Cisco Secure Client Always-On: terapkan profil lebih dulu

Setelan di sisi perangkat tidak dapat membuat laptop yang belum terdaftar berperilaku seperti endpoint terkelola, dan sebagian besar peluncuran Always-On terhenti tepat di celah itu. Cisco Secure Client menegakkan kebijakan melalui profil yang ada di mesin, jadi pengiriman profil tersebut adalah bagian dari rencana penegakan, bukan detailnya. Jalani lima langkah di bawah ini secara berurutan dan berhenti pada langkah pertama yang tidak terpenuhi, karena langkah berikutnya tidak dapat menutupi celah sebelumnya.

Langkah satu: putuskan apakah aturan dimulai sebelum login

Always-On membangun tunnel setelah pengguna login, dan dokumentasi vendor menyatakan dengan jelas bahwa ia tidak membangun koneksi ketika tidak ada yang login. Jika kebutuhan Anda adalah tunnel yang sudah ada sebelum layar login Windows, ini fitur yang salah dan tidak ada penyetelan profil yang mengubahnya. Menerapkan profil lebih dulu tidak mengubah perilaku setelah login menjadi perilaku sebelum login.

Tuliskan kebutuhan sebagai salah satu dari empat perilaku yang berbeda, lalu uji masing-masing secara terpisah. Satu koneksi yang berhasil hanya menunjukkan kasus biasa, dan tiga sisanya adalah sumber tiket dukungan. Tandai baris mana yang benar-benar dibutuhkan kebutuhan Anda, karena tim yang hanya membutuhkan perilaku setelah login dapat melewati argumen sebelum login. Tabel itu daftar penerimaan, bukan daftar keinginan.

Jika kebutuhannya hanya baris kedua, sisa halaman ini tetap berlaku, tetapi uji penerimaannya lebih murah.

Langkah dua: pastikan profil sudah ada di endpoint

Penegakan membaca profil lokal, jadi pertanyaan pertama adalah apakah berkas itu ada sebelum pengguna terhubung. Profil yang diunduh selama koneksi berhasil pertama datang terlalu terlambat bagi mesin yang harus dilindungi sejak login pertama. Kirimkan bersama penginstal atau bersama manajemen endpoint, dan perlakukan keberadaan berkas itu sebagai pemeriksaan build, bukan harapan.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Instalasi AnyConnect yang lebih lama menyimpan berkas yang sama di folder dengan nama berbeda, jadi pastikan jalur untuk versi klien yang Anda terapkan alih-alih menyalin jalur dari runbook lama. Layanan harus berjalan dan diatur untuk mulai otomatis, karena agen yang berhenti adalah endpoint tanpa penegakan, apa pun kata profilnya.

Jika profil tidak ada, berhenti di sini. Memperbaiki kebijakan kegagalan atau daftar jaringan tepercaya untuk mesin tanpa profil adalah pekerjaan pada jalur yang tidak pernah dijalankan.

Langkah tiga: pilih perilaku kegagalan dengan sengaja

Apa yang terjadi ketika tunnel tidak dapat naik adalah keputusan terpisah dari apakah tunnel mulai otomatis. Kebijakan kegagalan koneksi memutuskan apakah endpoint boleh menggunakan internet selama pembentukan terus gagal, dan kedua setelan itu sering tertukar karena keduanya berada dekat opsi Always-On. Pilih satu dengan sengaja dan tuliskan alasannya.

Memblokir semua konektivitas terdengar ketat dan menciptakan kelas insidennya sendiri: pengguna di jaringan yang gateway-nya tidak dapat dijangkau tidak dapat mengunduh perbaikan yang akan memulihkan layanan. Mengizinkan akses internet membuat mesin tetap dapat digunakan dan melemahkan jaminan bahwa lalu lintas terlindungi. Kedua jawaban bisa benar, tetapi tidak ada yang merupakan nilai bawaan yang sebaiknya Anda temukan saat gangguan.

Perilaku percobaan ulang termasuk dalam keputusan yang sama. Klien yang mencoba selamanya menyembunyikan gateway rusak dari pemantauan, sedangkan klien yang menyerah setelah satu percobaan tampak rusak bagi pengguna. Putuskan berapa lama endpoint harus terus mencoba sebelum kebijakan kegagalan mengambil alih, dan uji waktu itu alih-alih mengasumsikannya.

Langkah empat: tentukan apa yang dianggap tepercaya

Deteksi jaringan tepercaya menggunakan kriteria dalam profil klien, seperti domain DNS yang dikonfigurasi atau server DNS tepercaya, untuk memutuskan bahwa endpoint sudah berada di jaringan tempat tunnel tidak diperlukan. Daftar itu adalah seluruh kebijakan, jadi daftar yang kosong atau diwarisi membuat fitur menjadi tidak berfungsi atau tidak dapat diprediksi.

Jangan menggantinya dengan asumsi tentang kategori jaringan firewall Windows. Sebuah mesin dapat berada di jaringan bertanda domain dan tetap berada di tempat yang tidak Anda percayai, dan mesin dengan profil publik dapat berada di dalam gedung Anda sendiri. Kriteria deteksi harus menggambarkan jaringan Anda secara langsung, bukan penggantinya.

Uji transisi di kedua arah, termasuk kasus ketika endpoint berpindah dari jaringan tepercaya ke jaringan tidak tepercaya saat sesi terbuka. Pemutusan dan penyambungan ulang adalah peristiwa terpisah, dan kebijakan yang hanya menangani yang pertama meninggalkan jendela ketika tunnel tidak ada.

Langkah lima: buat kebijakan endpoint sulit dibatalkan

Penegakan di endpoint hanya sekuat kontrol endpoint itu sendiri. Hak administrator lokal memungkinkan pengguna menghentikan layanan agen, mengganti profil, atau mencopot pemasangan klien, dan direktori profil yang dapat ditulisi pengguna biasa adalah kebijakan yang dapat diedit siapa pun. Keduanya masalah manajemen endpoint yang tidak dapat diselesaikan oleh kepala VPN untuk Anda. Tanyakan kepada tim desktop kondisi mana dari dua kondisi itu yang berlaku sebelum Anda menjanjikan penegakan, dan tuliskan jawabannya dalam rencana peluncuran.

Putuskan tingkat penguncian dengan mempertimbangkan jalur pemulihan. Profil yang memblokir pengguna dari internet dan juga mencegahnya memperbaiki klien mengubah panggilan dukungan menjadi kunjungan ke lokasi, jadi pertahankan jalur pemulihan yang terdokumentasi yang tidak bergantung pada tunnel yang menyala.

Biarkan validasi sertifikat gateway tetap aktif, dan distribusikan profil hanya melalui kanal yang Anda percayai. Klien yang terkunci dan menerima profil dari sumber tak terduga telah memindahkan batas kepercayaan, bukan menegakkannya.