Cisco Secure Client Always-On：まずプロファイルを配布する

端末側の設定だけでは、未登録のノート PC を管理されたエンドポイントのように振る舞わせることはできず、多くの Always-On 導入はまさにこの隙間で止まります。Cisco Secure Client はマシン上にあるプロファイルを通じてポリシーを適用するため、そのプロファイルの配布は適用計画の一部であり、細部ではありません。以下の五つの手順を順に進め、当てはまらない最初の手順で止めてください。後の手順は前の不足を補えないからです。

手順一：規則がログイン前に始まるかを決める

Always-On はユーザーがログインした後にトンネルを確立し、ベンダーの文書は誰もログインしない場合には接続を確立しないと明記しています。要件が Windows のログイン画面より前に存在するトンネルであるなら、これは誤った機能であり、プロファイルの調整では変わりません。プロファイルを事前に配布しても、ログイン後の動作がログイン前の動作になるわけではありません。

要件を四つの異なる動作のどれかとして書き出し、それぞれを別々に検証してください。接続が一度成功しただけでは通常のケースしか示せず、残りの三つがサポート問い合わせの源です。要件が実際に必要とする行に印を付けてください。ログイン後の動作だけを必要とするチームはログイン前の議論を省けます。表は受け入れ項目の一覧であり、願望の一覧ではありません。

要件が二行目だけであれば、このページの残りは依然として当てはまりますが、受け入れテストは安く済みます。

手順二：プロファイルがすでにエンドポイントにあることを確認する

適用はローカルのプロファイルを読むため、最初の問いはユーザーが接続する前にそのファイルが存在するかどうかです。最初の接続成功時にダウンロードされるプロファイルは、最初のログインから守る必要があるマシンには遅すぎます。インストーラーやエンドポイント管理と一緒に配布し、ファイルの存在を期待ではなくビルド時の確認として扱ってください。

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

古い AnyConnect のインストールでは同じファイルが別名のフォルダーに置かれるため、古い手順書からパスをコピーするのではなく、配布するクライアントのバージョンに合わせてパスを確認してください。サービスは実行中で、自動開始に設定されている必要があります。停止したエージェントは、プロファイルが何と言おうと適用されていないエンドポイントです。

プロファイルがなければここで止めてください。プロファイルのないマシンに対して失敗ポリシーや信頼済みネットワークの一覧を直すのは、決して実行されない経路への作業です。

手順三：失敗時の動作を意図的に選ぶ

トンネルが上がらないときに何が起きるかは、トンネルが自動で始まるかどうかとは別の決定です。接続失敗ポリシーは、確立が失敗し続ける間にエンドポイントがインターネットを使えるかを決めます。両方とも Always-On のオプションの近くにあるため、よく混同されます。どちらかを意図的に選び、理由を書き留めてください。

すべての接続を遮断するのは厳しく聞こえますが、独自のインシデント種別を生みます。ゲートウェイに到達できないネットワーク上のユーザーは、サービスを復旧させる修正をダウンロードできません。インターネット接続を許可すればマシンは使えるままで、通信が保護されるという保証は弱まります。どちらの答えも正しくあり得ますが、どちらも障害時に発見すべき既定値ではありません。

再試行の動作も同じ決定に属します。無限に再試行するクライアントは壊れたゲートウェイを監視から隠し、一度で諦めるクライアントはユーザーに壊れて見えます。失敗ポリシーが引き継ぐ前にエンドポイントがどれだけ試すべきかを決め、想定するのではなくその時間を検証してください。

手順四：何を信頼済みとみなすかを定義する

信頼済みネットワークの検出は、クライアントプロファイル内の条件、たとえば設定された DNS ドメインや信頼済み DNS サーバーを使い、エンドポイントがすでにトンネルの不要なネットワーク上にあると判断します。その一覧がポリシーのすべてであるため、空または継承された一覧ではこの機能は無効か予測不能になります。

Windows ファイアウォールのネットワーク種別に関する仮定で置き換えないでください。マシンはドメインのタグが付いたネットワーク上にありながら、信頼しない場所にあることがあり、パブリックプロファイルのマシンが自社の建物内にあることもあります。検出条件はあなたのネットワークを直接記述するものであるべきで、その代用ではありません。

遷移を両方向で検証してください。セッションが開いている間にエンドポイントが信頼済みから非信頼のネットワークへ移る場合も含みます。切断と再接続は別々の出来事であり、最初のものだけを扱うポリシーはトンネルが存在しない窓を残します。

手順五：エンドポイントのポリシーを元に戻しにくくする

エンドポイント上の適用は、エンドポイント自身の制御と同じ強さしかありません。ローカル管理者権限があれば、ユーザーはエージェントサービスを停止し、プロファイルを差し替え、クライアントを削除できます。通常のユーザーが書き込めるプロファイルディレクトリは、誰でも編集できるポリシーです。どちらも VPN ヘッドエンドでは解決できないエンドポイント管理の問題です。適用を約束する前に、デスクトップチームにどちらの条件が当てはまるかを尋ね、その答えを展開計画に書いてください。

復旧経路を見据えてロックダウンの水準を決めてください。インターネットへの到達を妨げ、さらにクライアントの修復も妨げるプロファイルは、サポートへの電話を現地訪問に変えてしまいます。トンネルが上がっていることに依存しない、文書化された復旧経路を用意してください。

ゲートウェイ証明書の検証は有効なままにし、プロファイルは信頼できる経路でのみ配布してください。予期しない配布元からのプロファイルを受け入れるロックダウン済みのクライアントは、信頼の境界を適用したのではなく動かしてしまっています。