Cisco Secure Client Always-On: αναπτύξτε πρώτα το προφίλ

Οι ρυθμίσεις στην πλευρά της συσκευής δεν μπορούν να κάνουν έναν μη εγγεγραμμένο φορητό υπολογιστή να συμπεριφέρεται σαν διαχειριζόμενο τελικό σημείο, και οι περισσότερες αναπτύξεις Always-On κολλάνε ακριβώς σε αυτό το κενό. Το Cisco Secure Client επιβάλλει την πολιτική μέσω του προφίλ που βρίσκεται στο μηχάνημα, άρα η παράδοση αυτού του προφίλ είναι μέρος του σχεδίου επιβολής και όχι λεπτομέρειά του. Δουλέψτε τα πέντε βήματα παρακάτω με τη σειρά και σταματήστε στο πρώτο που δεν στέκει, γιατί ένα μεταγενέστερο βήμα δεν μπορεί να αναπληρώσει ένα προηγούμενο κενό.

Βήμα πρώτο: αποφασίστε αν ο κανόνας ξεκινά πριν από τη σύνδεση

Το Always-On δημιουργεί τη σήραγγα αφού ο χρήστης συνδεθεί, και η τεκμηρίωση του κατασκευαστή λέει καθαρά ότι δεν δημιουργεί σύνδεση όταν δεν συνδέεται κανείς. Αν η απαίτησή σας είναι σήραγγα που υπάρχει πριν από την οθόνη σύνδεσης των Windows, αυτή είναι η λάθος λειτουργία και καμία ρύθμιση προφίλ δεν το αλλάζει. Η εκ των προτέρων ανάπτυξη του προφίλ δεν μετατρέπει τη συμπεριφορά μετά τη σύνδεση σε συμπεριφορά πριν από αυτήν.

Γράψτε την απαίτηση ως μία από τέσσερις διακριτές συμπεριφορές και μετά δοκιμάστε την καθεμία χωριστά. Μία επιτυχημένη σύνδεση δείχνει μόνο τη συνηθισμένη περίπτωση, και οι άλλες τρεις είναι από όπου προέρχονται τα δελτία υποστήριξης. Σημειώστε ποια γραμμή χρειάζεται πραγματικά η απαίτησή σας, γιατί μια ομάδα που χρειάζεται μόνο συμπεριφορά μετά τη σύνδεση μπορεί να παραλείψει το επιχείρημα της σύνδεσης πριν. Ο πίνακας είναι λίστα αποδοχής, όχι λίστα επιθυμιών.

Αν η απαίτηση είναι μόνο η δεύτερη γραμμή, το υπόλοιπο της σελίδας εξακολουθεί να ισχύει, αλλά η δοκιμή αποδοχής είναι φθηνότερη.

Βήμα δεύτερο: επιβεβαιώστε ότι το προφίλ υπάρχει ήδη στο τελικό σημείο

Η επιβολή διαβάζει τοπικό προφίλ, άρα το πρώτο ερώτημα είναι αν αυτό το αρχείο υπάρχει πριν συνδεθεί καν ο χρήστης. Ένα προφίλ που κατεβαίνει κατά την πρώτη επιτυχημένη σύνδεση παραδίδεται πολύ αργά για ένα μηχάνημα που πρέπει να προστατεύεται από την πρώτη σύνδεση. Διανείμετέ το με τον εγκαταστάτη ή με τη διαχείριση τελικών σημείων, και αντιμετωπίστε την παρουσία του αρχείου ως έλεγχο κατά την κατασκευή και όχι ως ελπίδα.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Οι παλαιότερες εγκαταστάσεις AnyConnect κρατούν το ίδιο αρχείο σε φάκελο με άλλο όνομα, οπότε επιβεβαιώστε τη διαδρομή για την έκδοση πελάτη που αναπτύσσετε αντί να αντιγράφετε διαδρομή από παλιό εγχειρίδιο. Η υπηρεσία πρέπει να τρέχει και να είναι ρυθμισμένη για αυτόματη εκκίνηση, γιατί ένας σταματημένος παράγοντας είναι τελικό σημείο χωρίς επιβολή, ό,τι κι αν λέει το προφίλ.

Αν λείπει το προφίλ, σταματήστε εδώ. Το να διορθώσετε την πολιτική αστοχίας ή τη λίστα αξιόπιστων δικτύων για μηχάνημα χωρίς προφίλ είναι δουλειά σε διαδρομή που δεν εκτελείται ποτέ.

Βήμα τρίτο: επιλέξτε σκόπιμα τη συμπεριφορά αστοχίας

Το τι συμβαίνει όταν η σήραγγα δεν μπορεί να σηκωθεί είναι απόφαση ξεχωριστή από το αν η σήραγγα ξεκινά αυτόματα. Η πολιτική αστοχίας σύνδεσης αποφασίζει αν το τελικό σημείο μπορεί να χρησιμοποιεί το διαδίκτυο όσο η δημιουργία συνεχίζει να αποτυγχάνει, και οι δύο ρυθμίσεις συγχέονται συχνά επειδή και οι δύο βρίσκονται κοντά στις επιλογές Always-On. Διαλέξτε μία επίτηδες και γράψτε τον λόγο.

Ο αποκλεισμός όλης της συνδεσιμότητας ακούγεται αυστηρός και παράγει τη δική του κατηγορία περιστατικών: ένας χρήστης σε δίκτυο όπου η πύλη δεν είναι προσβάσιμη δεν μπορεί να κατεβάσει τη διόρθωση που θα αποκαθιστούσε την υπηρεσία. Η άδεια πρόσβασης στο διαδίκτυο κρατά το μηχάνημα χρησιμοποιήσιμο και αποδυναμώνει την εγγύηση ότι η κίνηση προστατεύεται. Οποιαδήποτε απάντηση μπορεί να είναι σωστή, αλλά καμία δεν είναι προεπιλογή που πρέπει να ανακαλύψετε κατά τη διάρκεια βλάβης.

Η συμπεριφορά επανάληψης ανήκει στην ίδια απόφαση. Ένας πελάτης που επαναλαμβάνει για πάντα κρύβει μια χαλασμένη πύλη από την παρακολούθηση, ενώ ένας πελάτης που τα παρατά μετά από μία προσπάθεια φαίνεται χαλασμένος στον χρήστη. Αποφασίστε πόσο καιρό πρέπει να συνεχίσει να προσπαθεί το τελικό σημείο πριν αναλάβει η πολιτική αστοχίας, και δοκιμάστε αυτόν τον χρόνο αντί να τον υποθέσετε.

Βήμα τέταρτο: ορίστε τι μετρά ως αξιόπιστο

Η ανίχνευση αξιόπιστου δικτύου χρησιμοποιεί τα κριτήρια στο προφίλ του πελάτη, όπως ρυθμισμένα domains DNS ή αξιόπιστους διακομιστές DNS, για να αποφασίσει ότι το τελικό σημείο βρίσκεται ήδη σε δίκτυο όπου η σήραγγα δεν χρειάζεται. Αυτή η λίστα είναι ολόκληρη η πολιτική, άρα μια κενή ή κληρονομημένη λίστα κάνει τη λειτουργία είτε ανενεργή είτε απρόβλεπτη.

Μην την αντικαταστήσετε με υπόθεση για την κατηγορία δικτύου του τείχους προστασίας των Windows. Ένα μηχάνημα μπορεί να βρίσκεται σε δίκτυο με ετικέτα τομέα και παρ' όλα αυτά σε μέρος που δεν εμπιστεύεστε, και ένα μηχάνημα με δημόσιο προφίλ μπορεί να είναι μέσα στο δικό σας κτίριο. Τα κριτήρια ανίχνευσης πρέπει να περιγράφουν τα δίκτυά σας άμεσα, όχι ένα υποκατάστατό τους.

Δοκιμάστε τη μετάβαση και προς τις δύο κατευθύνσεις, συμπεριλαμβανομένης της περίπτωσης όπου το τελικό σημείο μετακινείται από αξιόπιστο σε μη αξιόπιστο δίκτυο ενώ μια συνεδρία είναι ανοιχτή. Η αποσύνδεση και η επανασύνδεση είναι ξεχωριστά γεγονότα, και μια πολιτική που χειρίζεται μόνο το πρώτο αφήνει ένα παράθυρο όπου η σήραγγα λείπει.

Βήμα πέμπτο: κάντε την πολιτική του τελικού σημείου δύσκολο να αναιρεθεί

Η επιβολή στο τελικό σημείο είναι τόσο ισχυρή όσο τα δικά του μέτρα ελέγχου. Τα δικαιώματα τοπικού διαχειριστή επιτρέπουν στον χρήστη να σταματήσει την υπηρεσία του παράγοντα, να αντικαταστήσει το προφίλ ή να απεγκαταστήσει τον πελάτη, και ένας κατάλογος προφίλ στον οποίο μπορούν να γράψουν απλοί χρήστες είναι πολιτική που μπορεί να επεξεργαστεί ο καθένας. Και τα δύο είναι προβλήματα διαχείρισης τελικών σημείων που το κεφαλικό VPN δεν μπορεί να λύσει για εσάς. Ρωτήστε την ομάδα επιφάνειας εργασίας ποια από τις δύο συνθήκες ισχύει πριν υποσχεθείτε επιβολή, και γράψτε την απάντηση στο σχέδιο ανάπτυξης.

Αποφασίστε το επίπεδο κλειδώματος με τη διαδρομή ανάκτησης κατά νου. Ένα προφίλ που εμποδίζει τον χρήστη να φτάσει στο διαδίκτυο και επίσης τον εμποδίζει να επισκευάσει τον πελάτη μετατρέπει μια κλήση υποστήριξης σε επίσκεψη στον χώρο, οπότε κρατήστε μια τεκμηριωμένη διαδρομή ανάκτησης που δεν εξαρτάται από το αν η σήραγγα είναι ενεργή.

Κρατήστε ενεργή την επικύρωση του πιστοποιητικού της πύλης και διανείμετε το προφίλ μόνο μέσω καναλιού που εμπιστεύεστε. Ένας κλειδωμένος πελάτης που δέχεται προφίλ από απρόσμενη πηγή έχει μετακινήσει τα όρια εμπιστοσύνης αντί να τα επιβάλει.