Podporuje váš Meraki MX Cisco Secure Client?

Dvě vlákna podpory se neshodnou, zda Meraki umí AnyConnect, a obě se stejně sebevědomě mýlí. Otázka není, zda MX mluví IKEv2, protože AnyConnect na zařízení je služba TLS, nikoli IPsec. Odpověď rozhodují dvě samostatná ověření a ani jedno není srovnání značek. Projděte je popořadě a získáte záznam o kompatibilitě místo názoru.

Nejprve model a verze

Začněte přesným zařízením a softwarem, který běží, protože funkce je omezena na obojí. Meraki zveřejňuje matici s podporovanými modely a minimálním firmwarem a tato matice je jediná autorita, kterou stojí za to citovat. Model uvedený v seznamu nemusí běžet na verzi, která funkci podporuje, a verze, která ji podporuje, nemusí být ta, kterou provozujete. Zapište model a nainstalovaný firmware jako dva samostatné údaje. Poté si přečtěte matici pro tuto dvojici.

Neusuzujte z podobného modelu ve stejné rodině. Seznam je po modelech a rozdíly jsou skutečné.

AnyConnect je služba SSL, ne IPsec

Meraki popisuje AnyConnect na MX jako aplikacní VPN postavenou na TLS a DTLS a dokumentuje ji vedle samostatné klientské VPN služby přes L2TP/IPsec. To jsou dva produkty, které náhodou sdílejí jeden panel. Srovnání IKEv1 s IKEv2 vám řekne o službě IPsec a nic o tom, zda na vašem zařízení existuje služba TLS. Pokud je vaším důkazem tabulka verzí IKE, odpovídali jste na jinou otázku.

Než začnete porovnávat klienty, určete, kterou službu zařízení vystavuje. Fungující profil L2TP/IPsec se nestane profilem AnyConnect jen proto, že dosáhne stejné organizace, a oba vyžadují jinou konfiguraci klienta.

Jaké funkce MX skutečně nabízí

Seznam funkcí ASA od Cisco není seznamem funkcí MX a klient, který podporuje dvanáct věcí, neznamená, že je podporuje brána. Porovnejte funkce, které skutečně potřebujete: způsob autentizace, chování rozděleného tunelu, práci s DNS a oprávnění, které zařízení vyžaduje. Každou vezměte z dokumentace Meraki pro nasazenou verzi.

Autentizace je místo, kde to obvykle bolí. Metoda, kterou klient nabízí a zařízení nedokáže nakonfigurovat, je případ podpory čekající na vznik.

Verze klienta a oprávnění

Cisco Secure Client je současný název stejné klientské rodiny, takže dokument zmiňující AnyConnect nemusí být zastaralý. Důležitá je verze, kterou vaše organizace nasazuje, a zda je proti ní verze zařízení validována.

Požadavek na licenci ověřte ve stejné příručce, místo abyste ho předpokládali z jiné platformy. Potom držte název koncového bodu, ověření certifikátu a schválený postup autentizace pohromadě v jednom záznamu služby, protože tyto tři selhávají nezávisle. Varování certifikátu, kterým uživatelé jen prokliknou, není výsledek kompatibility, je to neověřená konfigurace. Vzdálený přístup je jen polovina práce, protože uživatel stále potřebuje trasy a oprávnění, aby se dostal k cíli.

Zapište záznam s pěti poli

Model, firmware, režim vzdáleného přístupu, verze klienta a funkce, které nasazení vyžaduje. Pět polí a odpověď na otázku, zda můžeme použít AnyConnect, leží v kombinaci, nikoli v kterémkoli z nich samostatně. Tento záznam také říká dalšímu inženýrovi, co znovu ověřit po upgradu firmwaru.

Pak otestujte cestu od začátku do konce: autentizujte se, přeložte interní jméno, dosáhněte na povolený zdroj a potvrďte, že zdroj, na který byste dosáhnout neměli, je odmítnut. Přihlášení, které uspěje, ale zdroj se nikdy nenačte, je částečný výsledek a chybějící polovina je obvykle směrování nebo autorizace, ne klient. Uložte otestovanou kombinaci ke změně, aby další člověk zdědil důkaz místo sloganu.