Cisco Secure Client Always-On: prvo rasporedite profil

Postavke na strani uređaja ne mogu natjerati neregistrirani laptop da se ponaša kao upravljana krajnja točka, i većina Always-On uvođenja zapne upravo na tom jazu. Cisco Secure Client primjenjuje politiku kroz profil koji stoji na računalu, pa je isporuka tog profila dio plana primjene, a ne njegov detalj. Prođite kroz pet koraka ispod po redu i zaustavite se na prvom koji ne vrijedi, jer kasniji korak ne može nadoknaditi raniji jaz.

Prvi korak: odlučite počinje li pravilo prije prijave

Always-On uspostavlja tunel nakon što se korisnik prijavi, a dokumentacija dobavljača jasno kaže da ne uspostavlja vezu kada se nitko ne prijavi. Ako je vaš zahtjev tunel koji postoji prije Windows ekrana za prijavu, to je pogrešna značajka i nikakvo podešavanje profila to ne mijenja. Unaprijed raspoređen profil ne pretvara ponašanje nakon prijave u ponašanje prije prijave.

Zapišite zahtjev kao jedno od četiri različita ponašanja, pa svako testirajte zasebno. Jedna uspješna veza pokazuje samo uobičajeni slučaj, a ostala tri su odakle dolaze tiketi za podršku. Označite koji redak vaš zahtjev zapravo treba, jer tim kojem treba samo ponašanje nakon prijave može preskočiti raspravu o prijavi prije. Tablica je popis za prihvat, a ne popis želja.

Ako je zahtjev samo drugi redak, ostatak ove stranice i dalje vrijedi, ali je test prihvata jeftiniji.

Drugi korak: potvrdite da je profil već na krajnjoj točki

Primjena čita lokalni profil, pa je prvo pitanje postoji li ta datoteka prije nego se korisnik uopće poveže. Profil preuzet tijekom prve uspješne veze isporučuje se prekasno za računalo koje mora biti zaštićeno od prve prijave. Pošaljite ga s instalaterom ili s upravljanjem krajnjim točkama i tretirajte prisutnost datoteke kao provjeru pri izradi, a ne kao nadu.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Starije AnyConnect instalacije drže istu datoteku u mapi drugog naziva, pa provjerite putanju za verziju klijenta koju uvozite umjesto da kopirate putanju iz starog priručnika. Usluga mora raditi i biti postavljena na automatsko pokretanje, jer zaustavljen agent je krajnja točka bez primjene politike, što god profil govorio.

Ako profil nedostaje, zaustavite se ovdje. Popravljanje politike kvara ili popisa pouzdanih mreža za računalo bez profila je rad na putu koji se nikada ne izvršava.

Treći korak: svjesno odaberite ponašanje pri kvaru

Što se događa kada se tunel ne može podići zasebna je odluka od toga pokreće li se tunel automatski. Politika kvara veze odlučuje smije li krajnja točka koristiti internet dok uspostavljanje stalno ne uspijeva, a te se dvije postavke često brkaju jer obje stoje blizu Always-On opcija. Odaberite jednu namjerno i zapišite razlog.

Blokiranje sve povezanosti zvuči strogo i stvara vlastitu vrstu incidenata: korisnik na mreži na kojoj je pristupnik nedostupan ne može preuzeti ispravak koji bi vratio uslugu. Dopuštanje pristupa internetu održava računalo upotrebljivim i slabi jamstvo da je promet zaštićen. Oba odgovora mogu biti točna, ali nijedan nije zadana vrijednost koju biste trebali otkriti tijekom ispada.

Ponašanje pri ponovnom pokušaju pripada istoj odluci. Klijent koji pokušava zauvijek skriva pokvaren pristupnik od nadzora, dok klijent koji odustane nakon jednog pokušaja izgleda korisniku pokvareno. Odlučite koliko dugo krajnja točka treba pokušavati prije nego politika kvara preuzme, i testirajte to vrijeme umjesto da ga pretpostavljate.

Četvrti korak: definirajte što se računa kao pouzdano

Otkrivanje pouzdane mreže koristi kriterije iz profila klijenta, poput konfiguriranih DNS domena ili pouzdanih DNS poslužitelja, da zaključi kako je krajnja točka već na mreži na kojoj tunel nije potreban. Taj popis je cijela politika, pa prazan ili naslijeđen popis čini značajku ili nedjelotvornom ili nepredvidivom.

Ne zamjenjujte to pretpostavkom o kategoriji mreže u Windows vatrozidu. Računalo može biti na mreži označenoj domenom i ipak se nalaziti negdje gdje ne vjerujete, a računalo na javnom profilu može biti unutar vaše zgrade. Kriteriji otkrivanja trebaju izravno opisivati vaše mreže, a ne njihovu zamjenu.

Testirajte prijelaz u oba smjera, uključujući slučaj kada krajnja točka prelazi s pouzdane na nepouzdanu mrežu dok je sesija otvorena. Prekid i ponovno povezivanje odvojeni su događaji, a politika koja rješava samo prvi ostavlja prozor u kojem tunel nedostaje.

Peti korak: otežajte poništavanje politike krajnje točke

Primjena na krajnjoj točki jaka je onoliko koliko su jake vlastite kontrole krajnje točke. Prava lokalnog administratora dopuštaju korisniku zaustaviti uslugu agenta, zamijeniti profil ili deinstalirati klijenta, a mapa profila u koju obični korisnici mogu pisati jest politika koju svatko može uređivati. Oboje su problemi upravljanja krajnjim točkama koje VPN čelo ne može riješiti umjesto vas. Pitajte tim za radne stanice koji od tih dvaju uvjeta vrijedi prije nego obećate primjenu, i zapišite odgovor u plan uvođenja.

Odredite razinu zaključavanja imajući na umu put oporavka. Profil koji korisniku blokira internet i istodobno mu onemogućuje popravak klijenta pretvara poziv podršci u posjet lokaciji, pa čuvajte dokumentiran put oporavka koji ne ovisi o podignutom tunelu.

Ostavite provjeru certifikata pristupnika uključenom i dijelite profil samo kanalom kojem vjerujete. Zaključan klijent koji prihvaća profil iz neočekivanog izvora pomaknuo je granicu povjerenja umjesto da ju je proveo.