Cisco Secure Client Always-On: спачатку разгарніце профіль

Налады на баку прылады не могуць прымусіць незарэгістраваны ноўтбук паводзіць сябе як кіраваны канчатковы пункт, і большасць разгортванняў Always-On спыняецца менавіта на гэтым разрыве. Cisco Secure Client прымяняе палітыку праз профіль, які ляжыць на машыне, таму дастаўка гэтага профілю — частка плана прымянення, а не яго дробязь. Прайдзіце пяць крокаў ніжэй па парадку і спыніцеся на першым, які не выконваецца, бо наступны крок не можа кампенсаваць папярэдні разрыў.

Крок першы: вырашыце, ці пачынаецца правіла да ўваходу

Always-On усталёўвае тунель пасля ўваходу карыстальніка, і дакументацыя пастаўшчыка проста кажа, што ён не ўсталёўвае злучэнне, калі ніхто не ўваходзіць. Калі ваша патрабаванне — тунель, які існуе да экрана ўваходу Windows, гэта няправільная функцыя, і ніякая наладка профілю гэтага не зменіць. Папярэдняе разгортванне профілю не ператварае паводзіны пасля ўваходу ў паводзіны да ўваходу.

Запішыце патрабаванне як адну з чатырох розных паводзін, затым праверце кожную асобна. Адно паспяховае злучэнне дэманструе толькі звычайны выпадак, а астатнія тры — адкуль прыходзяць звароты ў падтрымку. Адзначце, які радок насамрэч патрэбны вашаму патрабаванню, бо каманда, якой патрэбны толькі паводзіны пасля ўваходу, можа прапусціць спрэчку пра ўваход. Табліца — гэта спіс прыёмкі, а не спіс жаданняў.

Калі патрабаванне — гэта толькі другі радок, астатняя частка гэтай старонкі ўсё яшчэ дзейнічае, але тэст прыёмкі таннейшы.

Крок другі: пераканайцеся, што профіль ужо ёсць на канчатковым пункце

Прымяненне чытае лакальны профіль, таму першае пытанне — ці існуе гэты файл да таго, як карыстальнік увогуле падключыцца. Профіль, спампаваны падчас першага паспяховага злучэння, дастаўляецца запозна для машыны, якую трэба абараняць з першага ўваходу. Пастаўце яго з усталёўшчыкам або з кіраваннем канчатковымі пунктамі і лічыце наяўнасць файла праверкай зборкі, а не надзеяй.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Старыя ўсталёўкі AnyConnect захоўваюць той жа файл у папцы з іншай назвай, таму праверце шлях для той версіі кліента, якую разгортваеце, замест таго каб капіраваць шлях са старога кіраўніцтва. Служба павінна працаваць і быць настроенай на аўтаматычны запуск, бо спынены агент — гэта канчатковы пункт без прымянення палітыкі, што б ні казаў профіль.

Калі профіль адсутнічае, спыніцеся тут. Выпраўленне палітыкі збою або спісу давераных сетак для машыны без профілю — гэта праца на шляху, які ніколі не выконваецца.

Крок трэці: свядома выберыце паводзіны пры збоі

Што адбываецца, калі тунель не можа ўзняцца, — гэта асобнае рашэнне ад таго, ці запускаецца тунель аўтаматычна. Палітыка збою злучэння вырашае, ці можа канчатковы пункт карыстацца інтэрнэтам, пакуль усталяванне працягвае не ўдавацца, і гэтыя два параметры часта блытаюць, бо абодва знаходзяцца побач з опцыямі Always-On. Выберыце адзін свядома і запішыце прычыну.

Блакаванне ўсяго злучэння гучыць строга і стварае ўласны клас інцыдэнтаў: карыстальнік у сетцы, дзе шлюз недасяжны, не можа спампаваць выпраўленне, якое аднавіла б абслугоўванне. Дазвол доступу да інтэрнэту пакідае машыну прыдатнай і паслабляе гарантыю абароны трафіку. Любы адказ можа быць правільным, але ні адзін не з'яўляецца значэннем па змаўчанні, якое варта выяўляць падчас збою.

Паводзіны пры паўторных спробах адносяцца да таго ж рашэння. Кліент, які паўтарае спробы вечна, хавае зламаны шлюз ад маніторынгу, а кліент, які здаецца пасля адной спробы, выглядае зламаным для карыстальніка. Вырашыце, колькі канчатковы пункт павінен спрабаваць, перш чым палітыка збою возьме верх, і праверце гэты час, а не дапускайце яго.

Крок чацвёрты: вызначце, што лічыцца давераным

Выяўленне давераных сетак выкарыстоўвае крытэрыі з профілю кліента, такія як наладжаныя дамены DNS або давераныя серверы DNS, каб вырашыць, што канчатковы пункт ужо ў сетцы, дзе тунель не патрэбны. Гэты спіс — уся палітыка, таму пусты або ўспадкаваны спіс робіць функцыю альбо бяздзейнай, альбо непрадказальнай.

Не падмяняйце гэта дапушчэннем пра катэгорыю сеткі ў міжсеткавым экране Windows. Машына можа быць у сетцы з пазнакай дамена і ўсё роўна знаходзіцца там, дзе вы не давяраеце, а машына з публічным профілем можа быць унутры вашага будынка. Крытэрыі выяўлення павінны апісваць вашыя сеткі напрамую, а не іх замену.

Праверце пераход у абодвух кірунках, уключна з выпадкам, калі канчатковы пункт пераходзіць з даверанай сеткі ў недавераную, пакуль сеанс адкрыты. Адключэнне і паўторнае падключэнне — асобныя падзеі, і палітыка, якая апрацоўвае толькі першую, пакідае акно, дзе тунель адсутнічае.

Крок пяты: зрабіце палітыку канчатковага пункта цяжка адменнай

Прымяненне на канчатковым пункце настолькі моцнае, наколькі моцныя ўласныя сродкі кантролю канчатковага пункта. Права лакальнага адміністратара дазваляе карыстальніку спыніць службу агента, замяніць профіль або выдаліць кліент, а папка профілю, у якую могуць пісаць звычайныя карыстальнікі, — гэта палітыка, якую можа змяніць любы. Абодва — праблемы кіравання канчатковымі пунктамі, якія галава VPN не можа вырашыць за вас. Спытайце каманду працоўных станцый, якая з гэтых дзвюх умоў дзейнічае, перш чым абяцаць прымяненне, і запішыце адказ у план разгортвання.

Вызначце ўзровень блакавання з улікам шляху аднаўлення. Профіль, які блакуе карыстальніку інтэрнэт і адначасова не дазваляе адрамантаваць кліент, ператварае званок у падтрымку ў выезд на месца, таму трымайце дакументаваны маршрут аднаўлення, які не залежыць ад узнятага тунеля.

Трымайце праверку сертыфіката шлюза ўключанай і раздавайце профіль толькі праз канал, якому давяраеце. Заблакаваны кліент, які прымае профіль з нечаканай крыніцы, хутчэй перамясціў мяжу даверу, чым умацаваў яе.