Cisco Secure Client Always-On: despregue primeiro o perfil
Cisco Secure Client Always-On necesita o perfil do endpoint no seu sitio antes da aplicación: comprobe o alcance previo ao inicio de sesión, a entrega, a política de fallo e as redes de confianza.
Os axustes do lado do equipo non poden facer que un portátil non rexistrado se comporte como un endpoint xestionado, e a maioría dos despregamentos de Always-On atascan xustamente nesa fenda. Cisco Secure Client aplica a política mediante o perfil que reside na máquina, así que a entrega dese perfil forma parte do plan de aplicación e non é un detalle. Percorra os cinco pasos seguintes en orde e detéñase no primeiro que non se cumpra, porque un paso posterior non pode compensar unha carencia anterior.
Paso un: decida se a regra comeza antes do inicio de sesión
Always-On establece o túnel despois de que o usuario inicie sesión, e a documentación do fabricante di claramente que non establece unha conexión cando ninguén inicia sesión. Se o seu requisito é un túnel que exista antes da pantalla de inicio de sesión de Windows, esta é a función equivocada e ningún axuste do perfil o cambia. Despregar o perfil de antemán non converte o comportamento posterior ao inicio de sesión en comportamento previo.
Escriba o requisito como un de catro comportamentos distintos e logo probe cada un por separado. Unha soa conexión correcta só demostra o caso habitual, e os outros tres son de onde veñen os tíckets de soporte. Marque que fila necesita realmente o seu requisito, porque un equipo que só necesita o comportamento posterior ao inicio de sesión pode saltar o argumento do previo. A táboa é unha lista de aceptación, non unha lista de desexos.
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
Se o requisito é só a segunda fila, o resto desta páxina segue aplicándose, pero a proba de aceptación é máis barata.
Paso dous: confirme que o perfil xa está no endpoint
A aplicación le un perfil local, así que a primeira pregunta é se ese ficheiro existe antes de que o usuario se conecte. Un perfil descargado durante a primeira conexión correcta entrégase demasiado tarde para unha máquina que debe protexerse desde o seu primeiro inicio de sesión. Envíeo co instalador ou coa xestión de endpoints, e trate a presenza do ficheiro como unha comprobación de compilación e non como unha esperanza.
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnAs instalacións máis antigas de AnyConnect gardan o mesmo ficheiro nun cartafol con outro nome, así que confirme a ruta para a versión de cliente que despregue en lugar de copiar unha ruta dun manual antigo. O servizo debe estar en execución e configurado para iniciarse automaticamente, porque un axente detido é un endpoint sen aplicación, diga o que diga o perfil.
Se falta o perfil, detéñase aquí. Arranxar a política de fallo ou a lista de redes de confianza para unha máquina sen perfil é traballar nunha ruta que nunca se executa.
Paso tres: escolla o comportamento de fallo deliberadamente
O que ocorre cando o túnel non pode levantarse é unha decisión distinta de se o túnel se inicia automaticamente. A política de fallo de conexión decide se o endpoint pode usar internet mentres o establecemento segue fallando, e os dous axustes confúndense a miúdo porque ambos están preto das opcións de Always-On. Escolla un a propósito e anote o motivo.
Bloquear toda a conectividade soa estrito e xera a súa propia clase de incidentes: un usuario nunha rede onde a pasarela non é accesible non pode descargar a corrección que restablecería o servizo. Permitir o acceso a internet mantén a máquina utilizable e debilita a garantía de que o tráfico está protexido. Calquera das dúas respostas pode ser correcta, pero ningunha é un valor por defecto que deba descubrir durante unha caída.
O comportamento de reintento pertence á mesma decisión. Un cliente que reintenta para sempre oculta unha pasarela rota á monitorización, mentres que un cliente que se rende tras un intento parece roto ao usuario. Decida canto tempo debe seguir intentándoo o endpoint antes de que a política de fallo tome o control, e probe ese tempo en lugar de supoñelo.
Paso catro: defina que conta como de confianza
A detección de rede de confianza usa os criterios do perfil do cliente, como dominios DNS configurados ou servidores DNS de confianza, para decidir que o endpoint xa está nunha rede onde o túnel é innecesario. Esa lista é toda a política, así que unha lista baleira ou herdada fai que a función sexa inerte ou imprevisible.
Non a substitúa por unha suposición sobre a categoría de rede da devasa de Windows. Unha máquina pode estar nunha rede etiquetada como dominio e seguir nun lugar no que non confía, e unha máquina con perfil público pode estar dentro do seu propio edificio. Os criterios de detección deben describir as súas redes directamente, non un substituto delas.
Probe a transición en ambos os sentidos, incluído o caso en que o endpoint pasa dunha rede de confianza a unha que non o é cunha sesión aberta. A desconexión e a reconexión son eventos separados, e unha política que só xestiona o primeiro deixa unha xanela na que o túnel está ausente.
Paso cinco: faga que a política do endpoint sexa difícil de desfacer
A aplicación no endpoint é tan forte como os propios controis do endpoint. Os dereitos de administrador local permiten ao usuario deter o servizo do axente, substituír o perfil ou desinstalar o cliente, e un directorio de perfil no que os usuarios normais poden escribir é unha política que calquera pode editar. Ambos son problemas de xestión de endpoints que a cabeceira do VPN non pode resolver por vostede. Pregunte ao equipo de escritorio cal desas dúas condicións se aplica antes de prometer a aplicación, e escriba a resposta no plan de despregamento.
Decida o nivel de bloqueo coa ruta de recuperación á vista. Un perfil que impide ao usuario chegar a internet e ademais lle impide reparar o cliente converte unha chamada de soporte nunha visita ao sitio, así que manteña unha ruta de recuperación documentada que non dependa de que o túnel estea activo.
Manteña activada a validación do certificado da pasarela e distribúa o perfil só por unha canle na que confíe. Un cliente bloqueado que acepta un perfil dunha fonte inesperada moveu a fronteira de confianza en lugar de aplicala.