Cisco Secure Client Always-On: ჯერ პროფილი განათავსეთ
Cisco Secure Client Always-On მოითხოვს, რომ ბოლო წერტილის პროფილი ადგილზე იყოს აღსრულებამდე: შეამოწმეთ შესვლამდე ფარგლები, მიწოდება, წარუმატებლობის პოლიტიკა და სანდო ქსელები.
მოწყობილობის მხარეს არსებული პარამეტრები ვერ აიძულებს დაურეგისტრირებულ ლეპტოპს მართული ბოლო წერტილივით მოიქცეს, და Always-On-ის დანერგვების უმეტესობა სწორედ ამ ღრიჭოში ჩერდება. Cisco Secure Client პოლიტიკას ახორციელებს მანქანაზე არსებული პროფილის მეშვეობით, ამიტომ ამ პროფილის მიწოდება აღსრულების გეგმის ნაწილია და არა მისი დეტალი. გაიარეთ ქვემოთ მოცემული ხუთი ნაბიჯი თანმიმდევრობით და გაჩერდით პირველზე, რომელიც არ დგას, რადგან გვიანი ნაბიჯი ვერ აანაზღაურებს ადრინდელ ღრიჭოს.
პირველი ნაბიჯი: გადაწყვიტეთ, იწყება თუ არა წესი შესვლამდე
Always-On გვირაბს ამყარებს მას შემდეგ, რაც მომხმარებელი შედის, და მწარმოებლის დოკუმენტაცია ცხადად ამბობს, რომ ის კავშირს არ ამყარებს, როცა არავინ შედის. თუ თქვენი მოთხოვნაა გვირაბი, რომელიც Windows-ის შესვლის ეკრანამდე არსებობს, ეს არასწორი ფუნქციაა და პროფილის ვერც ერთი კორექტირება ვერ შეცვლის ამას. პროფილის წინასწარ განთავსება შესვლის შემდგომ ქცევას შესვლამდელ ქცევად არ აქცევს.
ჩაწერეთ მოთხოვნა ოთხი განსხვავებული ქცევიდან ერთად, შემდეგ თითოეული ცალკე შეამოწმეთ. ერთი წარმატებული კავშირი მხოლოდ ჩვეულებრივ შემთხვევას აჩვენებს, ხოლო დანარჩენი სამი სწორედ იქიდან მოდის, საიდანაც მხარდაჭერის ბილეთები მოდის. მონიშნეთ, რომელი სტრიქონი სჭირდება თქვენს მოთხოვნას სინამდვილეში, რადგან გუნდს, რომელსაც მხოლოდ შესვლის შემდგომი ქცევა სჭირდება, შეუძლია შესვლამდელი კამათი გამოტოვოს. ცხრილი მიღების სიაა, არა სურვილების სია.
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
თუ მოთხოვნა მხოლოდ მეორე სტრიქონია, ამ გვერდის დარჩენილი ნაწილი კვლავ მოქმედებს, მაგრამ მიღების ტესტი იაფია.
მეორე ნაბიჯი: დაადასტურეთ, რომ პროფილი უკვე ბოლო წერტილზეა
აღსრულება კითხულობს ლოკალურ პროფილს, ამიტომ პირველი კითხვაა, არსებობს თუ არა ეს ფაილი მანამ, სანამ მომხმარებელი საერთოდ დაუკავშირდება. პირველი წარმატებული კავშირის დროს ჩამოტვირთული პროფილი ძალიან გვიან აღწევს იმ მანქანამდე, რომელიც პირველივე შესვლიდან უნდა იყოს დაცული. გაუგზავნეთ ინსტალერთან ან ბოლო წერტილების მართვასთან ერთად და ფაილის არსებობას ჩათვალეთ აწყობის შემოწმებად და არა იმედად.
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnAnyConnect-ის ძველი ინსტალაციები იმავე ფაილს სხვა სახელის საქაღალდეში ინახავენ, ამიტომ შეამოწმეთ გზა იმ კლიენტის ვერსიისთვის, რომელსაც ათავსებთ, ძველი სახელმძღვანელოდან გზის კოპირების ნაცვლად. სერვისი უნდა მუშაობდეს და ავტომატურ გაშვებაზე იყოს დაყენებული, რადგან გაჩერებული აგენტი აღუსრულებელი ბოლო წერტილია, რაც არ უნდა თქვას პროფილმა.
თუ პროფილი არ არის, აქ გაჩერდით. წარუმატებლობის პოლიტიკის ან სანდო ქსელების სიის გასწორება პროფილის გარეშე მანქანისთვის არის მუშაობა გზაზე, რომელიც არასოდეს სრულდება.
მესამე ნაბიჯი: შეგნებულად აირჩიეთ წარუმატებლობის ქცევა
რა ხდება, როცა გვირაბი ვერ ადის, ცალკე გადაწყვეტილებაა იმისგან, იწყება თუ არა გვირაბი ავტომატურად. კავშირის წარუმატებლობის პოლიტიკა წყვეტს, შეიძლება თუ არა ბოლო წერტილმა ინტერნეტით სარგებლობა, სანამ დამყარება კვლავ ვერ ხერხდება, და ეს ორი პარამეტრი ხშირად ერევა ერთმანეთში, რადგან ორივე Always-On-ის პარამეტრებთან ახლოსაა. აირჩიეთ ერთი განზრახ და ჩაწერეთ მიზეზი.
ყველა კავშირის დაბლოკვა მკაცრად ჟღერს და თავის ინციდენტების კლასს ქმნის: მომხმარებელი ქსელში, სადაც კარიბჭე მიუწვდომელია, ვერ ჩამოტვირთავს იმ შესწორებას, რომელიც სერვისს აღადგენდა. ინტერნეტზე წვდომის დაშვება მანქანას გამოსაყენებლად ტოვებს და ასუსტებს იმ გარანტიას, რომ ტრაფიკი დაცულია. ორივე პასუხი შეიძლება სწორი იყოს, მაგრამ არც ერთი არ არის ნაგულისხმევი მნიშვნელობა, რომელიც უნდა აღმოაჩინოთ გათიშვის დროს.
ხელახალი ცდის ქცევა იმავე გადაწყვეტილებას ეკუთვნის. უსასრულოდ რომ ცდილობს კლიენტი, გატეხილ კარიბჭეს მონიტორინგისგან მალავს, ხოლო ერთი ცდის შემდეგ დანებებული კლიენტი მომხმარებელს გატეხილად ეჩვენება. გადაწყვიტეთ, რამდენ ხანს უნდა გააგრძელოს ბოლო წერტილმა ცდა, სანამ წარუმატებლობის პოლიტიკა აიღებს სადავეებს, და შეამოწმეთ ეს დრო, ვიდრე ჩათვლიდეთ.
მეოთხე ნაბიჯი: განსაზღვრეთ, რა ითვლება სანდოდ
სანდო ქსელის ამოცნობა იყენებს კლიენტის პროფილში არსებულ კრიტერიუმებს, როგორიცაა კონფიგურირებული DNS დომენები ან სანდო DNS სერვერები, რათა დაადგინოს, რომ ბოლო წერტილი უკვე ქსელშია, სადაც გვირაბი საჭირო არ არის. ეს სია მთელი პოლიტიკაა, ამიტომ ცარიელი ან მემკვიდრეობით მიღებული სია ფუნქციას ან უმოქმედოს, ან არაპროგნოზირებადს ხდის.
ნუ ჩაანაცვლებთ მას Windows-ის ცეცხლოვანი კედლის ქსელის კატეგორიის შესახებ ვარაუდით. მანქანა შეიძლება იყოს დომენით მონიშნულ ქსელში და მაინც იმ ადგილას იყოს, რომელსაც არ ენდობით, ხოლო საჯარო პროფილის მანქანა შეიძლება თქვენივე შენობაში იყოს. ამოცნობის კრიტერიუმებმა პირდაპირ უნდა აღწეროს თქვენი ქსელები და არა მათი შემცვლელი.
შეამოწმეთ გადასვლა ორივე მიმართულებით, მათ შორის შემთხვევა, როცა ბოლო წერტილი ღია სესიის დროს სანდო ქსელიდან არასანდოზე გადადის. გათიშვა და ხელახლა დაკავშირება ცალკე მოვლენებია, და პოლიტიკა, რომელიც მხოლოდ პირველს ამუშავებს, ტოვებს ფანჯარას, სადაც გვირაბი არ არის.
მეხუთე ნაბიჯი: ბოლო წერტილის პოლიტიკა გაუქმებად რთულად აქციეთ
ბოლო წერტილზე აღსრულება იმდენად ძლიერია, რამდენადაც თავად ბოლო წერტილის კონტროლი. ლოკალური ადმინისტრატორის უფლებები მომხმარებელს აძლევს საშუალებას გააჩეროს აგენტის სერვისი, შეცვალოს პროფილი ან წაშალოს კლიენტი, ხოლო პროფილის საქაღალდე, სადაც ჩვეულებრივ მომხმარებლებს შეუძლიათ ჩაწერა, პოლიტიკაა, რომლის რედაქტირებაც ნებისმიერს შეუძლია. ორივე ბოლო წერტილების მართვის პრობლემაა, რომელსაც VPN-ის თავი თქვენ ნაცვლად ვერ გადაჭრის. სანამ აღსრულებას დაჰპირდებით, ჰკითხეთ სამუშაო მაგიდის გუნდს, ამ ორი პირობიდან რომელი მოქმედებს, და პასუხი ჩაწერეთ დანერგვის გეგმაში.
განსაზღვრეთ ჩაკეტვის დონე აღდგენის გზის გათვალისწინებით. პროფილი, რომელიც მომხმარებელს ინტერნეტზე მისვლას უკრძალავს და კლიენტის შეკეთებასაც უშლის, მხარდაჭერის ზარს ადგილზე ვიზიტად აქცევს, ამიტომ შეინარჩუნეთ დოკუმენტირებული აღდგენის მარშრუტი, რომელიც გვირაბის მუშაობაზე არ არის დამოკიდებული.
დატოვეთ კარიბჭის სერტიფიკატის შემოწმება ჩართული და პროფილი გაავრცელეთ მხოლოდ იმ არხით, რომელსაც ენდობით. ჩაკეტილი კლიენტი, რომელიც პროფილს მოულოდნელი წყაროდან იღებს, სანდოობის საზღვარი გადააადგილა და არა დააწესა.