Cisco Secure Client Always-On: set it profyl earst yn

Ynstellingen oan de kant fan it apparaat kinne in net-registrearre laptop net as in beheard einpunt hannelje litte, en de measte Always-On-ynfieringen stûkje krekt op dy kleau. Cisco Secure Client hanthavenet it belied fia it profyl dat op de masine stiet, dus de levering fan dat profyl is part fan it hanthaveningsplan en net in detail dêrfan. Wurkgje de fiif stappen hjirûnder yn folchoarder troch en stop by de earste dy't net hâldt, want in lettere stap kin in eardere kleau net kompensearje.

Stap ien: beslute oft de regel foar oanmelding begjint

Always-On set de tunnel op nei't de brûker oanmeld is, en de dokumintaasje fan de leveransier seit dúdlik dat it gjin ferbining opset as nimmen oanmeld is. As jo eask in tunnel is dy't bestiet foar it Windows-oanmeldskerm, dan is dit de ferkearde funksje en gjin inkelde profylynstelling feroaret dat. It foarôf ynsetten fan it profyl makket gedrach nei oanmelding net ta gedrach foar oanmelding.

Skriuw de eask op as ien fan fjouwer ferskillende gedragingen en test dan elk apart. Ien slagge ferbining lit allinnich it gewoane gefal sjen, en de oare trije binne wêr't de stipekaarten wei komme. Markearje hokker rige jo eask echt nedich hat, want in team dat allinnich gedrach nei oanmelding nedich hat, kin it argumint oer oanmelding foarôf oerslaan. De tabel is in akseptlist, gjin winsklist.

As de eask allinnich de twadde rige is, jildt de rest fan dizze side noch altyd, mar de aksepttest is goedkeaper.

Stap twa: befêstigje dat it profyl al op it einpunt stiet

De hanthavening lêst in lokaal profyl, dus de earste fraach is oft dat bestân bestiet foardat de brûker him ea ferbynt. In profyl dat by de earste slagge ferbining del laden wurdt, wurdt te let levere foar in masine dy't fan de earste oanmelding ôf beskerme wurde moat. Stjoer it mei de ynstallaasje of mei einpuntbehear, en behannelje de oanwêzigens fan it bestân as in boustap, net as in hoop.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Aldere AnyConnect-ynstallaasjes hâlde itselde bestân yn in oars neamde map, dus befêstigje it paad foar de klantferzje dy't jo útsette ynstee fan in paad út in âld hânboek te kopiearjen. De tsjinst moat rinne en ynsteld wêze om automatysk te starten, want in stoppe agent is in einpunt sûnder hanthavening, wat it profyl ek seit.

As it profyl ûntbrekt, stop hjir. It flaterbelied of de list fan fertroude netwurken reparearje foar in masine sûnder profyl is wurk op in paad dat nea útfiere wurdt.

Stap trije: kies it flatergedrach mei opset

Wat der bart as de tunnel net omheech kin, is in apart beslút fan oft de tunnel automatysk start. It ferbiningsflaterbelied beslút oft it einpunt it ynternet brûke mei wylst it opbouwen trochgeand mislearret, en de twa ynstellingen wurde faak trochinoar helle om't beide ticht by de Always-On-opsjes steane. Kies der ien mei opset en skriuw de reden op.

Alle ferbining blokkearje klinkt strang en makket syn eigen soarte foarfallen: in brûker op in netwurk dêr't de poarte net berikber is, kin de repaaraasje net del laden dy't de tsjinst werombringe soe. Tagong ta it ynternet tastean hâldt de masine brûkber en ferswakket de garânsje dat ferkear beskerme is. Beide antwurden kinne goed wêze, mar gjin fan beide is in standertwearde dy't jo by in steuring ûntdekke moatte.

It weromprobergedrach heart by itselde beslút. In klant dy't ivich weromprobet ferberget in stikken poarte foar monitoring, wylst in klant dy't nei ien besykjen opjout foar de brûker stikken liket. Beslute hoe lang't it einpunt trochgean moat mei besykjen foardat it flaterbelied oernimt, en test dy tiid ynstee fan him oan te nimmen.

Stap fjouwer: definiearje wat as fertroud jildt

It werkenningen fan fertroude netwurken brûkt de kritearia yn it klantprofyl, lykas ynstelde DNS-domeinen of fertroude DNS-tsjinners, om te besluten dat it einpunt al op in netwurk is dêr't de tunnel oerstallich is. Dy list is it hiele belied, dus in lege of erfd list makket de funksje ofwol ynaktyf, ofwol ûnfoarsisber.

Ferfange it net troch in oanname oer de netwurkategory fan de Windows-firewall. In masine kin op in domeinmarkearre netwurk wêze en dochs earne wêze dêr't jo net op fertrouwe, en in masine mei in iepenbier profyl kin binnen jo eigen gebou wêze. De werkenningkritearia moatte jo netwurken direkt beskriuwe, net in ferfanger dêrfoar.

Test de oergong yn beide rjochtingen, ynklusyf it gefal wêrby't it einpunt fan in fertroud nei in net-fertroud netwurk giet wylst in sesje iepen is. It ôfbrekken en it wer ferbinen binne aparte barrens, en in belied dat allinnich it earste behannelet lit in finster dêr't de tunnel ôfwêzich is.

Stap fiif: meitsje it einpuntbelied dreech werom te draaien

Hanthavening op it einpunt is mar sa sterk as de eigen kontrôles fan it einpunt. Lokale behearderrjochten litte in brûker de agenttsjinst stopje, it profyl ferfange of de klant de-ynstallearje, en in profylmap dêr't gewoane brûkers yn skriuwe kinne is in belied dat elkenien bewurkje kin. Beide binne einpuntbehearproblemen dy't it VPN-haadstik net foar jo oplosse kin. Freegje it buroblêdteam hokker fan dy twa betingsten jildt foardat jo hanthavening tasizze, en skriuw it antwurd yn it útsetplan.

Beslute it blokkearnivo mei it herstelpaad yn it each. In profyl dat de brûker blokkearret om it ynternet te berikken en him ek belet de klant te reparearjen, makket fan in stipeoprop in besite op lokaasje, dus hâld in dokumintearre herstelrûte dy't net ôfhinklik is fan oft de tunnel oan is.

Hâld de sertifikaatferifikaasje fan de poarte oan en ferspried it profyl allinnich fia in kanaal dêr't jo op fertrouwe. In ôfsletten klant dy't in profyl fan in ûnferwachte boarne akseptearret, hat de fertrouwensgrins ferpleatst ynstee fan him ôftwongen.