האם ה-Meraki MX שלכם תומך ב-Cisco Secure Client?

שני אשכולות תמיכה חלוקים בשאלה אם Meraki יכול לעשות AnyConnect, ושניהם טועים בביטחון באותה דרך. השאלה אינה אם MX מדבר IKEv2, מפני ש-AnyConnect במכשיר הוא שירות TLS ולא IPsec. שתי בדיקות נפרדות מכריעות את התשובה, ואף אחת מהן אינה השוואת מותגים. עברו עליהן לפי הסדר ותקבלו רשומת תאימות במקום דעה.

קודם הדגם והגרסה

התחילו במכשיר המדויק ובתוכנה שהוא מריץ, מפני שהתכונה מוגבלת לשניהם. Meraki מפרסם מטריצה שמפרטת את הדגמים הנתמכים ואת הקושחה המינימלית, והמטריצה הזו היא הסמכות היחידה שראויה לציטוט. דגם שמופיע ברשימה אינו נמצא אוטומטית בגרסה שתומכת בתכונה, וגרסה שתומכת בה עשויה שלא להיות זו שאתם מריצים. רשמו את הדגם ואת הקושחה המותקנת כשתי עובדות נפרדות. אחר כך קראו את המטריצה עבור הצמד הזה.

אל תסיקו מדגם דומה באותה משפחה. הרשימה היא לפי דגם, וההבדלים אמיתיים.

AnyConnect הוא שירות SSL, לא IPsec

Meraki מתאר את AnyConnect ב-MX כ-VPN מבוסס יישומים על TLS ו-DTLS, ומתעד אותו לצד שירות VPN נפרד ללקוחות דרך L2TP/IPsec. אלה שני מוצרים שמקרה חולקים לוח בקרה אחד. השוואה בין IKEv1 ל-IKEv2 מספרת לכם על שירות ה-IPsec ושום דבר על קיומו של שירות ה-TLS במכשיר שלכם. אם הראיה שלכם היא טבלת גרסאות IKE, עניתם על שאלה אחרת.

זהו איזה שירות המכשיר חושף לפני השוואת לקוחות. פרופיל L2TP/IPsec שעובד אינו הופך לפרופיל AnyConnect משום שהוא מגיע לאותה ארגון, והשניים דורשים תצורת לקוח שונה.

אילו תכונות ה-MX מציע בפועל

רשימת התכונות של ASA של Cisco אינה רשימת התכונות של MX, ולקוח שתומך בשנים עשר דברים אינו גורם לשער לתמוך בהם. השוו את הפונקציות שאתם באמת צריכים: שיטת אימות, התנהגות מנהרה מפוצלת, טיפול ב-DNS והזכאות שהמכשיר דורש. קחו כל אחת מתיעוד Meraki עבור הגרסה שנפרסה.

האימות הוא המקום שבו זה בדרך כלל נושך. שיטה שהלקוח מציע והמכשיר אינו יכול להגדיר היא מקרה תמיכה שממתין לקרות.

גרסת הלקוח והזכאות

Cisco Secure Client הוא השם הנוכחי של אותה משפחת לקוחות, ולכן מסמך שמזכיר AnyConnect אינו בהכרח מיושן. מה שחשוב הוא הגרסה שהארגון שלכם פורס והאם גרסת המכשיר מאומתת מולה.

בדקו את דרישת הרישוי באותו מדריך במקום להניח אותה מפלטפורמה אחרת. אחר כך החזיקו את שם נקודת הקצה, אימות התעודה ותזרים האימות המאושר יחד ברשומת שירות אחת, מפני ששלושת אלה נכשלים באופן בלתי תלוי. אזהרת תעודה שמשתמשים לוחצים דרכה אינה תוצאת תאימות, היא תצורה לא מאומתת. גישה מרחוק היא רק חצי מהעבודה, מפני שהמשתמש עדיין זקוק לנתיבים והרשאות כדי להגיע ליעד.

כתבו את הרשומה בחמישה שדות

דגם, קושחה, מצב גישה מרחוק, גרסת לקוח והפונקציות שהפריסה דורשת. חמישה שדות, והתשובה לשאלה אם נוכל להשתמש ב-AnyConnect נמצאת בשילוב ולא באחד מהם לבדו. הרשומה הזו גם אומרת למהנדס הבא מה לבדוק שוב לאחר שדרוג קושחה.

אחר כך בדקו את המסלול מקצה לקצה: אמתו, פתרו שם פנימי, הגיעו למשאב מורשה וודאו שמשאב שאסור להגיע אליו נדחה. התחברות שמצליחה עם משאב שלעולם לא נטען היא תוצאה חלקית, והחצי החסר הוא בדרך כלל ניתוב או הרשאה ולא הלקוח. תייקו את השילוב הנבדק עם השינוי, כדי שהאדם הבא יירש ראיות ולא סיסמה.