Cisco Secure Client Always-On: פרסו קודם את הפרופיל
Cisco Secure Client Always-On דורש שפרופיל נקודת הקצה יהיה במקום לפני האכיפה: בדקו את ההיקף לפני הכניסה, את ההפצה, את מדיניות הכשל ואת הרשתות המהימנות.
הגדרות בצד ההתקן אינן יכולות לגרום למחשב נייד שאינו רשום להתנהג כמו נקודת קצה מנוהלת, ורוב פריסות Always-On נתקעות בדיוק בפער הזה. Cisco Secure Client אוכף את המדיניות דרך הפרופיל שנמצא במחשב, ולכן מסירת הפרופיל הזה היא חלק מתוכנית האכיפה ולא פרט בה. עברו על חמשת השלבים שלמטה לפי הסדר, ועצרו בשלב הראשון שאינו מתקיים, כי שלב מאוחר אינו יכול לפצות על פער מוקדם.
שלב ראשון: החליטו אם הכלל מתחיל לפני הכניסה
Always-On מקים את המנהרה לאחר שהמשתמש נכנס, והתיעוד של היצרן אומר במפורש שהוא אינו מקים חיבור כאשר איש אינו נכנס. אם הדרישה שלכם היא מנהרה שקיימת לפני מסך הכניסה של Windows, זהו המאפיין הלא נכון ושום כוונון פרופיל לא משנה זאת. פריסה מראש של הפרופיל אינה הופכת התנהגות שלאחר הכניסה להתנהגות שלפניה.
נסחו את הדרישה כאחת מארבע התנהגויות נפרדות, ואז בדקו כל אחת בנפרד. חיבור מוצלח אחד מדגים רק את המקרה הרגיל, ושלושת האחרים הם המקור לכרטיסי התמיכה. סמנו איזו שורה הדרישה שלכם באמת צריכה, כי צוות שזקוק רק להתנהגות שלאחר הכניסה יכול לדלג על הטיעון של לפני הכניסה. הטבלה היא רשימת קבלה, לא רשימת משאלות.
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
אם הדרישה היא רק השורה השנייה, שאר העמוד הזה עדיין חל, אבל מבחן הקבלה זול יותר.
שלב שני: ודאו שהפרופיל כבר נמצא בנקודת הקצה
האכיפה קוראת פרופיל מקומי, ולכן השאלה הראשונה היא אם הקובץ הזה קיים לפני שהמשתמש מתחבר בכלל. פרופיל שיורד במהלך החיבור המוצלח הראשון מגיע מאוחר מדי למחשב שחייב להיות מוגן מהכניסה הראשונה שלו. שלחו אותו עם המתקין או עם ניהול נקודות הקצה, והתייחסו לנוכחות הקובץ כבדיקת בנייה ולא כתקווה.
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnהתקנות AnyConnect ישנות יותר שומרות את אותו קובץ בתיקייה בשם אחר, ולכן ודאו את הנתיב עבור גרסת הלקוח שאתם פורסים במקום להעתיק נתיב ממדריך הפעלה ישן. השירות חייב לפעול ולהיות מוגדר להתחלה אוטומטית, כי סוכן עצור הוא נקודת קצה ללא אכיפה, יהיה אשר יאמר הפרופיל.
אם הפרופיל חסר, עצרו כאן. תיקון מדיניות הכשל או רשימת הרשתות המהימנות עבור מחשב שאין לו פרופיל הוא עבודה על נתיב שלעולם אינו מבוצע.
שלב שלישי: בחרו את התנהגות הכשל במכוון
מה קורה כאשר המנהרה אינה יכולה לעלות הוא החלטה נפרדת מהשאלה אם המנהרה מתחילה אוטומטית. מדיניות כשל החיבור קובעת אם נקודת הקצה רשאית להשתמש באינטרנט בזמן שההקמה ממשיכה להיכשל, ולעיתים קרובות מבלבלים בין שתי ההגדרות כי שתיהן נמצאות ליד אפשרויות Always-On. בחרו אחת בכוונה ורשמו את הסיבה.
חסימת כל הקישוריות נשמעת מחמירה ומייצרת סוג אירועים משל עצמה: משתמש ברשת שבה השער אינו נגיש אינו יכול להוריד את התיקון שיחזיר את השירות. מתן גישה לאינטרנט משאיר את המחשב שמיש ומחליש את ההבטחה שהתעבורה מוגנת. כל אחת משתי התשובות יכולה להיות נכונה, אבל אף אחת מהן אינה ברירת מחדל שכדאי לגלות בזמן תקלה.
התנהגות הניסיון החוזר שייכת לאותה החלטה. לקוח שמנסה לנצח מסתיר שער תקול מניטור, ואילו לקוח שמוותר אחרי ניסיון אחד נראה תקול למשתמש. החליטו כמה זמן נקודת הקצה צריכה להמשיך לנסות לפני שמדיניות הכשל משתלטת, ובדקו את התזמון הזה במקום להניח אותו.
שלב רביעי: הגדירו מה נחשב מהימן
זיהוי רשת מהימנה משתמש בקריטריונים שבפרופיל הלקוח, כגון דומיינים של DNS שהוגדרו או שרתי DNS מהימנים, כדי להחליט שנקודת הקצה כבר נמצאת ברשת שבה המנהרה אינה נחוצה. הרשימה הזו היא כל המדיניות, ולכן רשימה ריקה או בירושה הופכת את המאפיין לבלתי פעיל או לבלתי צפוי.
אל תחליפו אותה בהנחה לגבי קטגוריית הרשת בחומת האש של Windows. מחשב יכול להיות ברשת שמסומנת כדומיין ועדיין להיות במקום שאינכם סומכים עליו, ומחשב עם פרופיל ציבורי יכול להיות בתוך הבניין שלכם. קריטריוני הזיהוי צריכים לתאר את הרשתות שלכם ישירות, לא תחליף להן.
בדקו את המעבר בשני הכיוונים, כולל המקרה שבו נקודת הקצה עוברת מרשת מהימנה לרשת שאינה מהימנה בזמן שסשן פתוח. הניתוק וההתחברות מחדש הם אירועים נפרדים, ומדיניות שמטפלת רק בראשון משאירה חלון שבו המנהרה חסרה.
שלב חמישי: הפכו את מדיניות נקודת הקצה לקשה לביטול
האכיפה בנקודת הקצה חזקה רק כמו הבקרות של נקודת הקצה עצמה. הרשאות מנהל מקומי מאפשרות למשתמש לעצור את שירות הסוכן, להחליף את הפרופיל או להסיר את הלקוח, ותיקיית פרופיל שמשתמשים רגילים יכולים לכתוב בה היא מדיניות שכל אחד יכול לערוך. שתי אלה בעיות ניהול נקודות קצה שמוקד ה-VPN לא יכול לפתור עבורכם. שאלו את צוות שולחן העבודה איזה משני התנאים חל לפני שאתם מבטיחים אכיפה, ורשמו את התשובה בתוכנית הפריסה.
החליטו על רמת הנעילה מתוך מבט על נתיב השחזור. פרופיל שחוסם למשתמש את הגישה לאינטרנט וגם מונע ממנו לתקן את הלקוח הופך שיחת תמיכה לביקור באתר, ולכן החזיקו נתיב שחזור מתועד שאינו תלוי בכך שהמנהרה פעילה.
השאירו את אימות תעודת השער פעיל, והפיצו את הפרופיל רק בערוץ שאתם סומכים עליו. לקוח נעול שמקבל פרופיל ממקור בלתי צפוי העביר את גבול האמון במקום לאכוף אותו.