Cisco Secure Client Always-On: verdeelt d'Profil fir d'éischt
Cisco Secure Client Always-On brauch de Profil vum Endpunkt, ier d'Duerchsetzung gräift: kontrolléiert den Ëmfang virum Login, d'Liwwerung, d'Fehlerpolitik an déi vertraut Netzwierker.
Astellungen op der Apparat-Säit kënnen en net registréierte Laptop net wéi en verwalt Endpunkt behuele loossen, an déi meescht Always-On-Ausrollungen hänke genee an dësem Gruef. Cisco Secure Client setzt d'Politik duerch de Profil duerch, deen op der Maschinn läit, dofir ass d'Liwwerung vun deem Profil en Deel vum Duerchsetzungsplang an net en Detail dovun. Gitt déi fënnef Schrëtt hei ënnen an der Rei duerch an hält bei deem éischten un, deen net hält, well e méi spéiden Schrëtt e fréiere Gruef net kann ausgläichen.
Éischte Schrëtt: entscheet, ob d'Reegel virum Login ufänkt
Always-On baut den Tunnel op, nodeem de Benotzer sech ageloggt huet, an d'Dokumentatioun vum Hiersteller seet kloer, datt et keng Verbindung opbaut, wann keen sech aloggt. Wann Är Ufuerderung en Tunnel ass, deen et virum Windows-Login-Écran gëtt, dann ass dat déi falsch Funktioun a keng Profilastellung ännert dat. De Profil viraus verdeelen mécht aus dem Behuele nom Login kee Behuele virum Login.
Schreift d'Ufuerderung als eng vun véier verschiddene Behuelen op, a test dann all eenzel. Eng eenzeg gelungen Verbindung weist just de gewéinleche Fall, an déi aner dräi sinn do, wou d'Support-Ticketen hierkommen. Markéiert wéi eng Zeil Är Ufuerderung wierklech brauch, well en Team, deen just d'Behuele nom Login brauch, d'Argumentatioun iwwer de Login virdrun iwwersprange kann. D'Tabell ass eng Akzeptanzlëscht, keng Wonschlëscht.
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
Wann d'Ufuerderung just déi zweet Zeil ass, gëllt de Rescht vun dëser Säit nach ëmmer, awer den Akzeptanztest ass méi bëlleg.
Zweeten Schrëtt: bestätegt, datt de Profil schonn um Endpunkt ass
D'Duerchsetzung liest e lokale Profil, dofir ass déi éischt Fro, ob dës Datei existéiert, ier de Benotzer iwwerhaapt verbënnt. E Profil, deen bei der éischter gelungener Verbindung erofgeluede gëtt, kënnt ze spéit fir eng Maschinn, déi vum éischte Login u geschützt misst sinn. Liwwert en mam Installateur oder mat der Endpunkt-Verwaltung, a behandelt d'Präsenz vun der Datei als eng Build-Kontroll amplaz eng Hoffnung.
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnMéi al AnyConnect-Installatioune halen déiselwecht Datei an engem anescht genannten Dossier, dofir bestätegt de Pad fir d'Client-Versioun, déi Dir ausrollt, amplaz e Pad aus engem ale Runbook ze kopéieren. De Service muss lafen an op automatesch Start agestellt sinn, well en agestoppten Agent en Endpunkt ouni Duerchsetzung ass, egal wat de Profil seet.
Wann de Profil feelt, hält hei un. D'Fehlerpolitik oder d'Lëscht vun de vertrauten Netzwierker fir eng Maschinn ouni Profil ze flécken ass Aarbecht op engem Pad, deen ni ausgefouert gëtt.
Drëtte Schrëtt: wielt d'Fehlerverhale bewosst
Wat geschitt, wann den Tunnel net eropkënnt, ass eng aner Entscheedung wéi ob den Tunnel automatesch start. D'Verbindungsfehlerpolitik entscheet, ob den Endpunkt d'Internet dierf benotzen, wärend den Opbau weider feelt, an déi zwou Astellungen ginn dacks duercherneen gebruecht, well se allebéid no bei den Always-On-Optiounen leien. Wielt eng bewosst a schreift de Grond op.
All Konnektivitéit ze blockéiere kléngt streng a schaaft seng eege Klass vun Zwëschefäll: e Benotzer an engem Netzwierk, wou de Gateway net erreechbar ass, kann de Fix net eroflueden, deen de Service géif restauréieren. Internetzougang ze erlaben hält d'Maschinn benotzbar a schwächt d'Garantie, datt den Traffic geschützt ass. Béid Äntwerten kënnen richteg sinn, awer keng ass e Standardwäert, deen Dir während enger Stéierung sollte feststellen.
D'Wiederhuelverhalen gehéiert zu der selwechter Entscheedung. E Client, dee fir ëmmer probéiert, verdeckt e futti Gateway virun der Iwwerwaachung, wärend e Client, deen no engem Versuch opgëtt, dem Benotzer futti erschéngt. Entscheet, wéi laang den Endpunkt soll weider probéieren, ier d'Fehlerpolitik iwwerhëlt, a test dës Zäit amplaz se unzehuelen.
Véierte Schrëtt: definéiert, wat als vertraut gëllt
D'Erkennung vu vertrauten Netzwierker benotzt d'Krittären am Client-Profil, wéi konfiguréiert DNS-Domänen oder vertraut DNS-Server, fir ze entscheeden, datt den Endpunkt schonn an engem Netzwierk ass, wou den Tunnel net néideg ass. Dës Lëscht ass déi ganz Politik, dofir mécht eng eidel oder ierflech Lëscht d'Funktioun entweder inaktiv oder onberechenbar.
Ersetzt se net duerch eng Unhuel iwwer d'Netzwierkkategorie vun der Windows-Firewall. Eng Maschinn kann an engem domänemarkéierten Netzwierk sinn an trotzdem op enger Plaz, déi Dir net vertraut, an eng Maschinn mat engem ëffentleche Profil kann an Ärem eegene Gebai sinn. D'Erkennungskrittären sollten Är Netzwierker direkt beschreiwen, net en Ersatz dofir.
Test den Iwwergang a béid Richtungen, ënner anerem de Fall, wou den Endpunkt vun engem vertrauten an en onvertrauten Netzwierk wiesselt, wärend eng Sëtzung op ass. D'Ofbroch an d'Reconnect si getrennt Evenementer, an eng Politik, déi just dat éischt behandelt, léisst eng Fënster, wou den Tunnel feelt.
Fënnefte Schrëtt: maacht d'Endpunktspolitik schwéier z'annuléieren
Duerchsetzung um Endpunkt ass just esou staark wéi d'Kontrollen vum Endpunkt selwer. Lokal Administrateursrechter erlaben engem Benotzer, den Agent-Service ze stoppen, de Profil ze ersetzen oder de Client ze deinstalléieren, an en Profildossier, an dee gewéinlech Benotzer schreiwe kënnen, ass eng Politik, déi jiddwereen editéiere kann. Béid sinn Endpunkt-Verwaltungsproblemer, déi de VPN-Headend net fir Iech ka léisen. Frot den Desktop-Team, wéi eng vun dësen zwou Konditiounen zoutrëfft, ier Dir Duerchsetzung versprécht, a schreift d'Äntwert an den Ausrollplang.
Entscheet d'Spärniveau mat Blick op de Wiederherstellungswee. E Profil, deen de Benotzer vum Internet ofhält an en och dorun hindert, de Client ze flécken, mécht aus engem Support-Uruff eng Visite virun Ort, dofir haalt en dokumentéierte Wiederherstellungswee, deen net dovun ofhänkt, datt den Tunnel steet.
Halt d'Validéierung vum Gateway-Zertifikat un, a verdeelt de Profil just iwwer e Kanal, deem Dir vertraut. E gespaarten Client, deen e Profil aus enger onerwaarter Quell akzeptéiert, huet d'Vertrauensgrenz verréckelt amplaz se duerchzesetzen.