Cisco Secure Client Always-On: انشر الملف الشخصي أولًا
يحتاج Cisco Secure Client Always-On إلى ملف تعريف نقطة النهاية جاهزًا قبل التطبيق: تحقق من نطاق ما قبل تسجيل الدخول، والتسليم، وسياسة الفشل، والشبكات الموثوقة.
لا تستطيع إعدادات جهاز الشبكة أن تجعل حاسوبًا غير مسجَّل يتصرف كنقطة نهاية مُدارة، ومعظم عمليات نشر Always-On تتعطل عند هذه الفجوة. يطبّق Cisco Secure Client السياسة عبر الملف الشخصي الموجود على الجهاز، لذا فإن تسليم ذلك الملف جزء من خطة التطبيق لا تفصيل فيها. اعمل على الخطوات الخمس أدناه بالترتيب، وتوقف عند أول خطوة لا تصمد، لأن خطوة لاحقة لا يمكن أن تعوّض عن فجوة سابقة.
الخطوة الأولى: حدّد ما إذا كانت القاعدة تبدأ قبل تسجيل الدخول
ينشئ Always-On النفق بعد تسجيل المستخدم الدخول، وتقول وثائق المورّد صراحة إنه لا ينشئ اتصالًا عندما لا يسجّل أحد الدخول. إذا كان مطلبك نفقًا موجودًا قبل شاشة تسجيل الدخول في Windows، فهذه ميزة خاطئة ولا يغيّر ذلك أي قدر من ضبط الملف الشخصي. إن نشر الملف الشخصي مسبقًا لا يحوّل السلوك بعد تسجيل الدخول إلى سلوك قبله.
اكتب المطلب كواحد من أربعة سلوكيات متمايزة، ثم اختبر كل واحد على حدة. اتصال ناجح واحد لا يُظهر إلا الحالة العادية، والحالات الثلاث الأخرى هي مصدر تذاكر الدعم. حدّد أي صف يحتاجه مطلبك فعلًا، لأن الفريق الذي يحتاج سلوك ما بعد تسجيل الدخول فقط يمكنه تخطي حجة ما قبل تسجيل الدخول. الجدول قائمة قبول وليس قائمة أمنيات.
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
إذا كان المطلب هو الصف الثاني فقط، فإن بقية هذه الصفحة تنطبق أيضًا، لكن اختبار القبول أرخص.
الخطوة الثانية: تأكّد من أن الملف الشخصي موجود أصلًا على نقطة النهاية
يقرأ التطبيق ملفًا شخصيًا محليًا، لذا فالسؤال الأول هو ما إذا كان ذلك الملف موجودًا قبل أن يتصل المستخدم أصلًا. الملف الشخصي الذي يُنزَّل أثناء أول اتصال ناجح يصل متأخرًا لجهاز يجب حمايته منذ أول تسجيل دخول. وزّعه مع برنامج التثبيت أو مع إدارة نقاط النهاية، واعتبر وجود الملف فحصًا في البناء لا أملًا.
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnتحتفظ إصدارات AnyConnect الأقدم بالملف نفسه داخل مجلد مختلف الاسم، لذا تأكّد من المسار الخاص بإصدار العميل الذي تنشره بدلًا من نسخ مسار من دليل تشغيل قديم. يجب أن تكون الخدمة قيد التشغيل ومضبوطة على البدء التلقائي، لأن وكيلًا متوقفًا يعني نقطة نهاية غير خاضعة للتطبيق مهما قال الملف الشخصي.
إذا كان الملف الشخصي مفقودًا، فتوقف هنا. إصلاح سياسة الفشل أو قائمة الشبكات الموثوقة لجهاز بلا ملف شخصي هو عمل على مسار لا يُنفَّذ أبدًا.
الخطوة الثالثة: اختر سلوك الفشل عن قصد
ما يحدث عندما يتعذر صعود النفق قرار منفصل عن مسألة بدء النفق تلقائيًا. تحدد سياسة فشل الاتصال ما إذا كان يُسمح لنقطة النهاية باستخدام الإنترنت بينما يستمر فشل الإنشاء، وكثيرًا ما يُخلط بين الإعدادين لأنهما قريبان من خيارات Always-On. اختر واحدًا عن قصد واكتب السبب.
حجب كل الاتصال يبدو صارمًا وينتج فئة حوادث خاصة به: المستخدم على شبكة لا يمكن الوصول فيها إلى البوابة لا يستطيع تنزيل الإصلاح الذي يعيد الخدمة. السماح بالوصول إلى الإنترنت يبقي الجهاز قابلًا للاستخدام ويضعف ضمان حماية حركة المرور. أي إجابة قد تكون صحيحة، لكن أيًا منهما ليس إعدادًا افتراضيًا ينبغي أن تكتشفه أثناء انقطاع.
سلوك إعادة المحاولة يخص القرار نفسه. العميل الذي يعيد المحاولة إلى الأبد يخفي بوابة معطلة عن المراقبة، بينما العميل الذي يستسلم بعد محاولة واحدة يبدو معطلًا للمستخدم. حدّد المدة التي ينبغي أن تستمر فيها نقطة النهاية بالمحاولة قبل أن تتولى سياسة الفشل، واختبر هذا التوقيت بدلًا من افتراضه.
الخطوة الرابعة: حدّد ما يُعدّ موثوقًا
يستخدم اكتشاف الشبكة الموثوقة المعايير الموجودة في ملف تعريف العميل، مثل نطاقات DNS المهيّأة أو خوادم DNS الموثوقة، ليقرر أن نقطة النهاية موجودة أصلًا على شبكة لا يلزم فيها النفق. تلك القائمة هي السياسة بأكملها، لذا فقائمة فارغة أو موروثة تجعل الميزة إما خاملة أو غير متوقعة.
لا تستبدلها بافتراض حول فئة الشبكة في جدار حماية Windows. يمكن أن يكون الجهاز على شبكة موسومة بالنطاق ومع ذلك في مكان لا تثق به، ويمكن أن يكون جهاز على ملف تعريف عام داخل مبناك. ينبغي أن تصف معايير الاكتشاف شبكاتك مباشرة، لا بديلًا عنها.
اختبر الانتقال في الاتجاهين، بما في ذلك حالة انتقال نقطة النهاية من شبكة موثوقة إلى شبكة غير موثوقة أثناء جلسة مفتوحة. الانقطاع وإعادة الاتصال حدثان منفصلان، والسياسة التي تتعامل مع الأول فقط تترك نافذة يغيب فيها النفق.
الخطوة الخامسة: اجعل سياسة نقطة النهاية صعبة التراجع
لا يكون التطبيق على نقطة النهاية أقوى من ضوابط نقطة النهاية نفسها. تتيح صلاحيات المسؤول المحلي للمستخدم إيقاف خدمة الوكيل أو استبدال الملف الشخصي أو إلغاء تثبيت العميل، ومجلد ملف شخصي يمكن للمستخدمين العاديين الكتابة فيه هو سياسة يستطيع أي شخص تعديلها. كلاهما مشكلتا إدارة نقاط نهاية لا يستطيع رأس VPN حلها نيابة عنك. اسأل فريق سطح المكتب أي الشرطين ينطبق قبل أن تعد بالتطبيق، واكتب الإجابة في خطة النشر.
حدّد مستوى الإغلاق مع إبقاء مسار الاستعادة في الاعتبار. الملف الشخصي الذي يمنع المستخدم من الوصول إلى الإنترنت ويمنعه أيضًا من إصلاح العميل يحوّل مكالمة دعم إلى زيارة موقع، لذا احتفظ بمسار استعادة موثّق لا يعتمد على صعود النفق.
أبقِ التحقق من شهادة البوابة مفعّلًا، ووزّع الملف الشخصي فقط عبر قناة تثق بها. العميل المغلق الذي يقبل ملفًا شخصيًا من مصدر غير متوقع يكون قد نقل حدود الثقة بدلًا من أن يطبّقها.