Cisco Secure Client Always-On: nejprve nasaďte profil

Nastavení na straně zařízení nemůže přimět neregistrovaný notebook chovat se jako spravovaný koncový bod a většina zavádění Always-On uvízne právě v této mezeře. Cisco Secure Client vynucuje zásady prostřednictvím profilu, který leží na počítači, takže doručení tohoto profilu je součástí plánu vynucení, nikoli jeho detailem. Projděte pět kroků níže v pořadí a zastavte se u prvního, který neplatí, protože pozdější krok nemůže nahradit dřívější mezeru.

Krok první: rozhodněte, zda pravidlo začíná před přihlášením

Always-On vytváří tunel poté, co se uživatel přihlásí, a dokumentace výrobce jasně říká, že nevytváří připojení, když se nikdo nepřihlásí. Pokud je vaším požadavkem tunel, který existuje před přihlašovací obrazovkou Windows, je to nesprávná funkce a žádné ladění profilu to nezmění. Předběžné nasazení profilu nepřemění chování po přihlášení v chování před přihlášením.

Zapište požadavek jako jedno ze čtyř odlišných chování a pak každé testujte zvlášť. Jedno úspěšné připojení ukazuje jen běžný případ a zbylé tři jsou tam, odkud přicházejí tikety podpory. Označte, který řádek váš požadavek skutečně potřebuje, protože tým, který potřebuje jen chování po přihlášení, může argument o přihlášení před přeskočit. Tabulka je seznam pro přijetí, ne seznam přání.

Pokud je požadavkem jen druhý řádek, zbytek této stránky stále platí, ale přejímací test je levnější.

Krok druhý: potvrďte, že profil už na koncovém bodu je

Vynucení čte místní profil, takže první otázkou je, zda tento soubor existuje dříve, než se uživatel vůbec připojí. Profil stažený během prvního úspěšného připojení se doručí příliš pozdě pro počítač, který musí být chráněn od prvního přihlášení. Dodejte ho s instalátorem nebo se správou koncových bodů a přítomnost souboru berte jako kontrolu při sestavení, ne jako naději.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Starší instalace AnyConnect drží stejný soubor ve složce s jiným názvem, takže ověřte cestu pro verzi klienta, kterou nasazujete, místo kopírování cesty ze starého runbooku. Služba musí běžet a být nastavena na automatické spuštění, protože zastavený agent je koncový bod bez vynucení, ať profil říká cokoli.

Pokud profil chybí, zastavte se zde. Opravovat zásady selhání nebo seznam důvěryhodných sítí pro počítač bez profilu je práce na cestě, která se nikdy nevykoná.

Krok třetí: zvolte chování při selhání vědomě

Co se stane, když tunel nelze zvednout, je samostatné rozhodnutí od toho, zda se tunel spouští automaticky. Zásady selhání připojení rozhodují, zda koncový bod smí používat internet, zatímco vytváření stále selhává, a obě nastavení se často zaměňují, protože obě leží poblíž voleb Always-On. Vyberte jedno záměrně a zapište důvod.

Blokování veškeré konektivity zní přísně a vytváří vlastní třídu incidentů: uživatel v síti, kde je brána nedostupná, nemůže stáhnout opravu, která by obnovila službu. Povolení přístupu k internetu udržuje počítač použitelný a oslabuje záruku, že provoz je chráněn. Obě odpovědi mohou být správné, ale ani jedna není výchozí hodnota, kterou byste měli objevit během výpadku.

Chování při opakování patří ke stejnému rozhodnutí. Klient, který zkouší věčně, skrývá rozbitou bránu před monitorováním, zatímco klient, který to vzdá po jednom pokusu, vypadá pro uživatele rozbitě. Rozhodněte, jak dlouho má koncový bod zkoušet, než převezmou zásady selhání, a toto načasování testujte, místo abyste ho předpokládali.

Krok čtvrtý: definujte, co se počítá jako důvěryhodné

Zjišťování důvěryhodné sítě používá kritéria v profilu klienta, jako jsou nakonfigurované domény DNS nebo důvěryhodné servery DNS, k rozhodnutí, že koncový bod už je v síti, kde tunel není potřeba. Tento seznam je celá zásada, takže prázdný nebo zděděný seznam činí funkci buď nečinnou, nebo nepředvídatelnou.

Nenahrazujte to předpokladem o kategorii sítě v bráně firewall Windows. Počítač může být v síti označené doménou a přesto být někde, kde nedůvěřujete, a počítač s veřejným profilem může být uvnitř vaší budovy. Kritéria zjišťování mají přímo popisovat vaše sítě, ne jejich zástupce.

Testujte přechod oběma směry, včetně případu, kdy se koncový bod přesouvá z důvěryhodné sítě do nedůvěryhodné, zatímco je relace otevřená. Odpojení a opětovné připojení jsou oddělené události a zásada, která řeší jen první z nich, nechává okno, ve kterém tunel chybí.

Krok pátý: udělejte zásady koncového bodu těžko zrušitelnými

Vynucení na koncovém bodu je jen tak silné jako vlastní ovládací prvky koncového bodu. Práva místního správce umožňují uživateli zastavit službu agenta, nahradit profil nebo odinstalovat klienta a složka profilu, do níž běžní uživatelé mohou zapisovat, je zásada, kterou může kdokoli upravit. Obě jsou problémy správy koncových bodů, které VPN hlava za vás nevyřeší. Ptejte se týmu pro stolní počítače, která z těchto dvou podmínek platí, než vynucení slíbíte, a odpověď zapište do plánu zavedení.

Úroveň uzamčení určete s ohledem na cestu obnovy. Profil, který uživateli znemožňuje přístup k internetu a zároveň mu brání opravit klienta, mění telefonát podpoře v návštěvu na místě, takže mějte zdokumentovanou cestu obnovy, která nezávisí na tom, že tunel běží.

Nechte ověřování certifikátu brány zapnuté a profil distribuujte jen kanálem, kterému důvěřujete. Uzamčený klient, který přijme profil z neočekávaného zdroje, spíš posunul hranici důvěry, než že by ji vynutil.