El vostre Meraki MX admet Cisco Secure Client?

Dos fils de suport no coincideixen sobre si Meraki pot fer AnyConnect, i tots dos estan confiadament equivocats de la mateixa manera. La pregunta no és si un MX parla IKEv2, perquè AnyConnect a l'aparell és un servei TLS i no un d'IPsec. Dues comprovacions separades decideixen la resposta, i cap de les dues és una comparació de marques. Feu-les en ordre i obtindreu un registre de compatibilitat en lloc d'una opinió.

Primer el model i la versió

Comenceu per l'aparell exacte i el programari que executa, perquè la funció està limitada a tots dos. Meraki publica una matriu amb els models admesos i el firmware mínim, i aquesta matriu és l'única autoritat que val la pena citar. Un model que apareix a la llista no és automàticament a una versió que admeti la funció, i una versió que l'admet pot no ser la que executeu. Enregistreu el model i el firmware instal·lat com dos fets separats. Després llegiu la matriu per a aquesta parella.

No raoneu a partir d'un model similar de la mateixa família. La llista és per model, i les diferències són reals.

AnyConnect és un servei SSL, no IPsec

Meraki descriu AnyConnect a l'MX com una VPN basada en aplicacions TLS i DTLS, i la documenta al costat d'un servei de VPN de client L2TP/IPsec separat. Són dos productes que comparteixen un tauler per casualitat. Comparar IKEv1 amb IKEv2 us parla del servei IPsec i res sobre si el servei TLS existeix al vostre aparell. Si la vostra evidència és una taula de versions IKE, heu estat responent una altra pregunta.

Identifiqueu quin servei exposa l'aparell abans de comparar clients. Un perfil L2TP/IPsec que funciona no es converteix en un perfil AnyConnect perquè arribi a la mateixa organització, i els dos necessiten configuracions de client diferents.

Quines funcions ofereix realment l'MX

La llista de funcions de l'ASA de Cisco no és la llista de funcions de l'MX, i un client que admet dotze coses no fa que la passarel·la les admeti. Compareu les funcions que realment necessiteu: mètode d'autenticació, comportament del túnel dividit, gestió de DNS i el dret que requereixi l'aparell. Preneu cada una de la documentació de Meraki per a la versió desplegada.

L'autenticació és on això sol mossegar. Un mètode que el client ofereix i que l'aparell no pot configurar és un cas de suport esperant a passar.

Versió del client i dret

Cisco Secure Client és el nom actual de la mateixa família de clients, així que un document que esmenti AnyConnect no és necessàriament obsolet. El que importa és la versió que desplega la vostra organització i si la versió de l'aparell està validada contra ella.

Comproveu el requisit de llicència a la mateixa guia en lloc de suposar-lo des d'una altra plataforma. Després manteniu el nom del punt final, la verificació del certificat i el flux d'autenticació aprovat junts en un registre de servei, perquè aquests tres fallen de manera independent. Un avís de certificat pel qual els usuaris fan clic no és un resultat de compatibilitat; és una configuració no verificada. L'accés remot només és la meitat de la feina, perquè l'usuari encara necessita rutes i permisos per arribar a la destinació.

Escriviu el registre amb cinc camps

Model, firmware, mode d'accés remot, versió del client i les funcions que requereix el desplegament. Cinc camps, i la resposta a podem fer servir AnyConnect viu en la combinació i no en cap d'ells per separat. Aquest registre també diu al següent enginyer què cal tornar a comprovar després d'una actualització de firmware.

Després proveu el camí de punta a punta: autentiqueu-vos, resoleu un nom intern, arribeu a un recurs permès i confirmeu que es rebutja un recurs al qual no hauríeu d'arribar. Un inici de sessió que té èxit amb un recurs que mai no carrega és un resultat parcial, i la meitat que falta normalment és encaminament o autorització, no el client. Arxivar la combinació provada amb el canvi, perquè la propera persona hereti evidència en lloc d'un eslògan.