Cisco Secure Client Always-On: ota profiili käyttöön ensin

Laitteen puolen asetukset eivät voi saada rekisteröimätöntä kannettavaa käyttäytymään kuin hallittu päätepiste, ja useimmat Always-On-käyttöönotot juuttuvat juuri tuohon aukkoon. Cisco Secure Client valvoo käytäntöä koneella olevan profiilin kautta, joten kyseisen profiilin toimitus on osa valvontasuunnitelmaa eikä sen yksityiskohta. Käy alla olevat viisi vaihetta järjestyksessä läpi ja pysähdy ensimmäiseen, joka ei pidä, koska myöhempi vaihe ei voi korvata aiempaa aukkoa.

Vaihe yksi: päätä, alkaako sääntö ennen kirjautumista

Always-On muodostaa tunnelin sen jälkeen, kun käyttäjä kirjautuu, ja toimittajan dokumentaatio sanoo suoraan, ettei se muodosta yhteyttä, kun kukaan ei kirjaudu. Jos vaatimuksesi on tunneli, joka on olemassa ennen Windowsin kirjautumisnäyttöä, tämä on väärä ominaisuus eikä mikään profiilin säätö muuta sitä. Profiilin ennakkoasennus ei muuta kirjautumisen jälkeistä käytöstä kirjautumista edeltäväksi.

Kirjoita vaatimus yhdeksi neljästä erillisestä käyttäytymisestä ja testaa sitten jokainen erikseen. Yksi onnistunut yhteys osoittaa vain tavanomaisen tapauksen, ja kolme muuta ovat tukipyyntöjen lähde. Merkitse, minkä rivin vaatimuksesi todella tarvitsee, koska tiimi, joka tarvitsee vain kirjautumisen jälkeistä käyttäytymistä, voi ohittaa kirjautumista edeltävän väittelyn. Taulukko on hyväksymisluettelo, ei toivelista.

Jos vaatimus on vain toinen rivi, tämän sivun loppu pätee edelleen, mutta hyväksymistesti on halvempi.

Vaihe kaksi: varmista, että profiili on jo päätepisteessä

Valvonta lukee paikallisen profiilin, joten ensimmäinen kysymys on, onko tiedosto olemassa ennen kuin käyttäjä edes yhdistää. Ensimmäisen onnistuneen yhteyden aikana ladattu profiili toimitetaan liian myöhään koneelle, joka on suojattava ensimmäisestä kirjautumisesta lähtien. Toimita se asennusohjelman tai päätepisteiden hallinnan mukana ja kohtele tiedoston olemassaoloa rakennuksen tarkistuksena toivon sijaan.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Vanhemmat AnyConnect-asennukset pitävät samaa tiedostoa eri nimisessä kansiossa, joten varmista polku käyttöön ottamallesi asiakasversiolle sen sijaan, että kopioit polun vanhasta ohjeesta. Palvelun on oltava käynnissä ja asetettu käynnistymään automaattisesti, koska pysäytetty agentti on päätepiste ilman valvontaa, mitä profiili sanoo tahansa.

Jos profiili puuttuu, pysähdy tähän. Virhetilan käytännön tai luotettujen verkkojen luettelon korjaaminen koneelle, jolla ei ole profiilia, on työtä polulla, jota ei koskaan suoriteta.

Vaihe kolme: valitse virhetila tarkoituksella

Se, mitä tapahtuu, kun tunneli ei nouse, on erillinen päätös siitä, käynnistyykö tunneli automaattisesti. Yhteysvirheen käytäntö päättää, saako päätepiste käyttää internetiä, kun muodostus epäonnistuu edelleen, ja nämä kaksi asetusta sekoitetaan usein, koska molemmat ovat Always-On-asetusten lähellä. Valitse toinen tarkoituksella ja kirjoita syy muistiin.

Kaiken yhteyden estäminen kuulostaa tiukalta ja tuottaa oman tapahtumaluokkansa: käyttäjä verkossa, jossa yhdyskäytävä ei ole tavoitettavissa, ei voi ladata korjausta, joka palauttaisi palvelun. Internet-yhteyden salliminen pitää koneen käyttökelpoisena ja heikentää takeen siitä, että liikenne on suojattu. Kumpi tahansa vastaus voi olla oikea, mutta kumpikaan ei ole oletusarvo, joka sinun pitäisi löytää keskeytyksen aikana.

Uudelleenyrityskäyttäytyminen kuuluu samaan päätökseen. Asiakas, joka yrittää ikuisesti, kätkee rikkinäisen yhdyskäytävän valvonnalta, kun taas asiakas, joka luovuttaa yhden yrityksen jälkeen, näyttää käyttäjälle rikkinäiseltä. Päätä, kuinka kauan päätepisteen pitäisi jatkaa yrittämistä ennen kuin virhetilan käytäntö ottaa vallan, ja testaa tuo ajoitus olettamisen sijaan.

Vaihe neljä: määrittele, mikä lasketaan luotetuksi

Luotetun verkon tunnistus käyttää asiakasprofiilin kriteerejä, kuten määritettyjä DNS-verkkotunnuksia tai luotettuja DNS-palvelimia, päättääkseen, että päätepiste on jo verkossa, jossa tunnelia ei tarvita. Tämä luettelo on koko käytäntö, joten tyhjä tai peritty luettelo tekee ominaisuudesta joko toimimattoman tai arvaamattoman.

Älä korvaa sitä oletuksella Windowsin palomuurin verkkoluokasta. Kone voi olla toimialueella merkityssä verkossa ja silti paikassa, johon et luota, ja julkisella profiililla oleva kone voi olla oman rakennuksesi sisällä. Tunnistuskriteerien pitäisi kuvata verkkojasi suoraan, ei niiden sijasta.

Testaa siirtymä molempiin suuntiin, mukaan lukien tapaus, jossa päätepiste siirtyy luotetusta verkosta ei-luotettuun istunnon ollessa auki. Katkaisu ja uudelleenyhdistäminen ovat erillisiä tapahtumia, ja käytäntö, joka käsittelee vain ensimmäisen, jättää ikkunan, jossa tunneli puuttuu.

Vaihe viisi: tee päätepisteen käytännöstä vaikeasti peruttava

Valvonta päätepisteessä on vain niin vahvaa kuin päätepisteen omat hallinnat. Paikalliset järjestelmänvalvojan oikeudet antavat käyttäjän pysäyttää agenttipalvelun, vaihtaa profiilin tai poistaa asiakasohjelman, ja profiilikansio, johon tavalliset käyttäjät voivat kirjoittaa, on käytäntö, jonka kuka tahansa voi muokata. Molemmat ovat päätepisteiden hallinnan ongelmia, joita VPN:n pää ei voi ratkaista puolestasi. Kysy työpöytätiimiltä, kumpi näistä kahdesta ehdosta pätee, ennen kuin lupaat valvonnan, ja kirjoita vastaus käyttöönottosuunnitelmaan.

Päätä lukitustaso ottaen huomioon palautuspolku. Profiili, joka estää käyttäjää pääsemästä internetiin ja estää myös asiakasohjelman korjaamisen, muuttaa tukipuhelun käynnöksi paikan päällä, joten pidä dokumentoitu palautuspolku, joka ei riipu siitä, että tunneli on ylhäällä.

Pidä yhdyskäytävän varmenteen vahvistus päällä ja jaakele profiili vain kanavan kautta, johon luotat. Lukittu asiakasohjelma, joka hyväksyy profiilin odottamattomasta lähteestä, on siirtänyt luottamusrajaa sen sijaan, että olisi valvonut sitä.