Unterstützt Ihr Meraki MX den Cisco Secure Client?

Zwei Support-Threads widersprechen sich, ob Meraki AnyConnect kann, und beide liegen auf dieselbe Weise selbstsicher falsch. Die Frage ist nicht, ob ein MX IKEv2 spricht, denn AnyConnect auf dem Gerät ist ein TLS-Dienst und kein IPsec-Dienst. Zwei getrennte Prüfungen entscheiden die Antwort, und keine davon ist ein Markenvergleich. Arbeiten Sie sie der Reihe nach ab, und Sie erhalten einen Kompatibilitätsdatensatz statt einer Meinung.

Zuerst Modell und Release

Beginnen Sie mit dem genauen Gerät und der Software, die es ausführt, denn die Funktion ist auf beides begrenzt. Meraki veröffentlicht eine Matrix mit unterstützten Modellen und der Mindest-Firmware, und diese Matrix ist die einzige Autorität, die es zu zitieren lohnt. Ein Modell, das in der Liste steht, läuft nicht automatisch auf einem Release, das die Funktion unterstützt, und ein Release, das sie unterstützt, ist vielleicht nicht das, das Sie ausführen. Erfassen Sie Modell und installierte Firmware als zwei getrennte Fakten. Lesen Sie dann die Matrix für dieses Paar.

Schließen Sie nicht von einem ähnlichen Modell derselben Familie. Die Liste gilt pro Modell, und die Unterschiede sind real.

AnyConnect ist ein SSL-Dienst, kein IPsec

Meraki beschreibt AnyConnect auf dem MX als anwendungsbasiertes VPN über TLS und DTLS und dokumentiert es neben einem separaten Client-VPN-Dienst über L2TP/IPsec. Das sind zwei Produkte, die zufällig ein Dashboard teilen. Ein Vergleich von IKEv1 mit IKEv2 sagt Ihnen etwas über den IPsec-Dienst und nichts darüber, ob der TLS-Dienst auf Ihrem Gerät existiert. Wenn Ihr Beleg eine IKE-Versionstabelle ist, haben Sie eine andere Frage beantwortet.

Bestimmen Sie, welchen Dienst das Gerät bereitstellt, bevor Sie Clients vergleichen. Ein funktionierendes L2TP/IPsec-Profil wird nicht dadurch ein AnyConnect-Profil, dass es dieselbe Organisation erreicht, und beide brauchen unterschiedliche Client-Konfiguration.

Welche Funktionen das MX wirklich bietet

Ciscos ASA-Funktionsliste ist nicht die MX-Funktionsliste, und ein Client, der zwölf Dinge unterstützt, macht das Gateway nicht dazu. Vergleichen Sie die Funktionen, die Sie wirklich brauchen: Authentifizierungsmethode, Verhalten des geteilten Tunnels, DNS-Behandlung und die Berechtigung, die das Gerät verlangt. Nehmen Sie jede aus der Meraki-Dokumentation für das eingesetzte Release.

Die Authentifizierung ist der Punkt, an dem es meistens weh tut. Eine Methode, die der Client anbietet und das Gerät nicht konfigurieren kann, ist ein Supportfall, der darauf wartet zu passieren.

Client-Version und Berechtigung

Cisco Secure Client ist der aktuelle Name derselben Client-Familie, ein Dokument, das AnyConnect nennt, ist also nicht zwangsläufig veraltet. Entscheidend ist die Version, die Ihre Organisation einsetzt, und ob das Release des Geräts dagegen validiert ist.

Prüfen Sie die Lizenzanforderung im selben Leitfaden, statt sie von einer anderen Plattform anzunehmen. Halten Sie dann Endpunktname, Zertifikatsprüfung und den freigegebenen Authentifizierungsablauf zusammen in einem Dienstnachweis, denn diese drei scheitern unabhängig voneinander. Eine Zertifikatswarnung, die Anwender einfach wegklicken, ist kein Kompatibilitätsergebnis, sondern eine ungeprüfte Konfiguration. Der Fernzugriff ist nur die halbe Arbeit, denn der Anwender braucht weiterhin Routen und Berechtigungen, um das Ziel zu erreichen.

Schreiben Sie den Datensatz mit fünf Feldern

Modell, Firmware, Fernzugriffsmodus, Client-Version und die Funktionen, die der Einsatz verlangt. Fünf Felder, und die Antwort auf die Frage, ob wir AnyConnect nutzen können, liegt in der Kombination und nicht in einem einzelnen davon. Dieser Datensatz sagt auch dem nächsten Engineer, was nach einem Firmware-Upgrade erneut zu prüfen ist.

Testen Sie dann den Pfad von Ende zu Ende: authentifizieren, einen internen Namen auflösen, eine erlaubte Ressource erreichen und bestätigen, dass eine Ressource, die Sie nicht erreichen dürfen, abgelehnt wird. Eine Anmeldung, die gelingt, während eine Ressource nie lädt, ist ein Teilergebnis, und die fehlende Hälfte ist meist Routing oder Autorisierung und nicht der Client. Legen Sie die getestete Kombination mit der Änderung ab, damit die nächste Person Belege statt eines Slogans erbt.