Cisco Secure Client Always-On: először telepítse a profilt

Az eszköz oldalán beállított paraméterek nem tudnak egy regisztrálatlan laptopot felügyelt végpontként viselkedésre késztetni, és az Always-On bevezetések többsége éppen ebben a résben akad el. A Cisco Secure Client a gépen található profilon keresztül érvényesíti a szabályzatot, ezért a profil kézbesítése a kikényszerítési terv része, nem annak részlete. Járja végig az alábbi öt lépést sorrendben, és álljon meg az elsőnél, amely nem teljesül, mert egy későbbi lépés nem pótolhat egy korábbi hiányt.

Első lépés: döntse el, hogy a szabály a bejelentkezés előtt kezdődik-e

Az Always-On a felhasználó bejelentkezése után építi fel az alagutat, és a szállító dokumentációja egyértelműen kimondja, hogy nem létesít kapcsolatot, ha senki sem jelentkezik be. Ha az igénye egy olyan alagút, amely a Windows bejelentkező képernyője előtt létezik, ez a rossz funkció, és semmilyen profilhangolás nem változtat ezen. A profil előzetes telepítése nem alakítja át a bejelentkezés utáni viselkedést bejelentkezés előttivé.

Írja le az igényt négy különböző viselkedés egyikeként, majd tesztelje mindegyiket külön. Egyetlen sikeres kapcsolat csak a szokásos esetet mutatja, a másik három pedig az, ahonnan a támogatási jegyek érkeznek. Jelölje meg, melyik sorra van valóban szüksége az igényének, mert a csak bejelentkezés utáni viselkedést igénylő csapat kihagyhatja a bejelentkezés előtti vitát. A táblázat átvételi lista, nem kívánságlista.

Ha az igény csak a második sor, a lap többi része továbbra is érvényes, de az átvételi teszt olcsóbb.

Második lépés: erősítse meg, hogy a profil már a végponton van

A kikényszerítés helyi profilt olvas, ezért az első kérdés az, hogy létezik-e ez a fájl, mielőtt a felhasználó egyáltalán csatlakozik. Az első sikeres kapcsolat során letöltött profil túl későn érkezik egy olyan géphez, amelyet az első bejelentkezésétől védeni kell. Szállítsa a telepítővel vagy a végpontkezeléssel, és a fájl meglétét építési ellenőrzésnek tekintse, ne reménynek.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

A régebbi AnyConnect-telepítések ugyanezt a fájlt más nevű mappában tartják, ezért ellenőrizze az által telepített ügyfélverzió útvonalát ahelyett, hogy egy régi útmutatóból másolná az útvonalat. A szolgáltatásnak futnia kell, és automatikus indításra kell állítani, mert a leállított ügynök kikényszerítés nélküli végpont, bármit is mond a profil.

Ha a profil hiányzik, álljon meg itt. A hibaeset-politika vagy a megbízható hálózatok listájának javítása profil nélküli gépen olyan úton végzett munka, amely soha nem fut le.

Harmadik lépés: szándékosan válassza meg a hiba viselkedését

Az, hogy mi történik, amikor az alagút nem tud felállni, külön döntés attól, hogy az alagút automatikusan indul-e. A kapcsolódási hiba politikája dönti el, hogy a végpont használhatja-e az internetet, miközben a felépítés folyamatosan meghiúsul, és a két beállítást gyakran összekeverik, mert mindkettő az Always-On beállítások közelében van. Válasszon egyet szándékosan, és írja le az okot.

Az összes kapcsolat blokkolása szigorúnak hangzik, és saját eseményosztályt hoz létre: egy olyan hálózaton lévő felhasználó, ahol az átjáró elérhetetlen, nem tudja letölteni azt a javítást, amely helyreállítaná a szolgáltatást. Az internetelérés engedélyezése használhatóvá tartja a gépet, és gyengíti a forgalom védettségére vonatkozó garanciát. Mindkét válasz helyes lehet, de egyik sem olyan alapérték, amelyet egy kiesés során kellene felfedeznie.

Az újrapróbálkozási viselkedés ugyanahhoz a döntéshez tartozik. Az örökké próbálkozó ügyfél elrejti a hibás átjárót a monitorozás elől, míg az egy próbálkozás után feladó ügyfél hibásnak tűnik a felhasználó számára. Döntse el, meddig próbálkozzon a végpont, mielőtt a hibaeset-politika átveszi az irányítást, és tesztelje ezt az időzítést, ne feltételezze.

Negyedik lépés: határozza meg, mi számít megbízhatónak

A megbízható hálózat felismerése az ügyfélprofilban lévő feltételeket használja, például konfigurált DNS-tartományokat vagy megbízható DNS-kiszolgálókat, hogy eldöntse: a végpont már olyan hálózaton van, ahol az alagút szükségtelen. Ez a lista az egész szabályzat, ezért az üres vagy örökölt lista a funkciót vagy hatástalanná, vagy kiszámíthatatlanná teszi.

Ne helyettesítse a Windows tűzfal hálózati kategóriájára vonatkozó feltevéssel. Egy gép lehet tartományjelölt hálózaton, és mégis olyan helyen, amelyben nem bízik, egy nyilvános profilú gép pedig az Ön épületében is lehet. A felismerési feltételeknek közvetlenül a hálózatait kell leírniuk, nem azok helyettesítőjét.

Tesztelje az átmenetet mindkét irányban, beleértve azt az esetet is, amikor a végpont megbízható hálózatról nem megbízhatóra vált nyitott munkamenet mellett. A leválasztás és az újracsatlakozás külön esemény, és a csak az elsőt kezelő szabályzat olyan ablakot hagy, amelyben az alagút hiányzik.

Ötödik lépés: tegye nehezen visszafordíthatóvá a végpont szabályzatát

A végponton való kikényszerítés csak annyira erős, mint a végpont saját vezérlői. A helyi rendszergazdai jogok lehetővé teszik a felhasználónak az ügynökszolgáltatás leállítását, a profil lecserélését vagy az ügyfél eltávolítását, és egy olyan profilmappa, amelybe a hétköznapi felhasználók írhatnak, olyan szabályzat, amelyet bárki szerkeszthet. Mindkettő végpontkezelési probléma, amelyet a VPN fejvége nem tud megoldani Ön helyett. Kérdezze meg az asztali csapatot, melyik feltétel áll fenn, mielőtt kikényszerítést ígér, és írja le a választ a bevezetési tervben.

A helyreállítási utat szem előtt tartva döntse el a zárolási szintet. Egy olyan profil, amely megakadályozza a felhasználót az internet elérésében, és abban is, hogy megjavítsa az ügyfelet, támogatási hívásból helyszíni látogatást csinál, ezért tartson fenn dokumentált helyreállítási útvonalat, amely nem függ az alagút működésétől.

Tartsa bekapcsolva az átjáró tanúsítványának ellenőrzését, és a profilt csak olyan csatornán keresztül ossza meg, amelyben megbízik. Egy zárolt ügyfél, amely váratlan forrásból fogad el profilt, inkább elmozdította a bizalmi határt, mintsem érvényesítette volna.