Cisco Secure Client Always-On: ontplooi eers die profiel

Instellings aan die toestelkant kan nie 'n ongeregistreerde skootrekenaar soos 'n bestuurde eindpunt laat optree nie, en die meeste Always-On-uitrollings loop in daardie gaping vas. Cisco Secure Client dwing die beleid af deur die profiel wat op die masjien sit, so die aflewering van daardie profiel is deel van die afdwingingsplan eerder as 'n detail daarvan. Werk deur die vyf stappe hieronder in volgorde, en stop by die eerste een wat nie hou nie, want 'n latere stap kan nie 'n vroeëre gaping vergoed nie.

Stap een: besluit of die reël voor aanmelding begin

Always-On bou die tonnel nadat die gebruiker aanmeld, en die verskaffer se dokumentasie sê duidelik dat dit nie 'n verbinding bou wanneer niemand aanmeld nie. As jou vereiste 'n tonnel is wat voor die Windows-aanmeldskerm bestaan, is dit die verkeerde funksie en geen mate van profielinstelling verander dit nie. Om die profiel vooraf te ontplooi verander nie aanmeld-na gedrag in voor-aanmelding-gedrag nie.

Skryf die vereiste neer as een van vier aparte gedragswyses en toets elkeen afsonderlik. 'n Enkele suksesvolle verbinding wys net die gewone geval, en die ander drie is waar die ondersteuningskaartjies vandaan kom. Merk watter ry jou vereiste werklik nodig het, want 'n span wat net aanmeld-na gedrag nodig het, kan die voor-aanmelding-argument oorslaan. Die tabel is 'n aanvaardingslys, nie 'n wenslys nie.

As die vereiste net die tweede ry is, geld die res van hierdie bladsy steeds, maar die aanvaardingstoets is goedkoper.

Stap twee: bevestig die profiel is reeds op die eindpunt

Afdwinging lees 'n plaaslike profiel, so die eerste vraag is of daardie lêer bestaan voordat die gebruiker ooit verbind. 'n Profiel wat tydens die eerste suksesvolle verbinding afgelaai word, word te laat afgelewer vir 'n masjien wat van sy eerste aanmelding af beskerm moet word. Stuur dit saam met die installeerder of met eindpuntbestuur, en behandel die lêer se teenwoordigheid as 'n boukontrole eerder as 'n hoop.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Ouer AnyConnect-installasies hou dieselfde lêer onder 'n anders benoemde vouer, so bevestig die pad vir die weergawe van die kliënt wat jy ontplooi in plaas daarvan om 'n pad uit 'n ou prosedure te kopieer. Die diens moet loop en op outomatiese begin gestel wees, want 'n gestopte agent is 'n onafgedwonge eindpunt, maak nie saak wat die profiel sê nie.

As die profiel ontbreek, stop hier. Om die foutbeleid of die lys vertroude netwerke reg te maak vir 'n masjien sonder 'n profiel, is werk op 'n pad wat nooit uitgevoer word nie.

Stap drie: kies die foutgedrag doelbewus

Wat gebeur wanneer die tonnel nie kan opkom nie, is 'n aparte besluit van of die tonnel outomaties begin. Die verbindingsfoutbeleid besluit of die eindpunt die internet mag gebruik terwyl vestiging bly misluk, en die twee instellings word dikwels verwar omdat albei naby die Always-On-opsies sit. Kies een met opset en skryf die rede neer.

Om alle verbinding te blokkeer klink streng en lewer sy eie soort voorval: 'n gebruiker op 'n netwerk waar die gateway nie bereikbaar is nie, kan nie die regstelling aflaai wat die diens sou herstel nie. Om internettoegang toe te laat hou die masjien bruikbaar en verswak die waarborg dat verkeer beskerm word. Enige antwoord kan reg wees, maar nie een is 'n verstekwaarde wat jy tydens 'n onderbreking moet ontdek nie.

Herkansingsgedrag hoort by dieselfde besluit. 'n Kliënt wat vir ewig herprobeer, verberg 'n stukkende gateway van monitering, terwyl 'n kliënt wat na een poging opgee vir die gebruiker stukkend lyk. Besluit hoe lank die eindpunt moet aanhou probeer voordat die foutbeleid oorneem, en toets daardie tydsberekening eerder as om dit te aanvaar.

Stap vier: bepaal wat as vertrou beskou word

Vertroude-netwerkopsporing gebruik die kriteria in die kliëntprofiel, soos gekonfigureerde DNS-domeine of vertroude DNS-bedieners, om te besluit dat die eindpunt reeds op 'n netwerk is waar die tonnel onnodig is. Daardie lys is die hele beleid, so 'n leë of oorgeërfde lys maak die funksie of onaktief of onvoorspelbaar.

Moenie 'n aanname oor die Windows-vuurmuur se netwerkkategorie in die plek daarvan stel nie. 'n Masjien kan op 'n domeingemerkte netwerk wees en steeds op 'n plek wees wat jy nie vertrou nie, en 'n masjien op 'n openbare profiel kan in jou eie gebou wees. Die opsporingskriteria moet jou netwerke direk beskryf, nie 'n plaasvervanger daarvoor nie.

Toets die oorgang in albei rigtings, insluitend die geval waar die eindpunt van 'n vertroude na 'n onvertroude netwerk beweeg terwyl 'n sessie oop is. Die ontkoppeling en die herkoppeling is aparte gebeurtenisse, en 'n beleid wat net die eerste hanteer, laat 'n venster waar die tonnel afwesig is.

Stap vyf: maak die eindpuntbeleid moeilik om ongedaan te maak

Afdwinging op die eindpunt is net so sterk soos die eindpunt se eie kontroles. Plaaslike administrateurrechte laat 'n gebruiker die agentdiens stop, die profiel vervang of die kliënt deïnstalleer, en 'n profielgids waarna gewone gebruikers kan skryf, is 'n beleid wat enigiemand kan wysig. Albei is eindpuntbestuursprobleme wat die VPN-hoofpunt nie vir jou kan oplos nie. Vra die lessenaarspan watter van die twee toestande geld voordat jy afdwinging belowe, en skryf die antwoord in die uitrolplan.

Bepaal die toesluitvlak met die herstelpad in die oog. 'n Profiel wat die gebruiker verhinder om die internet te bereik en ook verhoed dat hulle die kliënt herstel, verander 'n ondersteuningsoproep in 'n besoek ter plaatse, so hou 'n gedokumenteerde herstelroete wat nie daarvan afhang dat die tonnel op is nie.

Hou die gateway se sertifikaatvalidering aan, en versprei die profiel net deur 'n kanaal wat jy vertrou. 'n Toegeslote kliënt wat 'n profiel van 'n onverwagte bron aanvaar, het die vertrouensgrens verskuif eerder as om dit af te dwing.