Cisco Secure Client Always-On: gosodwch y proffil yn gyntaf

Ni all gosodiadau ar ochr y teclyn wneud i liniadur heb ei gofrestru ymddwyn fel pwynt terfyn wedi'i reoli, ac mae'r rhan fwyaf o rolio allan Always-On yn stopio yn union yn y bwlch hwnnw. Mae Cisco Secure Client yn gorfodi'r polisi trwy'r proffil sy'n byw ar y peiriant, felly mae cyflenwi'r proffil hwnnw yn rhan o'r cynllun gorfodi yn hytrach na manylyn ohono. Ewch trwy'r pum cam isod yn eu trefn, a stopiwch ar yr un cyntaf nad yw'n dal, oherwydd ni all cam diweddarach wneud iawn am fwlch cynharach.

Cam un: penderfynwch a yw'r rheol yn dechrau cyn mewngofnodi

Mae Always-On yn sefydlu'r twnnel ar ôl i'r defnyddiwr fewngofnodi, ac mae dogfennaeth y gwerthwr yn dweud yn blwmp na fydd yn sefydlu cysylltiad pan nad oes neb yn mewngofnodi. Os mai eich gofyniad yw twnnel sy'n bodoli cyn sgrin fewngofnodi Windows, y nodwedd anghywir yw hon ac ni fydd unrhyw faint o diwtio proffil yn newid hynny. Nid yw defnyddio'r proffil ymlaen llaw yn troi ymddygiad ar ôl mewngofnodi yn ymddygiad cyn mewngofnodi.

Ysgrifennwch y gofyniad fel un o bedwar ymddygiad gwahanol, yna profwch bob un ar wahân. Nid yw un cysylltiad llwyddiannus yn dangos ond yr achos arferol, a'r tri arall yw'r man y daw'r tocynnau cymorth ohono. Nodwch pa res y mae eich gofyniad ei hangen mewn gwirionedd, oherwydd gall tîm sydd ond angen ymddygiad ar ôl mewngofnodi hepgor y ddadl cyn mewngofnodi. Rhestr dderbyn yw'r tabl, nid rhestr dymuniadau.

Os mai dim ond yr ail res yw'r gofyniad, mae gweddill y dudalen hon yn dal i fod yn berthnasol, ond mae'r prawf derbyn yn rhatach.

Cam dau: cadarnhewch fod y proffil eisoes ar y pwynt terfyn

Mae gorfodi yn darllen proffil lleol, felly'r cwestiwn cyntaf yw a yw'r ffeil honno'n bodoli cyn i'r defnyddiwr gysylltu o gwbl. Mae proffil a lawrlwythir yn ystod y cysylltiad llwyddiannus cyntaf yn cyrraedd yn rhy hwyr ar gyfer peiriant y mae'n rhaid ei ddiogelu o'i fewngofnodi cyntaf. Anfonwch ef gyda'r gosodwr neu gyda rheolaeth pwyntiau terfyn, a thriniwch bresenoldeb y ffeil fel gwiriad adeiladu yn hytrach na gobaith.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Mae gosodiadau AnyConnect hŷn yn cadw'r un ffeil mewn ffolder ag enw gwahanol, felly gwiriwch y llwybr ar gyfer y fersiwn cleient rydych yn ei osod yn lle copïo llwybr o hen lawlyfr. Rhaid i'r gwasanaeth redeg a bod wedi'i osod i ddechrau'n awtomatig, oherwydd mae asiant wedi stopio yn bwynt terfyn heb orfodi, beth bynnag y mae'r proffil yn ei ddweud.

Os yw'r proffil ar goll, stopiwch yma. Mae trwsio'r polisi methiant neu'r rhestr rhwydweithiau dibynadwy ar gyfer peiriant heb broffil yn waith ar lwybr na chaiff byth ei gyflawni.

Cam tri: dewiswch ymddygiad methiant yn fwriadol

Mae'r hyn sy'n digwydd pan na all y twnnel godi yn benderfyniad ar wahân i ba un a yw'r twnnel yn dechrau'n awtomatig. Mae polisi methiant cysylltu yn penderfynu a gaiff y pwynt terfyn ddefnyddio'r rhyngrwyd tra bod sefydlu yn parhau i fethu, ac mae'r ddau osodiad yn cael eu cymysgu'n aml oherwydd bod y ddau'n byw yn agos at opsiynau Always-On. Dewiswch un yn fwriadol ac ysgrifennwch y rheswm.

Mae blocio'r holl gysylltedd yn swnio'n llym ac yn creu ei ddosbarth digwyddiadau ei hun: ni all defnyddiwr ar rwydwaith lle mae'r porth yn anghyraeddadwy lawrlwytho'r atgyweiriad a fyddai'n adfer y gwasanaeth. Mae caniatáu mynediad i'r rhyngrwyd yn cadw'r peiriant yn ddefnyddiadwy ac yn gwanhau'r warant bod traffig wedi'i ddiogelu. Gall y naill ateb neu'r llall fod yn gywir, ond nid yw'r un ohonynt yn rhagosodiad y dylech ei ddarganfod yn ystod methiant.

Mae ymddygiad ailgeisio yn perthyn i'r un penderfyniad. Mae cleient sy'n ailgeisio am byth yn cuddio porth wedi torri rhag monitro, tra bod cleient sy'n rhoi'r gorau iddi ar ôl un ymgais yn edrych yn doredig i'r defnyddiwr. Penderfynwch pa mor hir y dylai'r pwynt terfyn barhau i geisio cyn i'r polisi methiant gymryd drosodd, a phrofwch yr amser hwnnw yn lle ei dybio.

Cam pedwar: diffiniwch beth sy'n cyfrif fel dibynadwy

Mae canfod rhwydwaith dibynadwy yn defnyddio'r meini prawf yn mhroffil y cleient, fel parthau DNS wedi'u ffurfweddu neu weinyddwyr DNS dibynadwy, i benderfynu bod y pwynt terfyn eisoes ar rwydwaith lle nad oes angen y twnnel. Y rhestr honno yw'r polisi cyfan, felly mae rhestr wag neu etifeddol yn gwneud y nodwedd naill ai'n ddi-rym neu'n anrhagweladwy.

Peidiwch â rhoi rhagdybiaeth am gategori rhwydwaith mur cadarn Windows yn ei lle. Gall peiriant fod ar rwydwaith wedi'i dagio â pharth ac eto fod yn rhywle nad ydych yn ymddiried ynddo, a gall peiriant ar broffil cyhoeddus fod o fewn eich adeilad eich hun. Dylai'r meini prawf canfod ddisgrifio eich rhwydweithiau'n uniongyrchol, nid dirprwy ar eu cyfer.

Profwch y trawsnewid yn y ddau gyfeiriad, gan gynnwys yr achos lle mae'r pwynt terfyn yn symud o rwydwaith dibynadwy i un annibynadwy tra bod sesiwn ar agor. Mae'r datgysylltu a'r ailgysylltu yn ddigwyddiadau ar wahân, ac mae polisi sy'n trin dim ond y cyntaf yn gadael ffenestr lle nad yw'r twnnel yn bresennol.

Cam pump: gwnewch bolisi'r pwynt terfyn yn anodd ei ddadwneud

Nid yw gorfodi ar y pwynt terfyn ond mor gryf â rheolaethau'r pwynt terfyn ei hun. Mae hawliau gweinyddwr lleol yn caniatáu i ddefnyddiwr stopio gwasanaeth yr asiant, disodli'r proffil neu ddadosod y cleient, ac mae cyfeiriadur proffil y gall defnyddwyr cyffredin ysgrifennu iddo yn bolisi y gall unrhyw un ei olygu. Mae'r ddau yn broblemau rheoli pwyntiau terfyn na all pen y VPN eu datrys ar eich rhan. Gofynnwch i'r tîm desg pa un o'r ddau amod hyn sy'n berthnasol cyn i chi addo gorfodi, ac ysgrifennwch yr ateb yn y cynllun rholio allan.

Penderfynwch ar y lefel cloi gyda'r llwybr adfer mewn golwg. Mae proffil sy'n rhwystro'r defnyddiwr rhag cyrraedd y rhyngrwyd ac yn ei atal hefyd rhag trwsio'r cleient yn troi galwad cymorth yn ymweliad safle, felly cadwch lwybr adfer wedi'i ddogfennu nad yw'n dibynnu ar y twnnel fod i fyny.

Cadwch ddilysu tystysgrif y porth ymlaen, a dosbarthwch y proffil yn unig trwy sianel rydych yn ymddiried ynddi. Mae cleient wedi'i gloi sy'n derbyn proffil o ffynhonnell annisgwyl wedi symud y ffin ymddiriedaeth yn hytrach na'i gorfodi.