Cisco Secure Client Always-On: pirmiausia įdiekite profilį

Įrenginio pusės nustatymai negali priversti neregistruoto nešiojamojo kompiuterio elgtis kaip valdomo galinio taško, ir dauguma Always-On diegimų įstringa būtent šioje spragoje. Cisco Secure Client taiko politiką per profilį, kuris yra kompiuteryje, todėl to profilio pristatymas yra taikymo plano dalis, o ne jo detalė. Pereikite penkis veiksmus žemiau iš eilės ir sustokite ties pirmuoju, kuris nepakanka, nes vėlesnis veiksmas negali kompensuoti ankstesnės spragos.

Pirmas veiksmas: nuspręskite, ar taisyklė prasideda prieš prisijungimą

Always-On nustato tunelį po to, kai vartotojas prisijungia, o tiekėjo dokumentacija aiškiai teigia, kad jis neužmezga ryšio, kai niekas neprisijungia. Jei jūsų reikalavimas yra tunelis, kuris egzistuoja prieš Windows prisijungimo ekraną, tai netinkama funkcija ir joks profilio derinimas to nepakeis. Išankstinis profilio įdiegimas nepaverčia elgsenos po prisijungimo elgsena prieš prisijungimą.

Užrašykite reikalavimą kaip vieną iš keturių skirtingų elgsenų, tada kiekvieną patikrinkite atskirai. Vienas sėkmingas ryšys parodo tik įprastą atvejį, o kiti trys yra palaikymo bilietų šaltinis. Pažymėkite, kurios eilutės jūsų reikalavimui iš tikrųjų reikia, nes komanda, kuriai reikia tik elgsenos po prisijungimo, gali praleisti prisijungimo prieš argumentą. Lentelė yra priėmimo sąrašas, o ne norų sąrašas.

Jei reikalavimas yra tik antra eilutė, likusi šio puslapio dalis vis tiek galioja, bet priėmimo testas yra pigesnis.

Antras veiksmas: patvirtinkite, kad profilis jau yra galiniame taške

Taikymas skaito vietinį profilį, todėl pirmas klausimas yra, ar tas failas egzistuoja prieš vartotojui prisijungiant. Profilis, atsisiųstas per pirmą sėkmingą ryšį, pristatomas per vėlai kompiuteriui, kuris turi būti apsaugotas nuo pirmo prisijungimo. Pristatykite jį su diegimo programa arba su galinių taškų valdymu ir traktuokite failo buvimą kaip kūrimo patikrą, o ne viltį.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Senesni AnyConnect diegimai tą patį failą laiko kitokio pavadinimo aplanke, todėl patikrinkite kelią diegiamos kliento versijos atveju, o ne kopijuokite kelią iš seno vadovo. Paslauga turi veikti ir būti nustatyta automatiškai paleisti, nes sustabdytas agentas yra galinis taškas be taikymo, ką bedarytų profilis.

Jei profilis neegzistuoja, sustokite čia. Gedimo politikos ar patikimų tinklų sąrašo taisymas kompiuteriui be profilio yra darbas kelyje, kuris niekada nevykdomas.

Trečias veiksmas: sąmoningai pasirinkite gedimo elgseną

Tai, kas nutinka, kai tunelis negali pakilti, yra atskiras sprendimas nuo to, ar tunelis paleidžiamas automatiškai. Ryšio gedimo politika nusprendžia, ar galiniam taškui leidžiama naudotis internetu, kol nustatymas vis dar nepavyksta, ir šie du nustatymai dažnai painiojami, nes abu yra netoli Always-On parinkčių. Pasirinkite vieną sąmoningai ir užrašykite priežastį.

Viso ryšio blokavimas skamba griežtai ir sukuria savo incidentų klasę: vartotojas tinkle, kuriame šliuzas nepasiekiamas, negali atsisiųsti pataisos, kuri atkurtų paslaugą. Interneto prieigos leidimas palieka kompiuterį naudojamą ir susilpnina garantiją, kad srautas apsaugotas. Abu atsakymai gali būti teisingi, bet nė vienas nėra numatytoji reikšmė, kurią turėtumėte atrasti per triktį.

Pakartotinio bandymo elgsena priklauso tam pačiam sprendimui. Klientas, kuris bando amžinai, slepia sugedusį šliuzą nuo stebėjimo, o klientas, kuris pasiduoda po vieno bandymo, vartotojui atrodo sugedęs. Nuspręskite, kiek laiko galinis taškas turėtų bandyti, kol gedimo politika perims, ir išbandykite tą laiką, o ne manykite.

Ketvirtas veiksmas: apibrėžkite, kas laikoma patikimu

Patikimo tinklo aptikimas naudoja kliento profilyje esančius kriterijus, pavyzdžiui, sukonfigūruotus DNS domenus ar patikimus DNS serverius, kad nuspręstų, jog galinis taškas jau yra tinkle, kuriame tunelis nereikalingas. Šis sąrašas yra visa politika, todėl tuščias ar paveldėtas sąrašas daro funkciją neveiksmingą arba nenuspėjamą.

Nepakeiskite jo prielaida apie Windows užkardos tinklo kategoriją. Kompiuteris gali būti domeno žymimame tinkle ir vis tiek būti vietoje, kuria nepasitikite, o kompiuteris su viešu profilu gali būti jūsų pačių pastate. Aptikimo kriterijai turėtų tiesiogiai aprašyti jūsų tinklus, o ne jų pakaitalą.

Išbandykite perėjimą abiem kryptimis, įskaitant atvejį, kai galinis taškas pereina iš patikimo į nepatikimą tinklą, kai sesija atidaryta. Atsijungimas ir prisijungimas iš naujo yra atskiri įvykiai, o politika, kuri tvarko tik pirmąjį, palieka langą, kuriame tunelio nėra.

Penktas veiksmas: padarykite galinio taško politiką sunkiai atšaukiamą

Taikymas galiniame taške yra tik tiek stiprus, kiek paties galinio taško kontrolė. Vietinio administratoriaus teisės leidžia vartotojui sustabdyti agento paslaugą, pakeisti profilį arba pašalinti klientą, o profilio katalogas, į kurį gali rašyti paprasti vartotojai, yra politika, kurią bet kas gali redaguoti. Abu yra galinių taškų valdymo problemos, kurių VPN šerdis negali išspręsti už jus. Prieš žadėdami taikymą, paklauskite darbalaukio komandos, kuri iš šių dviejų sąlygų galioja, ir užrašykite atsakymą diegimo plane.

Nuspręskite užrakinimo lygį atsižvelgdami į atkūrimo kelią. Profilis, kuris neleidžia vartotojui pasiekti interneto ir taip pat neleidžia jam sutaisyti kliento, palaikymo skambutį paverčia apsilankymu vietoje, todėl laikykite dokumentuotą atkūrimo maršrutą, kuris nepriklauso nuo tunelio veikimo.

Palikite įjungtą šliuzo sertifikato tikrinimą ir platinkite profilį tik kanalu, kuriuo pasitikite. Užrakintas klientas, kuris priima profilį iš netikėto šaltinio, pasitikėjimo ribą perkėlė, o ne įtvirtino.