Cisco Secure Client Always-On: адегенде профилди жайгаштырыңыз

Түзмөктүн тарабындагы жөндөөлөр катталбаган ноутбукту башкарылуучу акыркы чекит сыяктуу жүрүм-турумга мажбурлай албайт, жана Always-On киргизүүлөрүнүн көбү так ушул боштукта токтоп калат. Cisco Secure Client саясатты машинадагы профилдин негизинде колдонот, ошондуктан ошол профилди жеткирүү колдонуу планынын бөлүгү, анын деталы эмес. Төмөнкү беш кадамды тартиби менен өтүп, биринчи аткарылбаган кадамда токтогол, анткени кийинки кадам мурунку боштукту толуктай албайт.

Биринчи кадам: эреже кирүүдөн мурун башталабы, аны чечиңиз

Always-On туннелди колдонуучу киргенден кийин орнотот, жана өндүрүүчүнүн документтери эч ким кирбесе ал байланыш орнотпоосун ачык айтат. Эгер сиздин талабыңыз Windows кирүү экранына чейин бар болгон туннел болсо, бул туура эмес функция жана профилди жөндөөнүн эч канча көлөмү аны өзгөртпөйт. Профилди алдын ала жайгаштыруу кирүүдөн кийинки жүрүм-турумду кирүүдөн мурунку жүрүм-турумга айландырбайт.

Талапты төрт ар башка жүрүм-турумдун бири катары жазып, анан ар бирин өзүнчө текшериңиз. Бир ийгиликтүү байланыш гана кадимки учурду көрсөтөт, калган үчөө колдоо билеттеринин булагы. Талабыңызга чындыгында кайсы сап керек экенин белгилеңиз, анткени кирүүдөн кийинки жүрүм-турум гана керек болгон топ кирүүдөн мурунку талкууну өткөрүп жибере алат. Таблица кабыл алуу тизмеси, каалоо тизмеси эмес.

Эгер талап экинчи сап гана болсо, бул барактын калганы дагы эле колдонулат, бирок кабыл алуу сынагы арзаныраак.

Экинчи кадам: профил акыркы чекитте мурунтан бар экенин ырастаңыз

Колдонуу жергиликтүү профилди окуйт, ошондуктан биринчи суроо — бул файл колдонуучу туташканга чейин барбы. Биринчи ийгиликтүү байланышта жүктөлгөн профил биринчи кирүүдөн эле корголушу керек машинага өтө кеч жетет. Аны орнотуучу менен же акыркы чекиттерди башкаруу менен жөнөтүңүз жана файлдын бар экенин үмүт эмес, куруу текшерүүсү деп кабыл алыңыз.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

AnyConnect'тин эски орнотуулары ошол эле файлды башка аталыштагы папкада сактайт, ошондуктан эски колдонмодон жолду көчүрүүнүн ордуна жайгаштырып жаткан клиент версиясы үчүн жолду текшериңиз. Кызмат иштеп турушу жана автоматтык баштоого коюлушу керек, анткени токтогон агент профил эмне дебесин, колдонулбаган акыркы чекит.

Эгер профил жок болсо, ушул жерде токтогол. Профили жок машина үчүн ката саясатын же ишенимдүү тармактардын тизмесин оңдоо — эч качан аткарылбай турган жолдогу иш.

Үчүнчү кадам: ката кездеги жүрүм-турумду атайын тандаңыз

Туннел көтөрүлө албаганда эмне болору — туннел өзү башталабы деген чечимден өзүнчө чечим. Байланыш катасынын саясаты орнотуу ийгиликсиз болуп турганда акыркы чекит интернетти колдоно алабы-жокпу чечет, жана бул эки жөндөө көп учурда аралашат, анткени экөө тең Always-On опцияларынын жанында турат. Бирин атайын тандап, себебин жазыңыз.

Бардык байланышты бөгөттөө катуу угулат жана өзүнүн окуя классын жаратат: шлюз жеткиликсиз тармактагы колдонуучу кызматты калыбына келтире турган оңдоону жүктөй албайт. Интернетке уруксат берүү машинаны колдонууга жарактуу кармайт жана трафиктин корголушуна кепилдикти начарлатат. Эки жооп тең туура болушу мүмкүн, бирок экөө тең бузулуу убагында табылуучу демейки маани эмес.

Кайра аракет кылуу жүрүм-туруму ошол эле чечимге таандык. Түбөлүк аракет кылган клиент бузулган шлюзду мониторингден жашырат, ал эми бир аракеттен кийин баш тарткан клиент колдонуучуга бузулгандай көрүнөт. Ката саясаты ээлик кылганга чейин акыркы чекит канча убакыт аракет кылышы керектигин чечиңиз жана аны болжолдоонун ордуна ошол убакытты текшериңиз.

Төртүнчү кадам: эмне ишенимдүү деп эсептелерин аныктаңыз

Ишенимдүү тармакты аныктоо клиент профилиндеги критерийлерди, мисалы конфигурацияланган DNS домендерин же ишенимдүү DNS серверлерин колдонуп, акыркы чекит туннел керектелбеген тармакта экенин чечет. Бул тизме — бүт саясат, ошондуктан бош же мурастык тизме функцияны же алсыз, же болжолсуз кылат.

Аны Windows дубал капталынын тармак категориясы тууралуу божомол менен алмаштырбаңыз. Машина домен белгиленген тармакта болуп, баары бир сиз ишенбеген жерде турушу мүмкүн, ал эми коомдук профили бар машина өз имаратыңыздын ичинде болушу мүмкүн. Аныктоо критерийлери тармактарыңызды түз сүрөттөшү керек, алардын ордун басуучуну эмес.

Өтүүнү эки багытта тең текшериңиз, анын ичинде сессия ачык кезде акыркы чекит ишенимдүү тармактан ишенимсиз тармакка өткөн учурду. Ажыроо жана кайра туташуу өзүнчө окуялар, жана биринчисин гана иштеп чыккан саясат туннел жок терезени калтырат.

Бешинчи кадам: акыркы чекиттин саясатын жокко чыгарууну кыйындатыңыз

Акыркы чекиттеги колдонуу акыркы чекиттин өз көзөмөлдөрү канчалык күчтүү болсо, ошончолук күчтүү. Жергиликтүү администратор укуктары колдонуучуга агент кызматын токтотууга, профилди алмаштырууга же клиентти өчүрүүгө мүмкүндүк берет, ал эми жөнөкөй колдонуучулар жаза алган профил папкасы — ар ким оңдой алган саясат. Экөө тең VPN башы сиз үчүн чече албаган акыркы чекиттерди башкаруу маселелери. Колдонууга убада берүүдөн мурун жумуш үстөлү тобунан бул эки шарттын кайсынысы аткарыларын сурап, жоопту киргизүү планына жазыңыз.

Калыбына келтирүү жолун эске алып, кулпулоо деңгээлин чечиңиз. Колдонуучунун интернетке жетүүсүнө тоскоол болгон жана клиентти оңдоого да жол бербеген профил колдоо чалуусун жергиликтүү зыярат кылат, ошондуктан туннелдин иштешине көз каранды эмес документтелген калыбына келтирүү маршрутун кармаңыз.

Шлюздун сертификатын текшерүүнү күйгүзүлүк күйүндө калтырыңыз жана профилди сиз ишенген канал аркылуу гана таратыңыз. Күтүлбөгөн булактан профил кабыл алган кулпуланган клиент ишеним чек арасын колдонуунун ордуна жылдырып койгон.