Cisco Secure Client Always-On: алдымен профильді орналастырыңыз

Құрылғы жағындағы параметрлер тіркелмеген ноутбукті басқарылатын соңғы нүкте ретінде ұстауға мәжбүрлей алмайды, және Always-On енгізулерінің көбісі дәл осы олқылықта тұрып қалады. Cisco Secure Client саясатты машинада тұрған профиль арқылы қолданады, сондықтан сол профильді жеткізу қолдану жоспарының бөлігі, оның бөлшегі емес. Төмендегі бес қадамды ретімен өтіп, бірінші орындалмайтын қадамда тоқтаңыз, өйткені кейінгі қадам бұрынғы олқылықты өтей алмайды.

Бірінші қадам: ереженің кіруге дейін басталатынын шешіңіз

Always-On туннельді пайдаланушы кіргеннен кейін орнатады, ал өндіруші құжаттамасы ешкім кірмесе ол байланыс орнатпайтынын анық айтады. Егер сіздің талабыңыз Windows кіру экранына дейін бар туннель болса, бұл қате мүмкіндік және профильді реттеудің ешбір мөлшері оны өзгертпейді. Профильді алдын ала орналастыру кіруден кейінгі мінез-құлықты кіруге дейінгі мінез-құлыққа айналдырмайды.

Талапты төрт түрлі мінез-құлықтың бірі ретінде жазып, содан кейін әрқайсысын бөлек тексеріңіз. Бір сәтті байланыс тек қарапайым жағдайды көрсетеді, ал қалған үшеуі қолдау билеттерінің көзі. Талабыңызға қай жол шынымен қажет екенін белгілеңіз, өйткені тек кіруден кейінгі мінез-құлық қажет топ кіруге дейінгі дәлелді өткізіп жібере алады. Кесте қабылдау тізімі, тілек тізімі емес.

Егер талап тек екінші жол болса, осы беттің қалғаны әлі де қолданылады, бірақ қабылдау сынағы арзанырақ.

Екінші қадам: профильдің соңғы нүктеде бұрыннан бар екенін растаңыз

Қолдану жергілікті профильді оқиды, сондықтан бірінші сұрақ — бұл файл пайдаланушы қосылмай тұрып бар ма. Бірінші сәтті байланыс кезінде жүктелген профиль бірінші кіруден бастап қорғалуы тиіс машинаға тым кеш жетеді. Оны орнатушымен немесе соңғы нүктелерді басқарумен бірге жіберіңіз және файлдың болуын үміт емес, құрастыру тексерісі деп қарастырыңыз.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

AnyConnect-тің ескі орнатулары сол файлды басқа атаулы қалтада ұстайды, сондықтан ескі нұсқаулықтан жолды көшірудің орнына орналастыратын клиент нұсқасы үшін жолды тексеріңіз. Қызмет жұмыс істеп тұруы және автоматты түрде іске қосылуға орнатылуы керек, өйткені тоқтатылған агент профиль не десе де, қолданылмаған соңғы нүкте.

Егер профиль жоқ болса, осы жерде тоқтаңыз. Профилі жоқ машина үшін сәтсіздік саясатын немесе сенімді желілер тізімін түзету — ешқашан орындалмайтын жолдағы жұмыс.

Үшінші қадам: сәтсіздік кезіндегі мінез-құлықты әдейі таңдаңыз

Туннель көтеріле алмағанда не болатыны — туннельдің өздігінен басталатыны туралы шешімнен бөлек шешім. Қосылу сәтсіздігі саясаты орнату сәтсіздігі жалғасқанда соңғы нүктенің интернетті пайдалана алатынын шешеді, және бұл екі параметр жиі шатастырылады, өйткені екеуі де Always-On опцияларының жанында тұр. Біреуін әдейі таңдап, себебін жазыңыз.

Барлық байланысты блоктау қатал болып естіледі және өзінің оқиға класын туғызады: шлюзге қол жетпейтін желідегі пайдаланушы қызметті қалпына келтіретін түзетуді жүктей алмайды. Интернетке рұқсат беру машинаны пайдалануға жарамды күйде ұстайды және трафиктің қорғалуына кепілді әлсіретеді. Екі жауап та дұрыс болуы мүмкін, бірақ ешқайсысы ақау кезінде ашуға тиіс әдепкі мән емес.

Қайта әрекет ету мінез-құлқы сол шешімге жатады. Мәңгі әрекет ететін клиент бүлінген шлюзді мониторингтен жасырады, ал бір әрекеттен кейін бас тартатын клиент пайдаланушыға бүлінген болып көрінеді. Сәтсіздік саясаты тақымды аларға дейін соңғы нүкте қанша уақыт әрекет етуі керектігін шешіңіз және оны болжаудың орнына сол уақытты тексеріңіз.

Төртінші қадам: ненің сенімді саналатынын анықтаңыз

Сенімді желіні анықтау клиент профиліндегі өлшемдерді, мысалы конфигурацияланған DNS домендерін немесе сенімді DNS серверлерін пайдаланып, соңғы нүктенің туннель қажет емес желіде екенін шешеді. Бұл тізім — бүкіл саясат, сондықтан бос немесе мұрагерлік тізім мүмкіндікті әлсіз немесе болжамсыз етеді.

Оны Windows қабырғасының желі санаты туралы болжаммен алмастырмаңыз. Машина домен белгісі қойылған желіде болып, бәрібір сіз сенбейтін жерде тұруы мүмкін, ал жалпыға ашық профилі бар машина өз ғимаратыңыздың ішінде болуы мүмкін. Анықтау өлшемдері желілеріңізді тікелей сипаттауы керек, олардың орнын басушы емес.

Ауысуды екі бағытта да тексеріңіз, оның ішінде сессия ашық кезде соңғы нүктенің сенімді желіден сенімсіз желіге ауысу жағдайы. Ажырау мен қайта қосылу жеке оқиғалар, ал тек біріншісін өңдейтін саясат туннель жоқ терезені қалдырады.

Бесінші қадам: соңғы нүкте саясатын болдырмауды қиындатыңыз

Соңғы нүктедегі қолдану соңғы нүктенің өз бақылаулары қаншалықты күшті болса, соншалықты күшті. Жергілікті әкімші құқықтары пайдаланушыға агент қызметін тоқтатуға, профильді ауыстыруға немесе клиентті жоюға мүмкіндік береді, ал қарапайым пайдаланушылар жаза алатын профиль қалтасы — кез келген адам өңдей алатын саясат. Екеуі де VPN басы сіз үшін шеше алмайтын соңғы нүктелерді басқару мәселелері. Қолдануға уәде бермес бұрын жұмыс үстелі тобынан осы екі шарттың қайсысы орындалатынын сұрап, жауабын енгізу жоспарына жазыңыз.

Қалпына келтіру жолын ескере отырып, құлыптау деңгейін шешіңіз. Пайдаланушының интернетке жетуіне кедергі келтіретін және клиентті жөндеуіне де мүмкіндік бермейтін профиль қолдау қоңырауын орнындағы сапарға айналдырады, сондықтан туннельдің жұмысына тәуелді емес құжатталған қалпына келтіру маршрутын ұстаңыз.

Шлюз сертификатын тексеруді қосулы ұстаңыз және профильді тек сіз сенетін арна арқылы таратыңыз. Күтпеген көзден профиль қабылдайтын құлыпталған клиент сенім шекарасын қолданудың орнына жылжытып қойған.