Il vostro Meraki MX supporta Cisco Secure Client?

Due thread di supporto non concordano sulla capacità di Meraki di fare AnyConnect, ed entrambi sbagliano con la stessa sicurezza. La domanda non è se un MX parli IKEv2, perché AnyConnect sull’apparecchio è un servizio TLS e non IPsec. Due verifiche separate decidono la risposta, e nessuna delle due è un confronto tra marche. Fatele in ordine e otterrete una scheda di compatibilità invece di un’opinione.

Prima il modello e la versione

Partite dall’apparecchio esatto e dal software che esegue, perché la funzione è limitata a entrambi. Meraki pubblica una matrice con i modelli supportati e il firmware minimo, e quella matrice è l’unica autorità che vale la pena citare. Un modello presente nell’elenco non è automaticamente su una versione che supporta la funzione, e una versione che la supporta potrebbe non essere quella che state eseguendo. Registrate il modello e il firmware installato come due fatti separati. Poi leggete la matrice per quella coppia.

Non ragionate a partire da un modello simile della stessa famiglia. L’elenco è per modello, e le differenze sono reali.

AnyConnect è un servizio SSL, non IPsec

Meraki descrive AnyConnect sull’MX come una VPN applicativa su TLS e DTLS, e la documenta accanto a un servizio VPN client L2TP/IPsec separato. Sono due prodotti che condividono per caso un’unica dashboard. Confrontare IKEv1 con IKEv2 vi dice qualcosa sul servizio IPsec e nulla sull’esistenza del servizio TLS sul vostro apparecchio. Se la vostra prova è una tabella delle versioni IKE, avete risposto a un’altra domanda.

Identificate quale servizio espone l’apparecchio prima di confrontare i client. Un profilo L2TP/IPsec funzionante non diventa un profilo AnyConnect perché raggiunge la stessa organizzazione, e i due richiedono configurazioni client diverse.

Quali funzioni offre davvero l’MX

L’elenco di funzioni dell’ASA di Cisco non è l’elenco di funzioni dell’MX, e un client che supporta dodici cose non fa sì che il gateway le supporti. Confrontate le funzioni che vi servono davvero: metodo di autenticazione, comportamento del tunnel diviso, gestione del DNS e il diritto richiesto dall’apparecchio. Prendete ciascuna dalla documentazione Meraki per la versione distribuita.

L’autenticazione è il punto in cui questo di solito morde. Un metodo che il client offre e che l’apparecchio non riesce a configurare è un caso di supporto in attesa di accadere.

Versione del client e diritto

Cisco Secure Client è il nome attuale della stessa famiglia di client, quindi un documento che cita AnyConnect non è necessariamente obsoleto. Conta la versione che la vostra organizzazione distribuisce e se la versione dell’apparecchio è validata rispetto a essa.

Verificate il requisito di licenza nella stessa guida invece di presumerlo da un’altra piattaforma. Poi tenete insieme il nome dell’endpoint, la verifica del certificato e il flusso di autenticazione approvato in un’unica scheda di servizio, perché questi tre falliscono in modo indipendente. Un avviso di certificato che gli utenti superano con un clic non è un risultato di compatibilità, è una configurazione non verificata. L’accesso remoto è solo metà del lavoro, perché all’utente servono ancora rotte e autorizzazioni per raggiungere la destinazione.

Scrivete la scheda con cinque campi

Modello, firmware, modalità di accesso remoto, versione del client e funzioni richieste dalla distribuzione. Cinque campi, e la risposta a possiamo usare AnyConnect sta nella combinazione e non in uno solo di essi. Quella scheda dice anche al prossimo ingegnere cosa ricontrollare dopo un aggiornamento del firmware.

Poi provate il percorso da un capo all’altro: autenticatevi, risolvete un nome interno, raggiungete una risorsa consentita e confermate che una risorsa che non dovreste raggiungere venga rifiutata. Un accesso che riesce con una risorsa che non si carica mai è un risultato parziale, e la metà mancante è di solito l’instradamento o l’autorizzazione, non il client. Archiviate la combinazione provata insieme alla modifica, così la persona successiva eredita prove invece di uno slogan.