Cisco Secure Client Always-On: udrul profilen først

Indstillinger på enhedssiden kan ikke få en ikke-tilmeldt bærbar computer til at opføre sig som et administreret slutpunkt, og de fleste Always-On-udrulninger går i stå netop i det gab. Cisco Secure Client håndhæver politikken gennem den profil, der ligger på maskinen, så levering af den profil er en del af håndhævelsesplanen og ikke en detalje i den. Gå gennem de fem trin nedenfor i rækkefølge, og stop ved det første, der ikke holder, fordi et senere trin ikke kan opveje et tidligere gab.

Trin et: afgør, om reglen starter før login

Always-On opretter tunnelen, efter at brugeren logger på, og leverandørens dokumentation siger rent ud, at den ikke opretter en forbindelse, når ingen logger på. Hvis dit krav er en tunnel, der findes før Windows-logon-skærmen, er dette den forkerte funktion, og ingen mængde profiltilpasning ændrer det. Forudgående udrulning af profilen gør ikke adfærd efter login til adfærd før login.

Skriv kravet ned som en af fire forskellige adfærdsformer, og test derefter hver enkelt for sig. En enkelt vellykket forbindelse viser kun det almindelige tilfælde, og de øvrige tre er der, hvor supportbilletterne kommer fra. Markér, hvilken række dit krav faktisk har brug for, fordi et team, der kun har brug for adfærd efter login, kan springe argumentet om før login over. Tabellen er en acceptliste, ikke en ønskeliste.

Hvis kravet kun er den anden række, gælder resten af denne side stadig, men accepttesten er billigere.

Trin to: bekræft, at profilen allerede er på slutpunktet

Håndhævelsen læser en lokal profil, så det første spørgsmål er, om filen findes, før brugeren overhovedet forbinder. En profil, der downloades under den første vellykkede forbindelse, leveres for sent til en maskine, der skal beskyttes fra første login. Send den med installationsprogrammet eller med slutpunktsstyring, og behandl filens tilstedeværelse som et byggetjek i stedet for et håb.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Ældre AnyConnect-installationer beholder den samme fil i en mappe med et andet navn, så bekræft stien for den klientversion, du udruller, i stedet for at kopiere en sti fra en gammel runbook. Tjenesten skal køre og være indstillet til automatisk start, fordi en stoppet agent er et slutpunkt uden håndhævelse, uanset hvad profilen siger.

Hvis profilen mangler, så stop her. At rette fejlpolitikken eller listen over betroede netværk for en maskine uden profil er arbejde på en sti, der aldrig udføres.

Trin tre: vælg fejladfærden bevidst

Hvad der sker, når tunnelen ikke kan rejse sig, er en beslutning adskilt fra, om tunnelen starter automatisk. Politikken for forbindelsesfejl afgør, om slutpunktet må bruge internettet, mens oprettelsen fortsat fejler, og de to indstillinger forveksles ofte, fordi begge ligger tæt på Always-On-indstillingerne. Vælg en med vilje, og skriv begrundelsen ned.

At blokere al forbindelse lyder strengt og skaber sin egen type hændelser: en bruger på et netværk, hvor gatewayen ikke kan nås, kan ikke downloade den rettelse, der ville genskabe tjenesten. At tillade internetadgang holder maskinen brugbar og svækker garantien for, at trafikken er beskyttet. Begge svar kan være rigtige, men ingen af dem er en standardværdi, du bør opdage under et udfald.

Gentagelsesadfærd hører til samme beslutning. En klient, der prøver for evigt, skjuler en ødelagt gateway for overvågningen, mens en klient, der giver op efter ét forsøg, ser ødelagt ud for brugeren. Beslut, hvor længe slutpunktet skal blive ved med at prøve, før fejlpolitikken overtager, og test den timing i stedet for at antage den.

Trin fire: definér, hvad der tæller som betroet

Registrering af betroet netværk bruger kriterierne i klientprofilen, såsom konfigurerede DNS-domæner eller betroede DNS-servere, til at afgøre, at slutpunktet allerede er på et netværk, hvor tunnelen er unødvendig. Den liste er hele politikken, så en tom eller nedarvet liste gør funktionen enten inaktiv eller uforudsigelig.

Erstat den ikke med en antagelse om netværkskategorien i Windows-firewallen. En maskine kan være på et domænemærket netværk og stadig være et sted, du ikke stoler på, og en maskine med offentlig profil kan være inde i din egen bygning. Registreringskriterierne bør beskrive dine netværk direkte, ikke en erstatning for dem.

Test overgangen i begge retninger, inklusive det tilfælde, hvor slutpunktet flytter fra et betroet til et ubetroet netværk, mens en session er åben. Afbrydelsen og genopkoblingen er separate hændelser, og en politik, der kun håndterer den første, efterlader et vindue, hvor tunnelen mangler.

Trin fem: gør slutpunktspolitikken svær at fortryde

Håndhævelse på slutpunktet er kun så stærk som slutpunktets egne kontroller. Lokale administratorrettigheder lader en bruger stoppe agenttjenesten, erstatte profilen eller afinstallere klienten, og en profilmappe, som almindelige brugere kan skrive i, er en politik, som enhver kan redigere. Begge er problemer med slutpunktsstyring, som VPN-hovedenden ikke kan løse for dig. Spørg desktopteamet, hvilken af de to betingelser der gælder, før du lover håndhævelse, og skriv svaret ind i udrulningsplanen.

Beslut låseniveauet med genopretningsvejen for øje. En profil, der blokerer brugeren fra at nå internettet og også forhindrer dem i at reparere klienten, gør et supportopkald til et besøg på stedet, så hold en dokumenteret genopretningsrute, der ikke afhænger af, at tunnelen er oppe.

Hold valideringen af gatewaycertifikatet slået til, og distribuer kun profilen gennem en kanal, du stoler på. En låst klient, der accepterer en profil fra en uventet kilde, har flyttet tillidsgrænsen i stedet for at håndhæve den.