Cisco Secure Client Always-On: juuruta profiil kõigepealt

Seadme poolel tehtud seaded ei saa panna registreerimata sülearvutit käituma hallatava lõpp-punktina ja enamik Always-On-i kasutuselevõtte jääb just selle vahe taha kinni. Cisco Secure Client rakendab poliitikat masinas asuva profiili kaudu, seega on selle profiili tarnimine jõustamisplaani osa, mitte selle detail. Käi allolevad viis sammu järjekorras läbi ja peatu esimesel, mis ei pea, sest hilisem samm ei suuda varasemat puudujääki korvata.

Esimene samm: otsusta, kas reegel algab enne sisselogimist

Always-On loob tunneli pärast seda, kui kasutaja on sisse loginud, ja tootja dokumentatsioon ütleb selgelt, et see ei loo ühendust, kui keegi ei logi sisse. Kui sinu nõue on tunnel, mis eksisteerib enne Windowsi sisselogimisekraani, on see vale funktsioon ja ükski profiili häälestus seda ei muuda. Profiili eelnev juurutamine ei muuda sisselogimisjärgset käitumist sisselogimiseelseks.

Kirjuta nõue ühe neljast erinevast käitumisest ja seejärel testi igaüht eraldi. Üks edukas ühendus näitab ainult tavalist juhtumit ja ülejäänud kolm on kohad, kust tugipiletid tulevad. Märgi, millist rida sinu nõue tegelikult vajab, sest meeskond, kes vajab ainult sisselogimisjärgset käitumist, võib sisselogimiseelse vaidluse vahele jätta. Tabel on vastuvõtunimekiri, mitte soovinimekiri.

Kui nõue on ainult teine rida, kehtib ülejäänud leht endiselt, kuid vastuvõtutest on odavam.

Teine samm: kinnita, et profiil on juba lõpp-punktis

Jõustamine loeb kohalikku profiili, seega on esimene küsimus, kas see fail on olemas enne, kui kasutaja üldse ühendub. Esimese eduka ühenduse ajal alla laaditud profiil tarnitakse masinale, mida tuleb kaitsta juba esimesest sisselogimisest, liiga hilja. Saada see paigaldajaga või lõpp-punktide haldusega ja käsitle faili olemasolu ehituse kontrollina, mitte lootusena.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Vanemad AnyConnecti paigaldused hoiavad sama faili teise nimega kaustas, seega kontrolli tee seda kliendi versiooni jaoks, mida juurutad, selle asemel et kopeerida tee vanast juhendist. Teenus peab töötama ja olema seatud automaatselt käivituma, sest peatatud agent on jõustamata lõpp-punkt, ükskõik mida profiil ütleb.

Kui profiil puudub, peatu siin. Tõrkepoliitika või usaldusväärsete võrkude nimekirja parandamine masinal, millel pole profiili, on töö teel, mida kunagi ei täideta.

Kolmas samm: vali tõrkekäitumine teadlikult

See, mis juhtub, kui tunnel ei tõuse, on omaette otsus sellest, kas tunnel käivitub automaatselt. Ühenduse tõrkepoliitika otsustab, kas lõpp-punkt tohib interneti kasutada, kui ühenduse loomine jätkuvalt ebaõnnestub, ja neid kahte seadet aetakse sageli segamini, sest mõlemad asuvad Always-On-i valikute lähedal. Vali üks meelega ja kirjuta põhjus üles.

Kogu ühenduvuse blokeerimine kõlab rangelt ja tekitab omaette intsidentide klassi: kasutaja võrgus, kus lüüs pole kättesaadav, ei saa alla laadida parandust, mis teenuse taastaks. Interneti juurdepääsu lubamine hoiab masina kasutatavana ja nõrgendab tagatist, et liiklus on kaitstud. Mõlemad vastused võivad olla õiged, kuid kumbki ei ole vaikeväärtus, mida peaksid katkestuse ajal avastama.

Korduskatse käitumine kuulub sama otsuse juurde. Klient, kes proovib igavesti, varjab katkist lüüsi jälgimise eest, samas kui klient, kes ühe katse järel alla annab, näib kasutajale katkine. Otsusta, kui kaua peaks lõpp-punkt proovima enne, kui tõrkepoliitika üle võtab, ja testi seda aega selle asemel, et seda eeldada.

Neljas samm: määratle, mida loetakse usaldusväärseks

Usaldusväärse võrgu tuvastamine kasutab kliendi profiilis olevaid kriteeriume, näiteks seadistatud DNS-domeene või usaldusväärseid DNS-serverid, et otsustada, et lõpp-punkt on juba võrgus, kus tunnel pole vajalik. See nimekiri on kogu poliitika, seega tühi või päritud nimekiri muudab funktsiooni kas mõjutuks või ettearvamatuks.

Ära asenda seda oletusega Windowsi tulemüüri võrgukategooria kohta. Masin võib olla domeeniga märgitud võrgus ja olla ikkagi kohas, mida sa ei usalda, ning avaliku profiiliga masin võib olla sinu enda hoone sees. Tuvastamiskriteeriumid peaksid kirjeldama sinu võrke otseselt, mitte nende asendajat.

Testi üleminekut mõlemas suunas, sealhulgas juhtumit, kus lõpp-punkt liigub usaldusväärsest võrgust ebausaldusväärsesse, kui seanss on avatud. Katkestamine ja uuesti ühendamine on eraldi sündmused ning poliitika, mis käsitleb ainult esimest, jätab akna, kus tunnel puudub.

Viies samm: tee lõpp-punkti poliitika raskesti tagasipööratavaks

Jõustamine lõpp-punktis on ainult nii tugev kui lõpp-punkti enda kontrollid. Kohalikud administraatoriõigused lubavad kasutajal agentteenuse peatada, profiili asendada või kliendi desinstallida, ja profiilikaust, kuhu tavalised kasutajad saavad kirjutada, on poliitika, mida igaüks saab muuta. Mõlemad on lõpp-punktide halduse probleemid, mida VPN-i pea ei saa sinu eest lahendada. Küsi töölauameeskonnalt, milline neist kahest tingimusest kehtib, enne kui jõustamist lubad, ja kirjuta vastus juurutuskavasse.

Otsusta lukustustase, pidades silmas taasteteed. Profiil, mis blokeerib kasutajal interneti ja takistab tal ka klienti parandada, muudab tugikõne kohapealseks visiidiks, seega hoia dokumenteeritud taasteed, mis ei sõltu sellest, kas tunnel töötab.

Hoia lüüsi sertifikaadi valideerimine sees ja levita profiili ainult kanali kaudu, mida usaldad. Lukustatud klient, mis võtab profiili vastu ootamatust allikast, on usalduspiiri pigem nihutanud kui jõustanud.