Cisco Secure Client Always-On: 프로파일을 먼저 배포하세요

장비 쪽 설정만으로는 등록되지 않은 노트북이 관리되는 엔드포인트처럼 동작하게 만들 수 없으며, 대부분의 Always-On 도입은 바로 이 틈에서 멈춥니다. Cisco Secure Client는 머신에 있는 프로파일을 통해 정책을 적용하므로, 그 프로파일의 배포는 적용 계획의 일부이지 세부 사항이 아닙니다. 아래 다섯 단계를 순서대로 진행하고, 성립하지 않는 첫 단계에서 멈추세요. 뒤 단계가 앞선 결함을 메울 수는 없습니다.

첫 단계: 규칙이 로그인 전에 시작하는지 결정하세요

Always-On은 사용자가 로그인한 뒤에 터널을 설정하며, 공급업체 문서는 아무도 로그인하지 않으면 연결을 설정하지 않는다고 분명히 밝힙니다. 요구 사항이 Windows 로그인 화면 이전에 존재하는 터널이라면 이는 잘못된 기능이고 프로파일 조정으로는 바뀌지 않습니다. 프로파일을 미리 배포한다고 해서 로그인 후 동작이 로그인 전 동작으로 바뀌지는 않습니다.

요구 사항을 네 가지 서로 다른 동작 중 하나로 적고, 각각을 따로 시험하세요. 성공한 연결 하나는 일반적인 경우만 보여 주며, 나머지 세 가지가 지원 티켓의 원천입니다. 요구 사항에 실제로 필요한 행을 표시하세요. 로그인 후 동작만 필요한 팀은 로그인 전 논의를 건너뛸 수 있습니다. 표는 승인 목록이지 희망 목록이 아닙니다.

요구 사항이 두 번째 행뿐이라면 이 페이지의 나머지는 여전히 적용되지만 승인 시험은 더 저렴합니다.

둘째 단계: 프로파일이 이미 엔드포인트에 있는지 확인하세요

적용은 로컬 프로파일을 읽으므로 첫 질문은 사용자가 연결하기 전에 그 파일이 존재하는지입니다. 첫 연결 성공 때 내려받는 프로파일은 첫 로그인부터 보호해야 하는 머신에는 너무 늦게 도착합니다. 설치 프로그램이나 엔드포인트 관리와 함께 배포하고, 파일의 존재를 기대가 아니라 빌드 시 확인으로 다루세요.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

오래된 AnyConnect 설치에서는 같은 파일이 다른 이름의 폴더에 들어 있습니다. 따라서 오래된 런북에서 경로를 복사하지 말고 배포하는 클라이언트 버전의 경로를 확인하세요. 서비스는 실행 중이어야 하고 자동 시작으로 설정되어야 합니다. 중지된 에이전트는 프로파일이 무엇이라 하든 적용되지 않은 엔드포인트입니다.

프로파일이 없으면 여기서 멈추세요. 프로파일이 없는 머신에 실패 정책이나 신뢰 네트워크 목록을 고치는 일은 결코 실행되지 않는 경로 위의 작업입니다.

셋째 단계: 실패 시 동작을 의도적으로 고르세요

터널이 올라오지 않을 때 무슨 일이 일어나는지는 터널이 자동으로 시작하는지와는 별개의 결정입니다. 연결 실패 정책은 설정이 계속 실패하는 동안 엔드포인트가 인터넷을 쓸 수 있는지를 정하며, 두 설정은 둘 다 Always-On 옵션 근처에 있어 자주 혼동됩니다. 하나를 의도적으로 고르고 이유를 적으세요.

모든 연결을 차단하는 것은 엄격해 보이지만 그 자체의 사고 유형을 만듭니다. 게이트웨이에 닿을 수 없는 네트워크의 사용자는 서비스를 되살릴 수정을 내려받을 수 없습니다. 인터넷 접근을 허용하면 머신은 쓸 수 있게 유지되지만 트래픽이 보호된다는 보장은 약해집니다. 어느 답이든 옳을 수 있지만, 어느 것도 장애 중에 발견해야 할 기본값은 아닙니다.

재시도 동작도 같은 결정에 속합니다. 끝없이 재시도하는 클라이언트는 고장 난 게이트웨이를 모니터링에서 숨기고, 한 번 시도하고 포기하는 클라이언트는 사용자에게 고장 난 것처럼 보입니다. 실패 정책이 넘겨받기 전에 엔드포인트가 얼마나 계속 시도할지 정하고, 가정하지 말고 그 시간을 시험하세요.

넷째 단계: 무엇을 신뢰로 볼지 정의하세요

신뢰 네트워크 감지는 클라이언트 프로파일의 기준, 예컨대 구성된 DNS 도메인이나 신뢰 DNS 서버를 사용해 엔드포인트가 이미 터널이 필요 없는 네트워크에 있다고 판단합니다. 그 목록이 곧 정책 전체이므로, 비어 있거나 상속된 목록은 이 기능을 무력하게 하거나 예측 불가능하게 만듭니다.

Windows 방화벽의 네트워크 범주에 대한 가정으로 대체하지 마세요. 머신이 도메인으로 표시된 네트워크에 있으면서도 신뢰하지 않는 곳에 있을 수 있고, 공용 프로파일의 머신이 자사 건물 안에 있을 수도 있습니다. 감지 기준은 당신의 네트워크를 직접 설명해야 하며 그 대체물이어서는 안 됩니다.

전환을 양방향으로 시험하세요. 세션이 열린 상태에서 엔드포인트가 신뢰 네트워크에서 비신뢰 네트워크로 옮겨 가는 경우도 포함합니다. 연결 끊김과 재연결은 별개의 사건이며, 첫 번째만 다루는 정책은 터널이 없는 창을 남깁니다.

다섯째 단계: 엔드포인트 정책을 되돌리기 어렵게 만드세요

엔드포인트에서의 적용은 엔드포인트 자체의 통제만큼만 강합니다. 로컬 관리자 권한이 있으면 사용자는 에이전트 서비스를 중지하고, 프로파일을 바꾸고, 클라이언트를 제거할 수 있습니다. 일반 사용자가 쓸 수 있는 프로파일 디렉터리는 누구나 편집할 수 있는 정책입니다. 둘 다 VPN 헤드엔드가 대신 해결할 수 없는 엔드포인트 관리 문제입니다. 적용을 약속하기 전에 데스크톱 팀에 이 두 조건 중 어느 것이 해당하는지 물어보고, 답을 롤아웃 계획에 적으세요.

복구 경로를 염두에 두고 잠금 수준을 정하세요. 사용자의 인터넷 접근을 막고 클라이언트 수리까지 막는 프로파일은 지원 전화를 현장 방문으로 바꿉니다. 따라서 터널이 올라와 있는지에 의존하지 않는 문서화된 복구 경로를 유지하세요.

게이트웨이 인증서 검증은 켜 두고, 프로파일은 신뢰하는 채널로만 배포하세요. 예기치 않은 출처의 프로파일을 받아들이는 잠긴 클라이언트는 신뢰 경계를 적용한 것이 아니라 옮긴 것입니다.