Votre Meraki MX prend-il en charge Cisco Secure Client ?

Deux fils de support ne sont pas d’accord sur la capacité de Meraki à faire de l’AnyConnect, et les deux se trompent avec la même assurance. La question n’est pas de savoir si un MX parle IKEv2, car AnyConnect sur l’équipement est un service TLS et non IPsec. Deux vérifications distinctes décident de la réponse, et aucune n’est une comparaison de marques. Faites-les dans l’ordre et vous obtenez une fiche de compatibilité au lieu d’une opinion.

D’abord le modèle et la version

Commencez par l’équipement exact et le logiciel qu’il exécute, car la fonction est limitée aux deux. Meraki publie une matrice indiquant les modèles pris en charge et le firmware minimal, et cette matrice est la seule autorité qui vaut la peine d’être citée. Un modèle présent dans la liste n’est pas forcément sur une version qui prend la fonction en charge, et une version qui la prend en charge n’est peut-être pas celle que vous exécutez. Notez le modèle et le firmware installé comme deux faits séparés. Lisez ensuite la matrice pour ce couple.

Ne raisonnez pas à partir d’un modèle similaire de la même famille. La liste est par modèle, et les différences sont réelles.

AnyConnect est un service SSL, pas IPsec

Meraki décrit AnyConnect sur le MX comme un VPN applicatif sur TLS et DTLS, et le documente à côté d’un service VPN client L2TP/IPsec distinct. Ce sont deux produits qui partagent un tableau de bord par hasard. Comparer IKEv1 à IKEv2 vous renseigne sur le service IPsec et rien sur l’existence du service TLS sur votre équipement. Si votre preuve est un tableau des versions IKE, vous avez répondu à une autre question.

Identifiez le service que l’équipement expose avant de comparer les clients. Un profil L2TP/IPsec qui fonctionne ne devient pas un profil AnyConnect parce qu’il atteint la même organisation, et les deux exigent une configuration client différente.

Ce que le MX propose réellement

La liste des fonctions de l’ASA de Cisco n’est pas celle du MX, et un client qui prend en charge douze choses ne fait pas que la passerelle les prenne en charge. Comparez les fonctions dont vous avez réellement besoin : méthode d’authentification, comportement du tunnel divisé, gestion du DNS et le droit que l’équipement exige. Prenez chacune dans la documentation Meraki de la version déployée.

L’authentification est l’endroit où cela mord généralement. Une méthode que le client propose et que l’équipement ne peut pas configurer est un cas de support qui attend de se produire.

Version du client et droit

Cisco Secure Client est le nom actuel de la même famille de clients, donc un document mentionnant AnyConnect n’est pas forcément obsolète. Ce qui compte, c’est la version que votre organisation déploie et si la version de l’équipement est validée contre elle.

Vérifiez l’exigence de licence dans le même guide au lieu de la supposer depuis une autre plateforme. Gardez ensuite le nom du point de terminaison, la vérification du certificat et le flux d’authentification approuvé ensemble dans une seule fiche de service, car ces trois éléments échouent indépendamment. Un avertissement de certificat que les utilisateurs cliquent sans lire n’est pas un résultat de compatibilité, c’est une configuration non vérifiée. L’accès distant n’est que la moitié du travail, car l’utilisateur a encore besoin de routes et d’autorisations pour atteindre la destination.

Rédigez la fiche avec cinq champs

Modèle, firmware, mode d’accès distant, version du client et fonctions requises par le déploiement. Cinq champs, et la réponse à la question de savoir si nous pouvons utiliser AnyConnect réside dans la combinaison et non dans l’un d’eux isolément. Cette fiche dit aussi au prochain ingénieur quoi revérifier après une mise à jour du firmware.

Testez ensuite le chemin de bout en bout : authentifiez-vous, résolvez un nom interne, atteignez une ressource autorisée et confirmez qu’une ressource que vous ne devriez pas atteindre est refusée. Une connexion qui réussit avec une ressource qui ne se charge jamais est un résultat partiel, et la moitié manquante est généralement le routage ou l’autorisation, pas le client. Archivez la combinaison testée avec le changement, pour que la personne suivante hérite de preuves plutôt que d’un slogan.