Cisco Secure Client Always-On: पहले प्रोफ़ाइल तैनात करें
Cisco Secure Client Always-On को लागू करने से पहले एंडपॉइंट प्रोफ़ाइल मौजूद होना चाहिए: लॉगिन से पहले का दायरा, डिलीवरी, विफलता नीति और विश्वसनीय नेटवर्क जाँचें।
डिवाइस पक्ष की सेटिंग्स किसी अपंजीकृत लैपटॉप को प्रबंधित एंडपॉइंट की तरह व्यवहार करने के लिए बाध्य नहीं कर सकतीं, और अधिकांश Always-On रोलआउट ठीक इसी खाई पर रुक जाते हैं। Cisco Secure Client नीति को मशीन पर मौजूद प्रोफ़ाइल के माध्यम से लागू करता है, इसलिए उस प्रोफ़ाइल की डिलीवरी प्रवर्तन योजना का हिस्सा है, उसका कोई विवरण नहीं। नीचे दिए पाँच चरणों को क्रम से पूरा करें और जो पहला चरण टिक न सके वहीं रुकें, क्योंकि बाद का चरण पहले की खाई की भरपाई नहीं कर सकता।
पहला चरण: तय करें कि नियम लॉगिन से पहले शुरू होता है या नहीं
Always-On उपयोगकर्ता के लॉगिन करने के बाद टनल स्थापित करता है, और विक्रेता का दस्तावेज़ स्पष्ट कहता है कि जब कोई लॉगिन नहीं करता तो यह कनेक्शन स्थापित नहीं करता। यदि आपकी आवश्यकता Windows लॉगिन स्क्रीन से पहले मौजूद टनल है, तो यह गलत सुविधा है और प्रोफ़ाइल ट्यूनिंग की कोई भी मात्रा इसे नहीं बदलती। प्रोफ़ाइल को पहले से तैनात करना लॉगिन के बाद के व्यवहार को लॉगिन से पहले के व्यवहार में नहीं बदलता।
आवश्यकता को चार अलग-अलग व्यवहारों में से एक के रूप में लिखें, फिर हर एक को अलग से जाँचें। एक सफल कनेक्शन केवल सामान्य स्थिति दिखाता है, और बाकी तीन वही हैं जहाँ से सपोर्ट टिकट आते हैं। चिह्नित करें कि आपकी आवश्यकता को वास्तव में कौन-सी पंक्ति चाहिए, क्योंकि जिस टीम को केवल लॉगिन के बाद का व्यवहार चाहिए वह लॉगिन-पूर्व तर्क छोड़ सकती है। तालिका स्वीकृति सूची है, इच्छा सूची नहीं।
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
यदि आवश्यकता केवल दूसरी पंक्ति है, तो इस पृष्ठ का बाकी हिस्सा अभी भी लागू होता है, पर स्वीकृति परीक्षण सस्ता है।
दूसरा चरण: पुष्टि करें कि प्रोफ़ाइल पहले से एंडपॉइंट पर है
प्रवर्तन स्थानीय प्रोफ़ाइल पढ़ता है, इसलिए पहला प्रश्न यह है कि क्या वह फ़ाइल उपयोगकर्ता के कनेक्ट होने से पहले मौजूद है। पहले सफल कनेक्शन के दौरान डाउनलोड की गई प्रोफ़ाइल उस मशीन के लिए बहुत देर से पहुँचती है जिसे पहले लॉगिन से ही सुरक्षित रखना है। इसे इंस्टॉलर या एंडपॉइंट प्रबंधन के साथ भेजें, और फ़ाइल की उपस्थिति को आशा नहीं बल्कि बिल्ड-जाँच मानें।
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnपुराने AnyConnect इंस्टॉलेशन वही फ़ाइल किसी दूसरे नाम के फ़ोल्डर में रखते हैं, इसलिए पुरानी रनबुक से पथ कॉपी करने के बजाय उस क्लाइंट संस्करण का पथ सत्यापित करें जिसे आप तैनात कर रहे हैं. सेवा चल रही होनी चाहिए और स्वचालित रूप से शुरू होने पर सेट होनी चाहिए, क्योंकि रुका हुआ एजेंट प्रोफ़ाइल कुछ भी कहे, लागू न किया गया एंडपॉइंट है।
यदि प्रोफ़ाइल नहीं है, तो यहीं रुकें। बिना प्रोफ़ाइल वाली मशीन के लिए विफलता नीति या विश्वसनीय नेटवर्क की सूची ठीक करना उस पथ पर काम है जो कभी नहीं चलता।
तीसरा चरण: विफलता व्यवहार जानबूझकर चुनें
जब टनल ऊपर नहीं आ सकता तब क्या होता है, यह इससे अलग निर्णय है कि टनल अपने आप शुरू होता है या नहीं। कनेक्शन विफलता नीति तय करती है कि स्थापना विफल होते रहने पर एंडपॉइंट इंटरनेट का उपयोग कर सकता है या नहीं, और ये दोनों सेटिंग अक्सर भ्रमित की जाती हैं क्योंकि दोनों Always-On विकल्पों के पास होती हैं। एक को जानबूझकर चुनें और कारण लिखें।
सारी कनेक्टिविटी अवरुद्ध करना कठोर लगता है और अपनी अलग घटना-श्रेणी बनाता है: जिस नेटवर्क में गेटवे पहुँच से बाहर है वहाँ का उपयोगकर्ता वह सुधार डाउनलोड नहीं कर सकता जो सेवा बहाल करता। इंटरनेट पहुँच की अनुमति मशीन को उपयोगी रखती है और ट्रैफ़िक सुरक्षित होने का आश्वासन कमज़ोर करती है। दोनों में से कोई भी उत्तर सही हो सकता है, पर कोई भी ऐसा डिफ़ॉल्ट नहीं है जिसे आपको किसी बाधा के दौरान खोजना चाहिए।
पुनः प्रयास का व्यवहार उसी निर्णय का हिस्सा है। जो क्लाइंट अनंत काल तक प्रयास करता है वह टूटे गेटवे को मॉनिटरिंग से छिपाता है, जबकि एक प्रयास के बाद हार मान लेने वाला क्लाइंट उपयोगकर्ता को टूटा दिखता है। तय करें कि विफलता नीति संभालने से पहले एंडपॉइंट को कितनी देर प्रयास करते रहना चाहिए, और मानने के बजाय उस समय को जाँचें।
चौथा चरण: परिभाषित करें कि विश्वसनीय क्या गिना जाता है
विश्वसनीय नेटवर्क पहचान क्लाइंट प्रोफ़ाइल में दिए मानदंडों, जैसे कॉन्फ़िगर किए गए DNS डोमेन या विश्वसनीय DNS सर्वर, का उपयोग करके तय करती है कि एंडपॉइंट पहले से ऐसे नेटवर्क पर है जहाँ टनल आवश्यक नहीं है। वह सूची ही पूरी नीति है, इसलिए खाली या विरासत में मिली सूची सुविधा को या तो निष्क्रिय या अप्रत्याशित बना देती है।
Windows फ़ायरवॉल की नेटवर्क श्रेणी के बारे में अनुमान से इसे न बदलें। मशीन किसी डोमेन-चिह्नित नेटवर्क पर हो सकती है और फिर भी ऐसी जगह हो सकती है जिस पर आप भरोसा नहीं करते, और सार्वजनिक प्रोफ़ाइल वाली मशीन आपकी अपनी इमारत के भीतर हो सकती है। पहचान मानदंडों को आपके नेटवर्क का सीधा वर्णन करना चाहिए, उनका विकल्प नहीं।
संक्रमण को दोनों दिशाओं में जाँचें, जिसमें वह स्थिति भी शामिल है जब सत्र खुला होने के दौरान एंडपॉइंट विश्वसनीय से अविश्वसनीय नेटवर्क पर जाता है। डिस्कनेक्ट और पुनः कनेक्ट अलग घटनाएँ हैं, और केवल पहली को संभालने वाली नीति ऐसी खिड़की छोड़ती है जहाँ टनल अनुपस्थित है।
पाँचवाँ चरण: एंडपॉइंट नीति को पूर्ववत करना कठिन बनाएँ
एंडपॉइंट पर प्रवर्तन उतना ही मज़बूत है जितने एंडपॉइंट के अपने नियंत्रण हैं। स्थानीय व्यवस्थापक अधिकार उपयोगकर्ता को एजेंट सेवा रोकने, प्रोफ़ाइल बदलने या क्लाइंट अनइंस्टॉल करने देते हैं, और ऐसी प्रोफ़ाइल निर्देशिका जिसमें सामान्य उपयोगकर्ता लिख सकते हैं, वह नीति है जिसे कोई भी संपादित कर सकता है। दोनों एंडपॉइंट प्रबंधन की समस्याएँ हैं जिन्हें VPN हेडएंड आपके लिए हल नहीं कर सकता। प्रवर्तन का वादा करने से पहले डेस्कटॉप टीम से पूछें कि इन दोनों में से कौन-सी शर्त लागू होती है, और उत्तर को रोलआउट योजना में लिखें।
पुनर्प्राप्ति पथ को ध्यान में रखते हुए लॉकडाउन स्तर तय करें। जो प्रोफ़ाइल उपयोगकर्ता को इंटरनेट तक पहुँचने से रोकती है और उसे क्लाइंट की मरम्मत से भी रोकती है, वह सपोर्ट कॉल को साइट विज़िट में बदल देती है, इसलिए ऐसा प्रलेखित पुनर्प्राप्ति मार्ग रखें जो टनल चालू होने पर निर्भर न हो।
गेटवे प्रमाणपत्र सत्यापन चालू रखें, और प्रोफ़ाइल केवल उसी चैनल से वितरित करें जिस पर आप भरोसा करते हैं। लॉकडाउन किया गया क्लाइंट जो अप्रत्याशित स्रोत से प्रोफ़ाइल स्वीकार करता है, उसने लागू करने के बजाय विश्वास की सीमा को खिसका दिया है।