Cisco Secure Client Always-On: ابتدا نمایه را مستقر کنید
Cisco Secure Client Always-On به نمایه نقطه پایانی پیش از اعمال نیاز دارد: دامنه پیش از ورود، تحویل، خط‌مشی خطا و شبکه‌های مورد اعتماد را بررسی کنید.
تنظیمات سمت دستگاه نمی‌توانند باعث شوند یک لپ‌تاپ ثبت‌نشده مانند یک نقطه پایانی مدیریت‌شده رفتار کند، و بیشتر استقرارهای Always-On دقیقاً در همین شکاف متوقف می‌شوند. Cisco Secure Client سیاست را از طریق نمایه‌ای که روی ماشین قرار دارد اعمال می‌کند، بنابراین تحویل آن نمایه بخشی از برنامه اعمال است و نه جزئیاتی در آن. پنج مرحله زیر را به ترتیب انجام دهید و در اولین مرحله‌ای که برقرار نیست توقف کنید، زیرا مرحله بعدی نمی‌تواند شکاف قبلی را جبران کند.
مرحله یک: تعیین کنید که آیا قاعده پیش از ورود آغاز می‌شود
Always-On تونل را پس از ورود کاربر برقرار می‌کند، و مستندات سازنده صریحاً می‌گوید وقتی هیچ‌کس وارد نمی‌شود اتصالی برقرار نمی‌کند. اگر نیاز شما تونلی است که پیش از صفحه ورود Windows وجود داشته باشد، این ویژگی اشتباه است و هیچ میزان تنظیم نمایه آن را تغییر نمی‌دهد. استقرار پیشاپیش نمایه، رفتار پس از ورود را به رفتار پیش از ورود تبدیل نمی‌کند.
نیاز را به‌عنوان یکی از چهار رفتار متمایز بنویسید، سپس هر یک را جداگانه آزمون کنید. یک اتصال موفق تنها حالت عادی را نشان می‌دهد، و سه مورد دیگر منشأ تیکت‌های پشتیبانی هستند. مشخص کنید نیاز شما واقعاً کدام سطر را می‌خواهد، زیرا تیمی که فقط به رفتار پس از ورود نیاز دارد می‌تواند بحث پیش از ورود را نادیده بگیرد. جدول یک فهرست پذیرش است، نه فهرست آرزو.
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
اگر نیاز تنها سطر دوم باشد، بقیه این صفحه همچنان معتبر است، اما آزمون پذیرش کم‌هزینه‌تر است.
مرحله دو: تأیید کنید که نمایه از قبل روی نقطه پایانی است
اعمال، نمایه محلی را می‌خواند، بنابراین اولین پرسش این است که آیا آن فایل پیش از اتصال کاربر وجود دارد. نمایه‌ای که در نخستین اتصال موفق دانلود می‌شود برای ماشینی که باید از نخستین ورود محافظت شود، слишком دیر تحویل داده می‌شود. آن را همراه نصب‌کننده یا همراه مدیریت نقاط پایانی ارسال کنید و حضور فایل را یک بررسی ساخت بدانید، نه یک امید.
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnنصب‌های قدیمی‌تر AnyConnect همان فایل را در پوشه‌ای با نام متفاوت نگه می‌دارند، پس مسیر مربوط به نسخه کلاینتی را که مستقر می‌کنید تأیید کنید، نه اینکه مسیری را از یک دستورکار قدیمی کپی کنید. سرویس باید در حال اجرا باشد و روی شروع خودکار تنظیم شده باشد، زیرا عامل متوقف‌شده نقطه پایانی بدون اعمال است، هر چه نمایه بگوید.
اگر نمایه وجود ندارد، اینجا توقف کنید. اصلاح خط‌مشی خطا یا فهرست شبکه‌های مورد اعتماد برای ماشینی که نمایه ندارد، کار روی مسیری است که هرگز اجرا نمی‌شود.
مرحله سه: رفتار خطا را آگاهانه انتخاب کنید
اینکه وقتی تونل بالا نمی‌آید چه می‌شود، تصمیمی جدا از این است که آیا تونل به‌طور خودکار شروع می‌شود. خط‌مشی خطای اتصال تعیین می‌کند آیا نقطه پایانی می‌تواند در حالی که برقراری همچنان ناموفق است از اینترنت استفاده کند، و این دو تنظیم اغلب اشتباه گرفته می‌شوند چون هر دو نزدیک گزینه‌های Always-On هستند. یکی را عمداً انتخاب کنید و دلیل را بنویسید.
مسدود کردن همه اتصال‌ها سختگیرانه به نظر می‌رسد و کلاس حادثه خودش را می‌سازد: کاربری در شبکه‌ای که دروازه در دسترس نیست نمی‌تواند اصلاحی را دانلود کند که سرویس را بازمی‌گرداند. اجازه دسترسی به اینترنت ماشین را قابل استفاده نگه می‌دارد و تضمین حفاظت از ترافیک را تضعیف می‌کند. هر یک از دو پاسخ می‌تواند درست باشد، اما هیچ‌کدام مقدار پیش‌فرضی نیست که باید هنگام قطعی کشف کنید.
رفتار تلاش مجدد به همان تصمیم تعلق دارد. کلاینتی که تا ابد تلاش می‌کند دروازه خراب را از دید پایش پنهان می‌کند، در حالی که کلاینتی که پس از یک تلاش رها می‌کند از دید کاربر خراب به نظر می‌رسد. تعیین کنید نقطه پایانی چه مدت باید تلاش کند تا خط‌مشی خطا کنترل را به دست بگیرد، و آن زمان‌بندی را آزمون کنید نه اینکه آن را فرض کنید.
مرحله چهار: تعریف کنید چه چیزی مورد اعتماد است
تشخیص شبکه مورد اعتماد از معیارهای نمایه کلاینت، مانند دامنه‌های DNS پیکربندی‌شده یا سرورهای DNS مورد اعتماد، استفاده می‌کند تا تشخیص دهد نقطه پایانی از قبل در شبکه‌ای است که تونل در آن لازم نیست. این فهرست تمام سیاست است، بنابراین فهرست خالی یا ارثی ویژگی را یا بی‌اثر می‌کند یا غیرقابل پیش‌بینی.
آن را با فرضی درباره دسته شبکه در دیوار آتش Windows جایگزین نکنید. یک ماشین می‌تواند در شبکه‌ای با برچسب دامنه باشد و همچنان در جایی باشد که به آن اعتماد ندارید، و ماشینی با نمایه عمومی می‌تواند داخل ساختمان خودتان باشد. معیارهای تشخیص باید شبکه‌های شما را مستقیم توصیف کنند، نه جایگزینی برای آن‌ها.
گذار را در هر دو جهت آزمون کنید، از جمله حالتی که نقطه پایانی در حالی که نشست باز است از شبکه مورد اعتماد به شبکه غیرقابل اعتماد منتقل می‌شود. قطع اتصال و اتصال مجدد رویدادهای جداگانه‌ای هستند، و سیاستی که تنها اولی را مدیریت می‌کند پنجره‌ای باقی می‌گذارد که تونل در آن غایب است.
مرحله پنج: سیاست نقطه پایانی را سخت برای لغو کردن کنید
اعمال روی نقطه پایانی تنها به اندازه کنترل‌های خود نقطه پایانی قوی است. حقوق مدیر محلی به کاربر اجازه می‌دهد سرویس عامل را متوقف کند، نمایه را جایگزین کند یا کلاینت را حذف کند، و پوشه نمایه‌ای که کاربران معمولی می‌توانند در آن بنویسند سیاستی است که هر کسی می‌تواند ویرایش کند. هر دو مسائل مدیریت نقاط پایانی هستند که سرور اصلی VPN نمی‌تواند برایتان حل کند. پیش از وعده اعمال، از تیم رومیزی بپرسید کدام یک از این دو شرط برقرار است و پاسخ را در برنامه استقرار بنویسید.
سطح قفل را با در نظر گرفتن مسیر بازیابی تعیین کنید. نمایه‌ای که کاربر را از رسیدن به اینترنت باز می‌دارد و همچنین او را از تعمیر کلاینت مانع می‌شود، یک تماس پشتیبانی را به بازدید حضوری تبدیل می‌کند، پس مسیر بازیابی مستندی نگه دارید که به بالا بودن تونل وابسته نباشد.
اعتبارسنجی گواهی دروازه را روشن نگه دارید و نمایه را تنها از کانالی توزیع کنید که به آن اعتماد دارید. کلاینت قفل‌شده‌ای که نمایه‌ای را از منبعی غیرمنتظره می‌پذیرد، مرز اعتماد را جابه‌جا کرده است نه اینکه آن را اعمال کرده باشد.