Cisco Secure Client Always-On: əvvəlcə profili yerləşdirin

Cihaz tərəfindəki parametrlər qeydiyyatdan keçməmiş noutbuku idarə olunan son nöqtə kimi davranmağa məcbur edə bilməz və Always-On tətbiqlərinin çoxu məhz bu boşluqda dayanır. Cisco Secure Client siyasəti maşında yerləşən profil vasitəsilə tətbiq edir, buna görə də həmin profilin çatdırılması tətbiq planının detalları deyil, bir hissəsidir. Aşağıdakı beş addımı ardıcıllıqla işləyin və uyğun gəlməyən ilk addımda dayanın, çünki sonrakı addım əvvəlki boşluğu kompensasiya edə bilməz.

Birinci addım: qaydanın girişdən əvvəl başlayıb-başlamadığını müəyyən edin

Always-On tuneli istifadəçi daxil olduqdan sonra qurur və istehsalçının sənədləri açıq şəkildə deyir ki, heç kim daxil olmadıqda o, bağlantı qurmur. Tələbiniz Windows giriş ekranından əvvəl mövcud olan tuneldirsə, bu səhv funksiyadır və heç bir profil tənzimləməsi bunu dəyişmir. Profili əvvəlcədən yerləşdirmək girişdən sonrakı davranışı girişdən əvvəlki davranışa çevirmir.

Tələbi dörd fərqli davranışdan biri kimi yazın, sonra hər birini ayrıca yoxlayın. Tək uğurlu bağlantı yalnız adi halı göstərir, digər üç hal isə dəstək müraciətlərinin gəldiyi yerdir. Tələbinizin həqiqətən hansı sətri ehtiyac duyduğunu qeyd edin, çünki yalnız girişdən sonrakı davranışa ehtiyacı olan komanda girişdən əvvəl mübahisəsini keçə bilər. Cədvəl qəbul siyahısıdır, arzu siyahısı deyil.

Tələb yalnız ikinci sətirdirsə, bu səhifənin qalan hissəsi yenə də qüvvədədir, lakin qəbul testi daha ucuzdur.

İkinci addım: profilin artıq son nöqtədə olduğunu təsdiqləyin

Tətbiq yerli profili oxuyur, buna görə də ilk sual budur: bu fayl istifadəçi hələ qoşulmadan mövcuddurmu? İlk uğurlu bağlantı zamanı yüklənən profil ilk girişdən qorunmalı olan maşın üçün çox gec çatdırılır. Onu quraşdırıcı ilə və ya son nöqtə idarəetməsi ilə göndərin və faylın mövcudluğunu ümid deyil, quraşdırma yoxlaması kimi qəbul edin.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Köhnə AnyConnect quraşdırmaları eyni faylı fərqli adlı qovluqda saxlayır, buna görə də köhnə təlimatdan yol kopyalamaq əvəzinə yerləşdirdiyiniz müştəri versiyası üçün yolu təsdiqləyin. Xidmət işləməli və avtomatik başlamağa qurulmalıdır, çünki dayanmış agent profilin nə dediyindən asılı olmayaraq tətbiq edilməmiş son nöqtədir.

Profil yoxdursa, burada dayanın. Profili olmayan maşın üçün uğursuzluq siyasətini və ya etibarlı şəbəkə siyahısını düzəltmək heç vaxt icra olunmayan yol üzərində işdir.

Üçüncü addım: uğursuzluq davranışını qəsdən seçin

Tunel qalxa bilmədikdə nə baş verdiyi, tunelin avtomatik başlayıb-başlamamasından ayrı bir qərardır. Bağlantı uğursuzluğu siyasəti qurulma uğursuzluğu davam edərkən son nöqtənin internetdən istifadə edib-edə biləcəyini müəyyən edir və bu iki parametr tez-tez qarışdırılır, çünki ikisi də Always-On seçimlərinin yanındadır. Birini qəsdən seçin və səbəbini yazın.

Bütün bağlantını bloklamaq sərt görünür və öz hadisə sinfini yaradır: şlüzün əlçatmaz olduğu şəbəkədə olan istifadəçi xidməti bərpa edəcək düzəlişi yükləyə bilməz. İnternetə çıxışa icazə vermək maşını istifadə olunan saxlayır və trafikin qorunduğu zəmanətini zəiflədir. Hər iki cavab doğru ola bilər, lakin heç biri fasilə zamanı kəşf etməli olduğunuz susmaya görə dəyər deyil.

Yenidən cəhd davranışı eyni qərara aiddir. Sonsuza qədər yenidən cəhd edən müştəri pozulmuş şlüzü monitorinqdən gizlədir, bir cəhddən sonra əl çəkən müştəri isə istifadəçiyə pozulmuş görünür. Uğursuzluq siyasəti idarəni ələ keçirməzdən əvvəl son nöqtənin nə qədər cəhd etməli olduğunu müəyyənləşdirin və bu vaxtı fərz etmək əvəzinə yoxlayın.

Dördüncü addım: nəyin etibarlı sayıldığını müəyyən edin

Etibarlı şəbəkə aşkarlanması müştəri profilindəki meyarlardan, məsələn konfiqurasiya edilmiş DNS domenlərindən və ya etibarlı DNS serverlərindən istifadə edərək son nöqtənin artıq tunelin lazım olmadığı şəbəkədə olduğuna qərar verir. Bu siyahı bütün siyasətdir, buna görə də boş və ya miras qalmış siyahı funksiyanı ya hərəkətsiz, ya da qeyri-müəyyən edir.

Windows firewall-un şəbəkə kateqoriyası haqqında fərziyyə ilə əvəz etməyin. Maşın domenlə işarələnmiş şəbəkədə ola bilər və yenə də etibar etmədiyiniz yerdə ola bilər, publik profildə olan maşın isə öz binanızın içində ola bilər. Aşkarlama meyarları şəbəkələrinizi birbaşa təsvir etməlidir, onların əvəzedicisini deyil.

Keçidi hər iki istiqamətdə yoxlayın, o cümlədən son nöqtənin sessiya açıq ikən etibarlı şəbəkədən etibarsız şəbəkəyə keçməsi halını. Bağlantının kəsilməsi və yenidən qurulması ayrı hadisələrdir və yalnız birincisini idarə edən siyasət tunelin olmadığı bir pəncərə buraxır.

Beşinci addım: son nöqtə siyasətini geri qaytarmağı çətinləşdirin

Son nöqtədə tətbiq yalnız son nöqtənin öz nəzarətləri qədər güclüdür. Yerli administrator hüquqları istifadəçiyə agent xidmətini dayandırmağa, profili dəyişdirməyə və ya müştərini silməyə imkan verir və adi istifadəçilərin yaza bildiyi profil qovluğu hər kəsin redaktə edə biləcəyi siyasətdir. Hər ikisi VPN baş nöqtəsinin sizin üçün həll edə bilmədiyi son nöqtə idarəetmə problemləridir. Tətbiq vəd etməzdən əvvəl masaüstü komandasından bu iki şərtdən hansının tətbiq olunduğunu soruşun və cavabı yerləşdirmə planına yazın.

Kilidləmə səviyyəsini bərpa yolu nəzərə alınmaqla müəyyənləşdirin. İstifadəçinin internetə çıxışını bloklayan və eyni zamanda müştərini təmir etməsinə mane olan profil dəstək zəngini yerində ziyarətə çevirir, buna görə də tunelin işləməsindən asılı olmayan sənədləşdirilmiş bərpa yolu saxlayın.

Şlüz sertifikatının yoxlanmasını aktiv saxlayın və profili yalnız etibar etdiyiniz kanaldan paylayın. Gözlənilməz mənbədən profil qəbul edən kilidli müştəri etimad sərhədini tətbiq etmək əvəzinə yerini dəyişmiş olur.