Cisco Secure Client Always-On: unue dislokigu la profilon

Agordoj ĉe la aparata flanko ne povas igi neregistritan tekkomputilon konduti kiel administrita finpunkto, kaj la plej multaj Always-On enkondukoj haltas ĝuste en tiu manko. Cisco Secure Client plenumas la politikon per la profilo, kiu kuŝas sur la maŝino, do la liverado de tiu profilo estas parto de la deviga plano, ne detaleto. Trapasu la kvin paŝojn sube laŭ ordo kaj haltu ĉe la unua, kiu ne validas, ĉar posta paŝo ne povas kompensi pli fruan mankon.

Paŝo unu: decidu, ĉu la regulo komenciĝas antaŭ ensaluto

Always-On starigas la tunelon post kiam la uzanto ensalutas, kaj la dokumentaro de la vendisto klare diras, ke ĝi ne starigas konekton, kiam neniu ensalutas. Se via postulo estas tunelo, kiu ekzistas antaŭ la Windows-ensaluta ekrano, tio estas la malĝusta funkcio kaj neniu profila agordado tion ŝanĝas. Antaŭa dislokigo de la profilo ne transformas konduton post ensaluto en konduton antaŭ ensaluto.

Skribu la postulon kiel unu el kvar apartaj kondutoj, poste testu ĉiun aparte. Unu sukcesa konekto montras nur la ordinaran kazon, kaj la aliaj tri estas la fonto de la subtenaj biletoj. Marku, kiun vicon via postulo efektive bezonas, ĉar teamo, kiu bezonas nur konduton post ensaluto, povas preterlasi la argumenton pri ensaluto antaŭe. La tabelo estas akceptlisto, ne dezirolisto.

Se la postulo estas nur la dua vico, la resto de ĉi tiu paĝo ankoraŭ validas, sed la akcepta testo estas pli malmultekosta.

Paŝo du: konfirmu, ke la profilo jam estas sur la finpunkto

La devigo legas lokan profilon, do la unua demando estas, ĉu tiu dosiero ekzistas antaŭ ol la uzanto entute konektiĝas. Profilo elŝutita dum la unua sukcesa konekto liveriĝas tro malfrue por maŝino, kiu devas esti protektata de sia unua ensaluto. Sendu ĝin kun la instalilo aŭ kun finpunkta administrado, kaj traktu la ĉeeston de la dosiero kiel konstrukontrolon anstataŭ esperon.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Pli malnovaj AnyConnect-instalaĵoj tenas la saman dosieron en alie nomita dosierujo, do kontrolu la vojon por la klienta versio, kiun vi dislokigas, anstataŭ kopii vojon el malnova manlibro. La servo devas funkcii kaj esti agordita por aŭtomata starto, ĉar haltigita agento estas finpunkto sen devigo, kion ajn diras la profilo.

Se la profilo mankas, haltu ĉi tie. Ripari la malsukcesan politikon aŭ la liston de fidataj retoj por maŝino sen profilo estas laboro sur vojo, kiu neniam plenumiĝas.

Paŝo tri: elektu la malsukcesan konduton konscie

Kio okazas, kiam la tunelo ne povas leviĝi, estas aparta decido disde ĉu la tunelo startas aŭtomate. La konekta malsukcesa politiko decidas, ĉu la finpunkto rajtas uzi la interreton dum la starigado daŭre malsukcesas, kaj la du agordoj ofte konfuziĝas ĉar ambaŭ troviĝas proksime al la Always-On-opcioj. Elektu unu intence kaj skribu la kialon.

Blokado de la tuta konektebleco sonas severa kaj kreas sian propran klason de incidentoj: uzanto en reto, kie la enirejo estas neatingebla, ne povas elŝuti la riparon, kiu restarigus la servon. Permeso de interreta aliro tenas la maŝinon uzebla kaj malfortigas la garantion, ke la trafiko estas protektata. Ambaŭ respondoj povas esti ĝustaj, sed neniu estas apriora valoro, kiun vi devus malkovri dum paneo.

La konduto de reprovo apartenas al la sama decido. Kliento, kiu reprovas senfine, kaŝas rompitan enirejon antaŭ la monitorado, dum kliento, kiu rezignas post unu provo, aspektas rompita al la uzanto. Decidu, kiom longe la finpunkto devas daŭre provi antaŭ ol la malsukcesa politiko transprenos, kaj testu tiun tempon anstataŭ supozi ĝin.

Paŝo kvar: difinu, kio validas kiel fidata

La detekto de fidinda reto uzas la kriteriojn en la klienta profilo, ekzemple agorditajn DNS-domajnojn aŭ fidatajn DNS-servilojn, por decidi, ke la finpunkto jam estas en reto, kie la tunelo ne necesas. Tiu listo estas la tuta politiko, do malplena aŭ heredita listo faras la funkcion aŭ senefika aŭ neantaŭvidebla.

Ne anstataŭigu ĝin per supozo pri la reta kategorio de la Windows-fajroŝirmilo. Maŝino povas esti en domajne markita reto kaj tamen troviĝi ie, al kio vi ne fidas, kaj maŝino kun publika profilo povas esti ene de via propra konstruaĵo. La detektaj kriterioj devus priskribi viajn retojn rekte, ne ilian anstataŭanton.

Testu la transiron en ambaŭ direktojn, inkluzive la kazon, kiam la finpunkto moviĝas de fidata al nefidinda reto dum sesio estas malfermita. La malkonekto kaj la rekonekto estas apartaj eventoj, kaj politiko, kiu traktas nur la unuan, lasas fenestron, kie la tunelo mankas.

Paŝo kvin: malfaciligu la malfaron de la finpunkta politiko

La devigo sur la finpunkto estas same forta kiel la propraj kontroloj de la finpunkto. Lokaj administraj rajtoj permesas al uzanto haltigi la agentan servon, anstataŭigi la profilon aŭ malinstali la klienton, kaj profila dosierujo, en kiun ordinaraj uzantoj povas skribi, estas politiko, kiun iu ajn povas redakti. Ambaŭ estas problemoj de finpunkta administrado, kiujn la VPN-kapo ne povas solvi por vi. Demandu la labortablan teamon, kiu el tiuj du kondiĉoj validas, antaŭ ol promesi devigon, kaj skribu la respondon en la enkondukan planon.

Decidu la ŝlosan nivelon konsiderante la reakiran vojon. Profilo, kiu blokas al la uzanto la aliron al la interreto kaj ankaŭ malhelpas ripari la klienton, transformas subtenan alvokon en viziton surloke, do tenu dokumentitan reakiran vojon, kiu ne dependas de tio, ke la tunelo funkcias.

Tenu la validigon de la enireja atestilo ŝaltita, kaj disdonu la profilon nur per kanalo, kiun vi fidas. Ŝlosita kliento, kiu akceptas profilon el neatendita fonto, movis la fidlimon anstataŭ plenumi ĝin.