是在认证过程中匹配策略，根据匹配结果决定permit or deny。
2、其次你想根据mac地址来决定认证结果，如果存在mac则deny，如果不存在mac 则permit，乍看条件没问题，但ezvpn或者其他拨号vpn验证时采用PAP_ASCII的认证方式，这种认证方式根本拿不到客户端的mac地址，也就是说没有办法通过mac做限制；这样你写的“match mac-xx”的条件就不会匹配，而列表中并没有其他有效条件，从而匹配默认策略，直接deny。也就是说你想做基于mac地址的阻断是不可能的。
下图是acs一个截图，通过截图可以看到，pap_ascii是拿不到mac的，（acs做anyconnect vpn 、ssh登录验证，及胖ap wpa2 enterprise 的认证。）
!----
一般来说vpn判断用户是否能连接的最直接的条件就是用户名密码，像限制用户这个是比较容易的，如果想检查客户端（防病毒程序，是否安装公司规定软件等等）ezvpn应该是做不到的，anyconnect有ise的客户端组件，可以根据策略判断是否客户端允许访问vpn。就当前条件来说，只能做基于用户的限制。
用户限制示例：
限制包含admin关键字的用户名登录
一种是直接在条件里面标注，如下图
另一种是基于组进行限制，将权限加在组上面。如下运行sslm组访问（登录）（我认证数据源采用AD或LDAP外部数据源，所以做了一个group-mapping）
当前有两个问题点：
1，你说ezvpn进来之后，匹配mac地址等等。我所理解的ezvpn进来之后，应该已经完成了客户端认证工作，完成了认证之后基本上就没有acs的事情了，如果想做限制，一般也是在认证过程中匹配策略，根据匹配结果决定permit or deny。
2、其次你想根据mac地址来决定认证结果，如果存在mac则deny，如果不存在mac 则permit，乍看条件没问题，但ezvpn或者其他拨号vpn验证时采用PAP_ASCII的认证方式，这种认证方式根本拿不到客户端的mac地址，也就是说没有办法通过mac做限制；这样你写的“match mac-xx”的条件就不会匹配，而列表中并没有其他有效条件，从而匹配默认策略，直接deny。也就是说你想做基于mac地址的阻断是不可能的。
下图是acs一个截图，通过截图可以看到，pap_ascii是拿不到mac的，（acs做anyconnect vpn 、ssh登录验证，及胖ap wpa2 enterprise 的认证。）
!----
一般来说vpn判断用户是否能连接的最直接的条件就是用户名密码，像限制用户这个是比较容易的，如果想检查客户端（防病毒程序，是否安装公司规定软件等等）ezvpn应该是做不到的，anyconnect有ise的客户端组件，可以根据策略判断是否客户端允许访问vpn。就当前条件来说，只能做基于用户的限制。
用户限制示例：
限制包含admin关键字的用户名登录
一种是直接在条件里面标注，如下图
另一种是基于组进行限制，将权限加在组上面。如下运行sslm组访问（登录）（我认证数据源采用AD或LDAP外部数据源，所以做了一个group-mapping）
应该是acs策略配置问题。
当前有两个问题点：
1，你说ezvpn进来之后，匹配mac地址等等。我所理解的ezvpn进来之后，应该已经完成了客户端认证工作，完成了认证之后基本上就没有acs的事情了，如果想做限制，一般也是在认证过程中匹配策略，根据匹配结果决定permit or deny。
2、其次你想根据mac地址来决定认证结果，如果存在mac则deny，如果不存在mac 则permit，乍看条件没问题，但ezvpn或者其他拨号vpn验证时采用PAP_ASCII的认证方式，这种认证方式根本拿不到客户端的mac地址，也就是说没有办法通过mac做限制；这样你写的“match mac-xx”的条件就不会匹配，而列表中并没有其他有效条件，从而匹配默认策略，直接deny。也就是说你想做基于mac地址的阻断是不可能的。
下图是acs一个截图，通过截图可以看到，pap_ascii是拿不到mac的，（acs做anyconnect vpn 、ssh登录验证，及胖ap wpa2 enterprise 的认证。）
!----
一般来说vpn判断用户是否能连接的最直接的条件就是用户名密码，像限制用户这个是比较容易的，如果想检查客户端（防病毒程序，是否安装公司规定软件等等）ezvpn应该是做不到的，anyconnect有ise的客户端组件，可以根据策略判断是否客户端允许访问vpn。就当前条件来说，只能做基于用户的限制。
用户限制示例：
限制包含admin关键字的用户名登录
一种是直接在条件里面标注，如下图
另一种是基于组进行限制，将权限加在组上面。如下运行sslm组访问（登录）（我认证数据源采用AD或LDAP外部数据源，所以做了一个group-mapping）
当前有两个问题点：
1，你说ezvpn进来之后，匹配mac地址等等。我所理解的ezvpn进来之后，应该已经完成了客户端认证工作，完成了认证之后基本上就没有acs的事情了，如果想做限制，一般也是在认证过程中匹配策略，根据匹配结果决定permit or deny。
2、其次你想根据mac地址来决定认证结果，如果存在mac则deny，如果不存在mac 则permit，乍看条件没问题，但ezvpn或者其他拨号vpn验证时采用PAP_ASCII的认证方式，这种认证方式根本拿不到客户端的mac地址，也就是说没有办法通过mac做限制；这样你写的“match mac-xx”的条件就不会匹配，而列表中并没有其他有效条件，从而匹配默认策略，直接deny。也就是说你想做基于mac地址的阻断是不可能的。
下图是acs一个截图，通过截图可以看到，pap_ascii是拿不到mac的，（acs做anyconnect vpn 、ssh登录验证，及胖ap wpa2 enterprise 的认证。）
!----
一般来说vpn判断用户是否能连接的最直接的条件就是用户名密码，像限制用户这个是比较容易的，如果想检查客户端（防病毒程序，是否安装公司规定软件等等）ezvpn应该是做不到的，anyconnect有ise的客户端组件，可以根据策略判断是否客户端允许访问vpn。就当前条件来说，只能做基于用户的限制。
用户限制示例：
限制包含admin关键字的用户名登录
一种是直接在条件里面标注，如下图
另一种是基于组进行限制，将权限加在组上面。如下运行sslm组访问（登录）（我认证数据源采用AD或LDAP外部数据源，所以做了一个group-mapping）
