Cisco Secure Client Always-On: Profil zuerst bereitstellen
Cisco Secure Client Always-On braucht das Endpunktprofil, bevor die Durchsetzung greift: Prüfen Sie Geltungsbereich vor der Anmeldung, Verteilung, Fehlerrichtlinie und vertrauenswürdige Netze.
Einstellungen auf der Geräteseite können einen nicht registrierten Laptop nicht wie einen verwalteten Endpunkt verhalten lassen, und die meisten Always-On-Einführungen bleiben genau in dieser Lücke stecken. Cisco Secure Client setzt die Richtlinie über das Profil durch, das auf dem Rechner liegt, daher ist die Verteilung dieses Profils Teil des Durchsetzungsplans und nicht ein Detail davon. Arbeiten Sie die fünf Schritte unten der Reihe nach ab und halten Sie beim ersten an, der nicht trägt, denn ein späterer Schritt kann eine frühere Lücke nicht ausgleichen.
Schritt eins: Entscheiden Sie, ob die Regel vor der Anmeldung beginnt
Always-On baut den Tunnel auf, nachdem sich der Benutzer angemeldet hat, und die Herstellerdokumentation sagt klar, dass es keine Verbindung aufbaut, wenn sich niemand anmeldet. Wenn Ihre Anforderung ein Tunnel ist, der vor dem Windows-Anmeldebildschirm existiert, ist dies die falsche Funktion, und keine Profilanpassung ändert das. Das vorherige Bereitstellen des Profils macht aus Verhalten nach der Anmeldung kein Verhalten vor der Anmeldung.
Schreiben Sie die Anforderung als eines von vier unterschiedlichen Verhalten nieder und testen Sie dann jedes einzeln. Eine einzelne erfolgreiche Verbindung zeigt nur den Normalfall, und die anderen drei sind der Ursprung der Supporttickets. Markieren Sie, welche Zeile Ihre Anforderung wirklich braucht, denn ein Team, das nur Verhalten nach der Anmeldung benötigt, kann die Diskussion um die Anmeldung davor überspringen. Die Tabelle ist eine Abnahmeliste, keine Wunschliste.
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
Wenn die Anforderung nur die zweite Zeile ist, gilt der Rest dieser Seite weiterhin, aber der Abnahmetest ist billiger.
Schritt zwei: Bestätigen Sie, dass das Profil bereits auf dem Endpunkt liegt
Die Durchsetzung liest ein lokales Profil, daher ist die erste Frage, ob diese Datei existiert, bevor sich der Benutzer überhaupt verbindet. Ein Profil, das während der ersten erfolgreichen Verbindung heruntergeladen wird, kommt zu spät für einen Rechner, der ab der ersten Anmeldung geschützt sein muss. Liefern Sie es mit dem Installer oder mit der Endpunktverwaltung aus, und behandeln Sie die Anwesenheit der Datei als Build-Prüfung statt als Hoffnung.
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnÄltere AnyConnect-Installationen halten dieselbe Datei in einem anders benannten Ordner, also prüfen Sie den Pfad für die Clientversion, die Sie ausrollen, statt einen Pfad aus einem alten Runbook zu kopieren. Der Dienst muss laufen und auf automatischen Start gesetzt sein, denn ein gestoppter Agent ist ein Endpunkt ohne Durchsetzung, egal was das Profil sagt.
Wenn das Profil fehlt, halten Sie hier an. Die Fehlerrichtlinie oder die Liste vertrauenswürdiger Netze für einen Rechner ohne Profil zu reparieren, ist Arbeit auf einem Pfad, der nie ausgeführt wird.
Schritt drei: Wählen Sie das Fehlerverhalten bewusst
Was passiert, wenn der Tunnel nicht hochkommt, ist eine eigene Entscheidung davon, ob der Tunnel automatisch startet. Die Verbindungsfehlerrichtlinie entscheidet, ob der Endpunkt das Internet nutzen darf, während der Aufbau weiter scheitert, und die beiden Einstellungen werden oft verwechselt, weil beide nahe den Always-On-Optionen liegen. Wählen Sie eine bewusst und schreiben Sie den Grund auf.
Alle Konnektivität zu blockieren klingt streng und erzeugt eine eigene Vorfallklasse: Ein Benutzer in einem Netz, in dem das Gateway nicht erreichbar ist, kann die Korrektur nicht herunterladen, die den Dienst wiederherstellen würde. Internetzugang zuzulassen hält den Rechner nutzbar und schwächt die Zusicherung, dass der Datenverkehr geschützt ist. Beide Antworten können richtig sein, aber keine ist ein Standard, den Sie während einer Störung entdecken sollten.
Das Wiederholungsverhalten gehört zur selben Entscheidung. Ein Client, der ewig wiederholt, verbirgt ein defektes Gateway vor der Überwachung, während ein Client, der nach einem Versuch aufgibt, für den Benutzer defekt aussieht. Legen Sie fest, wie lange der Endpunkt es weiter versuchen soll, bevor die Fehlerrichtlinie übernimmt, und testen Sie dieses Timing, statt es anzunehmen.
Schritt vier: Definieren Sie, was als vertrauenswürdig gilt
Die Erkennung vertrauenswürdiger Netze nutzt die Kriterien im Clientprofil, etwa konfigurierte DNS-Domänen oder vertrauenswürdige DNS-Server, um zu entscheiden, dass der Endpunkt bereits in einem Netz ist, in dem der Tunnel unnötig ist. Diese Liste ist die gesamte Richtlinie, daher macht eine leere oder geerbte Liste die Funktion entweder wirkungslos oder unvorhersehbar.
Ersetzen Sie sie nicht durch eine Annahme über die Netzwerkkategorie der Windows-Firewall. Ein Rechner kann in einem domänenmarkierten Netz sein und sich trotzdem an einem Ort befinden, dem Sie nicht vertrauen, und ein Rechner mit öffentlichem Profil kann in Ihrem eigenen Gebäude stehen. Die Erkennungskriterien sollten Ihre Netze direkt beschreiben, nicht einen Stellvertreter dafür.
Testen Sie den Übergang in beide Richtungen, einschließlich des Falls, dass der Endpunkt bei offener Sitzung von einem vertrauenswürdigen in ein nicht vertrauenswürdiges Netz wechselt. Die Trennung und die erneute Verbindung sind getrennte Ereignisse, und eine Richtlinie, die nur das erste behandelt, lässt ein Fenster, in dem der Tunnel fehlt.
Schritt fünf: Machen Sie die Endpunktrichtlinie schwer rückgängig zu machen
Die Durchsetzung auf dem Endpunkt ist nur so stark wie die eigenen Kontrollen des Endpunkts. Lokale Administratorrechte erlauben einem Benutzer, den Agentdienst zu stoppen, das Profil zu ersetzen oder den Client zu deinstallieren, und ein Profilverzeichnis, in das gewöhnliche Benutzer schreiben können, ist eine Richtlinie, die jeder bearbeiten kann. Beides sind Endpunktverwaltungsprobleme, die der VPN-Headend nicht für Sie lösen kann. Fragen Sie das Desktop-Team, welche der beiden Bedingungen zutrifft, bevor Sie Durchsetzung versprechen, und schreiben Sie die Antwort in den Rollout-Plan.
Legen Sie das Sperrniveau mit Blick auf den Wiederherstellungsweg fest. Ein Profil, das dem Benutzer den Internetzugang blockiert und ihn auch daran hindert, den Client zu reparieren, macht aus einem Supportanruf einen Vor-Ort-Termin, also halten Sie einen dokumentierten Wiederherstellungsweg bereit, der nicht davon abhängt, dass der Tunnel steht.
Lassen Sie die Zertifikatsprüfung des Gateways aktiviert und verteilen Sie das Profil nur über einen Kanal, dem Sie vertrauen. Ein gesperrter Client, der ein Profil aus einer unerwarteten Quelle akzeptiert, hat die Vertrauensgrenze verschoben, statt sie durchzusetzen.