Cisco Secure Client Always-On։ նախ տեղակայեք պրոֆիլը
Cisco Secure Client Always-On-ը պահանջում է, որ վերջնակետի պրոֆիլը տեղում լինի կիրառումից առաջ․ ստուգեք մուտքից առաջ շրջանակը, առաքումը, ձախողման քաղաքականությունը և վստահելի ցանցերը։
Սարքի կողմի կարգավորումները չեն կարող չգրանցված նոթբուքին ստիպել վարվել որպես կառավարվող վերջնակետ, և Always-On-ի ներդրումների մեծ մասը կանգ է առնում հենց այդ բացվածքում։ Cisco Secure Client-ը քաղաքականությունը կիրառում է մեքենայի վրա գտնվող պրոֆիլի միջոցով, ուստի այդ պրոֆիլի առաքումը կիրառման պլանի մասն է, ոչ դրա մանրամասը։ Անցեք ստորև բերված հինգ քայլերը հերթականությամբ և կանգ առեք առաջինի վրա, որը չի պահպանվում, որովհետև ավելի ուշ քայլը չի կարող փոխհատուցել ավելի վաղ բացը։
Առաջին քայլ․ որոշեք՝ արդյոք կանոնը սկսվում է մուտքից առաջ
Always-On-ը թունելը հաստատում է այն բանից հետո, երբ օգտատերը մուտք է գործում, և արտադրողի փաստաթղթերը հստակ ասում են, որ այն կապ չի հաստատում, երբ ոչ ոք չի մուտք գործում։ Եթե ձեր պահանջը Windows-ի մուտքի էկրանից առաջ գոյություն ունեցող թունելն է, սա սխալ գործառույթ է, և պրոֆիլի ոչ մի կարգավորում դա չի փոխում։ Պրոֆիլի նախնական տեղակայումը մուտքից հետո վարքը չի վերածում մուտքից առաջ վարքի։
Պահանջը գրեք որպես չորս տարբեր վարքերից մեկը, ապա փորձարկեք յուրաքանչյուրը առանձին։ Մեկ հաջող կապը ցույց է տալիս միայն սովորական դեպքը, իսկ մյուս երեքը աջակցության տոմսերի աղբյուրն են։ Նշեք, թե ձեր պահանջին իրականում որ տողն է պետք, որովհետև թիմը, որին պետք է միայն մուտքից հետո վարք, կարող է բաց թողնել մուտքից առաջ փաստարկը։ Աղյուսակը ընդունման ցանկ է, ոչ ցանկությունների ցանկ։
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
Եթե պահանջը միայն երկրորդ տողն է, այս էջի մնացածը դեռ գործում է, բայց ընդունման թեստն ավելի էժան է։
Երկրորդ քայլ․ համոզվեք, որ պրոֆիլն արդեն վերջնակետում է
Կիրառումը կարդում է տեղական պրոֆիլ, ուստի առաջին հարցն այն է՝ արդյոք այդ ֆայլը գոյություն ունի մինչև օգտատիրոջ միանալը։ Առաջին հաջող կապի ընթացքում ներբեռնված պրոֆիլը չափազանց ուշ է հասնում այն մեքենային, որը պետք է պաշտպանված լինի իր առաջին մուտքից։ Ուղարկեք այն տեղադրիչի կամ վերջնակետերի կառավարման հետ և ֆայլի առկայությունը դիտարկեք որպես կառուցման ստուգում, ոչ որպես հույս։
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnAnyConnect-ի հին տեղադրումները նույն ֆայլը պահում են այլ անունով պանակում, ուստի ստուգեք ձեր տեղակայվող հաճախորդի տարբերակի ուղին՝ հին ձեռնարկից ուղի պատճենելու փոխարեն։ Ծառայությունը պետք է աշխատի և դրված լինի ավտոմատ մեկնարկի, որովհետև կանգնեցված գործակալը չկիրառված վերջնակետ է, ինչ էլ որ ասի պրոֆիլը։
Եթե պրոֆիլը բացակայում է, կանգ առեք այստեղ։ Ձախողման քաղաքականությունը կամ վստահելի ցանցերի ցանկը շտկելը պրոֆիլ չունեցող մեքենայի համար աշխատանք է այն ուղու վրա, որը երբեք չի կատարվում։
Երրորդ քայլ․ գիտակցաբար ընտրեք ձախողման վարքը
Ինչ է լինում, երբ թունելը չի կարող բարձրանալ, առանձին որոշում է այն հարցից, թե արդյոք թունելը սկսվում է ավտոմատ։ Միացման ձախողման քաղաքականությունը որոշում է՝ արդյոք վերջնակետը կարող է օգտվել ինտերնետից, մինչ հաստատումը շարունակաբար ձախողվում է, և այս երկու կարգավորումները հաճախ շփոթում են, որովհետև երկուսն էլ գտնվում են Always-On-ի ընտրանքների մոտ։ Ընտրեք մեկը դիտավորյալ և գրեք պատճառը։
Ամբողջ կապակցվածության արգելափակումը խիստ է հնչում և ստեղծում է իր սեփական միջադեպերի դասը․ օգտատերը ցանցում, որտեղ դարպասը հասանելի չէ, չի կարող ներբեռնել այն ուղղումը, որը կվերականգներ ծառայությունը։ Ինտերնետ հասանելիությունը թույլ տալը մեքենան պահում է օգտագործելի և թուլացնում է երթևեկության պաշտպանվածության երաշխիքը։ Երկու պատասխաններն էլ կարող են ճիշտ լինել, բայց ոչ մեկը լռելյայն արժեք չէ, որը պետք է բացահայտեք խափանման ընթացքում։
Կրկին փորձելու վարքը նույն որոշման մասն է։ Անվերջ փորձող հաճախորդը թաքցնում է կոտրված դարպասը մոնիտորինգից, մինչդեռ մեկ փորձից հետո հանձնվող հաճախորդը օգտատիրոջը կոտրված է թվում։ Որոշեք, թե որքան պետք է վերջնակետը շարունակի փորձել, մինչև ձախողման քաղաքականությունը վերցնի ղեկը, և փորձարկեք այդ ժամանակը՝ այն ենթադրելու փոխարեն։
Չորրորդ քայլ․ սահմանեք, ինչն է համարվում վստահելի
Վստահելի ցանցի հայտնաբերումը օգտագործում է հաճախորդի պրոֆիլի չափանիշները՝ ինչպիսիք են կարգավորված DNS տիրույթները կամ վստահելի DNS սերվերները, որպեսզի որոշի, որ վերջնակետն արդեն ցանցում է, որտեղ թունելը պարտադիր չէ։ Այդ ցանկը ողջ քաղաքականությունն է, ուստի դատարկ կամ ժառանգված ցանկը գործառույթը դարձնում է կամ անգործուն, կամ անկանխատեսելի։
Չփոխարինեք այն Windows-ի հրակայուն պատի ցանցային կատեգորիայի վերաբերյալ ենթադրությամբ։ Մեքենան կարող է լինել տիրույթով նշված ցանցում և միևնույնն է գտնվել մի տեղում, որտեղ դուք չեք վստահում, և հանրային պրոֆիլ ունեցող մեքենան կարող է լինել ձեր իսկ շենքում։ Հայտնաբերման չափանիշները պետք է ուղղակիորեն նկարագրեն ձեր ցանցերը, ոչ դրանց փոխարինողը։
Փորձարկեք անցումը երկու ուղղությամբ, ներառյալ այն դեպքը, երբ վերջնակետը բաց նստաշրջանի ընթացքում տեղափոխվում է վստահելի ցանցից անվստահելի ցանց։ Անջատումը և վերամիացումը առանձին իրադարձություններ են, և քաղաքականությունը, որը կարգավորում է միայն առաջինը, թողնում է պատուհան, որտեղ թունելը բացակայում է։
Հինգերորդ քայլ․ դարձրեք վերջնակետի քաղաքականությունը դժվար չեղարկելի
Վերջնակետում կիրառումը նույնքան ուժեղ է, որքան վերջնակետի սեփական վերահսկիչները։ Տեղական ադմինիստրատորի իրավունքները թույլ են տալիս օգտատիրոջը կանգնեցնել գործակալի ծառայությունը, փոխարինել պրոֆիլը կամ հեռացնել հաճախորդը, և պրոֆիլի պանակը, որտեղ սովորական օգտատերերը կարող են գրել, քաղաքականություն է, որը ցանկացածը կարող է խմբագրել։ Երկուսն էլ վերջնակետերի կառավարման խնդիրներ են, որոնք VPN-ի գլխամասը չի կարող լուծել ձեր փոխարեն։ Կիրառում խոստանալուց առաջ հարցրեք աշխատասեղանի թիմին, թե այս երկու պայմաններից որն է գործում, և պատասխանը գրեք տեղակայման պլանում։
Որոշեք արգելափակման մակարդակը՝ վերականգնման ուղին աչքի առաջ ունենալով։ Պրոֆիլը, որը խոչընդոտում է օգտատիրոջը հասնել ինտերնետ և նաև խանգարում է վերանորոգել հաճախորդը, աջակցության զանգը վերածում է տեղում այցի, ուստի պահեք փաստաթղթավորված վերականգնման երթուղի, որը կախված չէ թունելի աշխատանքից։
Թողեք դարպասի վկայագրի ստուգումը միացված և պրոֆիլը տարածեք միայն այն ալիքով, որին վստահում եք։ Փակված հաճախորդը, որը պրոֆիլ է ընդունում անսպասելի աղբյուրից, ավելի շուտ տեղափոխել է վստահության սահմանը, քան կիրառել այն։