Cisco Secure Client Always-On: desplegueu primer el perfil

Els paràmetres del costat de l'aparell no poden fer que un portàtil no registrat es comporti com un punt final gestionat, i la majoria de desplegaments d'Always-On s'encallen just en aquesta escletxa. El Cisco Secure Client aplica la política mitjançant el perfil que hi ha a la màquina, així que el lliurament d'aquest perfil forma part del pla d'aplicació i no pas un detall. Recorreu els cinc passos següents en ordre i atureu-vos al primer que no es compleixi, perquè un pas posterior no pot compensar una mancança anterior.

Pas u: decidiu si la regla comença abans de l'inici de sessió

Always-On estableix el túnel després que l'usuari iniciï sessió, i la documentació del fabricant diu clarament que no estableix cap connexió quan ningú inicia sessió. Si el vostre requisit és un túnel que existeixi abans de la pantalla d'inici de sessió de Windows, aquesta és la funció equivocada i cap ajust del perfil no ho canvia. Desplegar el perfil per endavant no converteix el comportament posterior a l'inici de sessió en comportament previ.

Escriviu el requisit com un de quatre comportaments diferents i després proveu cada un per separat. Una sola connexió correcta només demostra el cas habitual, i els altres tres són d'on surten els tiquets de suport. Marqueu quina fila necessita realment el vostre requisit, perquè un equip que només necessita el comportament posterior a l'inici de sessió pot saltar-se l'argument del previ. La taula és una llista d'acceptació, no una llista de desitjos.

Si el requisit és només la segona fila, la resta d'aquesta pàgina continua aplicant-se, però la prova d'acceptació és més barata.

Pas dos: confirmeu que el perfil ja és al punt final

L'aplicació llegeix un perfil local, així que la primera pregunta és si aquest fitxer existeix abans que l'usuari es connecti. Un perfil baixat durant la primera connexió correcta es lliura massa tard per a una màquina que s'ha de protegir des del primer inici de sessió. Envieu-lo amb l'instal·lador o amb la gestió de punts finals, i tracteu la presència del fitxer com una comprovació de compilació i no com una esperança.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Les instal·lacions més antigues d'AnyConnect guarden el mateix fitxer en una carpeta amb un altre nom, així que confirmeu el camí per a la versió del client que desplegueu en lloc de copiar un camí d'un manual antic. El servei ha d'estar en marxa i configurat per iniciar-se automàticament, perquè un agent aturat és un punt final sense aplicació, digui el que digui el perfil.

Si falta el perfil, atureu-vos aquí. Arreglar la política de fallada o la llista de xarxes de confiança per a una màquina sense perfil és treballar en un camí que mai s'executa.

Pas tres: trieu el comportament de fallada deliberadament

Què passa quan el túnel no pot aixecar-se és una decisió separada de si el túnel s'inicia automàticament. La política de fallada de connexió decideix si el punt final pot usar internet mentre l'establiment continua fallant, i els dos paràmetres sovint es confonen perquè tots dos són a prop de les opcions d'Always-On. Trieu-ne un a propòsit i escriviu el motiu.

Bloquejar tota la connectivitat sona estricte i genera la seva pròpia classe d'incidents: un usuari en una xarxa on la passarel·la no és accessible no pot baixar la correcció que restabliria el servei. Permetre l'accés a internet manté la màquina utilitzable i debilita la garantia que el trànsit està protegit. Qualsevol de les dues respostes pot ser correcta, però cap no és un valor per defecte que hàgiu de descobrir durant una avaria.

El comportament de reintent pertany a la mateixa decisió. Un client que reintenta per sempre amaga una passarel·la espatllada del monitoratge, mentre que un client que es rendeix després d'un intent sembla espatllat a l'usuari. Decidiu quant de temps ha de continuar intentant el punt final abans que la política de fallada prengui el relleu, i proveu aquest temps en lloc de suposar-lo.

Pas quatre: definiu què compta com a fiable

La detecció de xarxa de confiança fa servir els criteris del perfil del client, com ara dominis DNS configurats o servidors DNS de confiança, per decidir que el punt final ja és en una xarxa on el túnel no cal. Aquesta llista és tota la política, així que una llista buida o heretada fa que la funció sigui inerta o impredictible.

No la substituïu per una suposició sobre la categoria de xarxa del tallafoc de Windows. Una màquina pot ser en una xarxa etiquetada com a domini i seguir en un lloc on no confieu, i una màquina amb perfil públic pot ser dins del vostre edifici. Els criteris de detecció han de descriure les vostres xarxes directament, no un substitut.

Proveu la transició en tots dos sentits, inclòs el cas en què el punt final passa d'una xarxa de confiança a una de no fiable amb una sessió oberta. La desconnexió i la reconnexió són esdeveniments separats, i una política que només gestiona el primer deixa una finestra on el túnel és absent.

Pas cinc: feu difícil desfer la política del punt final

L'aplicació al punt final és tan forta com els controls propis del punt final. Els drets d'administrador local permeten a l'usuari aturar el servei de l'agent, substituir el perfil o desinstal·lar el client, i un directori de perfil on els usuaris corrents poden escriure és una política que qualsevol pot editar. Tots dos són problemes de gestió de punts finals que el cap del VPN no pot resoldre per vosaltres. Pregunteu a l'equip d'escriptori quina d'aquestes dues condicions es dona abans de prometre l'aplicació, i escriviu la resposta al pla de desplegament.

Decidiu el nivell de bloqueig amb la via de recuperació a la vista. Un perfil que impedeix a l'usuari arribar a internet i també li impedeix reparar el client converteix una trucada de suport en una visita al lloc, així que manteniu una ruta de recuperació documentada que no depengui que el túnel estigui aixecat.

Mantingueu activada la validació del certificat de la passarel·la i distribuïu el perfil només per un canal en què confieu. Un client bloquejat que accepta un perfil d'una font inesperada ha mogut la frontera de confiança en lloc d'aplicar-la.