在策略下创建的用户
ASA5515(config)# group-policy ssltest attributes
ASA5515(config-group-policy)# username 123 password 123
这样创建的用户可以直接登陆到设备，不知道怎么改

你可以参考下面的文档
http://bbs.csc-china.com.cn/forum.php?mod=viewthread&tid=988493

感觉最好的方法就是配合AAA服务器设置，使用本地账户配置这个比较麻烦
首先vpn的authentication server 要写成LOCAL,其次还需要对用户设置attribute,ASA(config)# sh run username
username test password P4ttSyrm33SV8TYp encrypted
username test attributes //设置用户test的attributes为remote-access，但仅仅设置这个还不行，test用户还是可以ssh/telnet上设备的，
//要想使attribute生效，需要配合aaa authorization exec 命令
service-type remote-access
username cisco password 3USUcOPFUiMCO4Jk encrypted

ASA(config)# sh run tunnel-group //vpn tunnel-group 配置
tunnel-group SSLVPN type remote-access
tunnel-group SSLVPN general-attributes
address-pool vpn_pool
authentication-server-group LOCAL
default-group-policy SSLVPN
tunnel-group SSLVPN webvpn-attributes
group-alias sslvpn enable
ASA(config)#
ASA(config)# sh run aaa
aaa authentication telnet console LOCAL //这里telnet http都设置的本地登录，ssh设置的是使用ISE认证
aaa authentication http console LOCAL
aaa authentication ssh console ccise
测试开始：
在test用户配置remote-access的前提下，全局添加命令aaa authorization exec LOCAL ，然后登录测试
test用户无法登录，效果如下图：

cisco账户可以正常登录；
ssh认证，无法再使用ISE进行认证；
这个基本可以满足你的需求了。
--
总结一下：
使用本地账户实现你的需求，需要配置（LOCAL也可换成所配置的Radius，这里没提AAA，拿LOCAL来举例）
aaa authentication telnet console LOCAL //ssh 同理
aaa authentication http console LOCAL
aaa authorization exec LOCAL
最后在废话一句：
如果有AAA服务器，可以将vpn认证使用AAA账户进行认证，这样asa也不用设置太多的东西。即便是仅有个AD也能配置，ASA可以配置LDAP读取AD的账户。。

gengchunlin 发表于 2018-12-17 21:15
感觉最好的方法就是配合AAA服务器设置，使用本地账户配置这个比较麻烦
首先vpn的authentication server 要 ...

如果全局排除 aaa authorization exec LOCAL 那么怎样才能ssh登陆设备？

已经解决，谢谢各位大咖，去掉aaa authentication enable console LOCAL这个命令虽然能登录设备但没有配置权限

szh608 发表于 2018-12-18 09:07
如果全局排除 aaa authorization exec LOCAL 那么怎样才能ssh登陆设备？

只要有username/password就可以登录，不需要其他的设置啊

szh608 发表于 2018-12-18 09:19
已经解决，谢谢各位大咖，去掉aaa authentication enable console LOCAL这个命令虽然能登录设备但没有配置 ...

感谢楼主分享解决方案，鉴于问题已解决，已为您移除悬赏。 也感谢大家热心解答。