Cisco Secure Client Always-On: despliegue primero el perfil

Los ajustes del lado del equipo no pueden hacer que un portátil no registrado se comporte como un endpoint gestionado, y la mayoría de los despliegues de Always-On se atascan justo en esa brecha. Cisco Secure Client aplica la política mediante el perfil que reside en la máquina, así que la entrega de ese perfil forma parte del plan de aplicación y no es un detalle. Recorra los cinco pasos siguientes en orden y deténgase en el primero que no se cumpla, porque un paso posterior no puede compensar una carencia anterior.

Paso uno: decida si la regla empieza antes del inicio de sesión

Always-On establece el túnel después de que el usuario inicie sesión, y la documentación del fabricante dice claramente que no establece una conexión cuando nadie inicia sesión. Si su requisito es un túnel que exista antes de la pantalla de inicio de sesión de Windows, esta es la función equivocada y ningún ajuste del perfil lo cambia. Desplegar el perfil de antemano no convierte el comportamiento posterior al inicio de sesión en comportamiento previo.

Escriba el requisito como uno de cuatro comportamientos distintos y luego pruebe cada uno por separado. Una sola conexión correcta solo demuestra el caso habitual, y los otros tres son de donde vienen los tiques de soporte. Marque qué fila necesita realmente su requisito, porque un equipo que solo necesita el comportamiento posterior al inicio de sesión puede saltarse el debate del previo. La tabla es una lista de aceptación, no una lista de deseos.

Si el requisito es solo la segunda fila, el resto de esta página sigue aplicándose, pero la prueba de aceptación es más barata.

Paso dos: confirme que el perfil ya está en el endpoint

La aplicación lee un perfil local, así que la primera pregunta es si ese archivo existe antes de que el usuario se conecte. Un perfil descargado durante la primera conexión correcta se entrega demasiado tarde para una máquina que debe protegerse desde su primer inicio de sesión. Envíelo con el instalador o con la gestión de endpoints, y trate la presencia del archivo como una comprobación de compilación y no como una esperanza.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Las instalaciones más antiguas de AnyConnect guardan el mismo archivo en una carpeta con otro nombre, así que confirme la ruta para la versión de cliente que despliega en lugar de copiar una ruta de un manual antiguo. El servicio debe estar en ejecución y configurado para iniciarse automáticamente, porque un agente detenido es un endpoint sin aplicación, diga lo que diga el perfil.

Si falta el perfil, deténgase aquí. Arreglar la política de fallo o la lista de redes de confianza para una máquina sin perfil es trabajar en una ruta que nunca se ejecuta.

Paso tres: elija el comportamiento de fallo deliberadamente

Lo que ocurre cuando el túnel no puede levantarse es una decisión distinta de si el túnel se inicia automáticamente. La política de fallo de conexión decide si el endpoint puede usar internet mientras el establecimiento sigue fallando, y los dos ajustes se confunden a menudo porque ambos están cerca de las opciones de Always-On. Elija uno a propósito y anote el motivo.

Bloquear toda la conectividad suena estricto y genera su propia clase de incidentes: un usuario en una red donde la pasarela no es accesible no puede descargar la corrección que restablecería el servicio. Permitir el acceso a internet mantiene la máquina utilizable y debilita la garantía de que el tráfico está protegido. Cualquiera de las dos respuestas puede ser correcta, pero ninguna es un valor por defecto que deba descubrir durante una caída.

El comportamiento de reintento pertenece a la misma decisión. Un cliente que reintenta para siempre oculta una pasarela rota al monitoreo, mientras que un cliente que se rinde tras un intento parece roto al usuario. Decida cuánto tiempo debe seguir intentándolo el endpoint antes de que la política de fallo tome el control, y pruebe ese tiempo en lugar de suponerlo.

Paso cuatro: defina qué cuenta como de confianza

La detección de red de confianza usa los criterios del perfil del cliente, como dominios DNS configurados o servidores DNS de confianza, para decidir que el endpoint ya está en una red donde el túnel es innecesario. Esa lista es toda la política, así que una lista vacía o heredada hace que la función sea inerte o impredecible.

No la sustituya por una suposición sobre la categoría de red del firewall de Windows. Una máquina puede estar en una red etiquetada como dominio y seguir en un lugar en el que no confía, y una máquina con perfil público puede estar dentro de su propio edificio. Los criterios de detección deben describir sus redes directamente, no un sustituto de ellas.

Pruebe la transición en ambos sentidos, incluido el caso en que el endpoint pasa de una red de confianza a una que no lo es con una sesión abierta. La desconexión y la reconexión son eventos separados, y una política que solo gestiona el primero deja una ventana en la que el túnel está ausente.

Paso cinco: haga que la política del endpoint sea difícil de deshacer

La aplicación en el endpoint es tan fuerte como los propios controles del endpoint. Los derechos de administrador local permiten al usuario detener el servicio del agente, sustituir el perfil o desinstalar el cliente, y un directorio de perfil en el que los usuarios normales pueden escribir es una política que cualquiera puede editar. Ambos son problemas de gestión de endpoints que la cabecera del VPN no puede resolver por usted. Pregunte al equipo de escritorio cuál de esas dos condiciones se aplica antes de prometer la aplicación, y escriba la respuesta en el plan de despliegue.

Decida el nivel de bloqueo con la ruta de recuperación a la vista. Un perfil que impide al usuario llegar a internet y además le impide reparar el cliente convierte una llamada de soporte en una visita al sitio, así que mantenga una ruta de recuperación documentada que no dependa de que el túnel esté activo.

Mantenga activada la validación del certificado de la pasarela y distribuya el perfil solo por un canal en el que confíe. Un cliente bloqueado que acepta un perfil de una fuente inesperada ha movido la frontera de confianza en lugar de aplicarla.