Cisco Secure Client Always-On: vispirms izvietojiet profilu

Ierīces puses iestatījumi nevar likt nereģistrētam portatīvajam datoram uzvesties kā pārvaldītam gala punktam, un lielākā daļa Always-On ieviešanu iestrēgst tieši šajā plaisā. Cisco Secure Client piemēro politiku caur profilu, kas atrodas mašīnā, tāpēc šī profila piegāde ir piemērošanas plāna daļa, nevis tā detaļa. Iziet piecus soļus zemāk secībā un apstājieties pie pirmā, kas neiztur, jo vēlāks solis nevar kompensēt agrāku plaisu.

Pirmais solis: izlemiet, vai noteikums sākas pirms pieteikšanās

Always-On izveido tuneli pēc tam, kad lietotājs ir pieteicies, un ražotāja dokumentācija skaidri saka, ka tas neizveido savienojumu, kad neviens nepiesakās. Ja jūsu prasība ir tunelis, kas pastāv pirms Windows pieteikšanās ekrāna, tā ir nepareizā funkcija un nekāda profila regulēšana to nemaina. Profila iepriekšēja izvietošana nepārvērš uzvedību pēc pieteikšanās uzvedībā pirms pieteikšanās.

Pierakstiet prasību kā vienu no četrām atšķirīgām uzvedībām, pēc tam pārbaudiet katru atsevišķi. Viens veiksmīgs savienojums parāda tikai parasto gadījumu, un pārējie trīs ir atbalsta biļešu avots. Atzīmējiet, kura rinda jūsu prasībai patiešām nepieciešama, jo komanda, kurai nepieciešama tikai uzvedība pēc pieteikšanās, var izlaist pirms pieteikšanās argumentu. Tabula ir pieņemšanas saraksts, nevis vēlmju saraksts.

Ja prasība ir tikai otrā rinda, pārējā šīs lapas daļa joprojām ir spēkā, bet pieņemšanas tests ir lētāks.

Otrais solis: pārliecinieties, ka profils jau ir gala punktā

Piemērošana nolasa lokālo profilu, tāpēc pirmais jautājums ir, vai šis fails pastāv pirms lietotājs vispār piesakās. Profils, kas lejupielādēts pirmā veiksmīgā savienojuma laikā, tiek piegādāts pārāk vēlu mašīnai, kurai jābūt aizsargātai jau no pirmās pieteikšanās. Piegādājiet to kopā ar instalētāju vai ar gala punktu pārvaldību, un uzskatiet faila esamību par būvēšanas pārbaudi, nevis cerību.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Vecākas AnyConnect instalācijas glabā to pašu failu citādi nosauktā mapē, tāpēc pārbaudiet ceļu izvietojamās klienta versijas gadījumā, nevis kopējiet ceļu no vecas instrukcijas. Pakalpojumam jādarbojas un jābūt iestatītam automātiskai palaišanai, jo apturēts aģents ir gala punkts bez piemērošanas, lai ko arī teiktu profils.

Ja profila nav, apstājieties šeit. Kļūmes politikas vai uzticamo tīklu saraksta labošana mašīnai bez profila ir darbs ceļā, kas nekad netiek izpildīts.

Trešais solis: apzināti izvēlieties kļūmes uzvedību

Tas, kas notiek, kad tunelis nevar pacelties, ir atsevišķs lēmums no tā, vai tunelis sākas automātiski. Savienojuma kļūmes politika izlemj, vai gala punkts drīkst izmantot internetu, kamēr izveide turpina neizdoties, un šie divi iestatījumi bieži tiek sajaukti, jo abi atrodas netālu no Always-On opcijām. Izvēlieties vienu apzināti un pierakstiet iemeslu.

Visas savienojamības bloķēšana izklausās stingri un rada savu incidentu klasi: lietotājs tīklā, kur vārteja nav sasniedzama, nevar lejupielādēt labojumu, kas atjaunotu pakalpojumu. Interneta piekļuves atļaušana saglabā mašīnu lietojamu un vājina garantiju, ka trafiks ir aizsargāts. Abas atbildes var būt pareizas, bet neviena nav noklusējuma vērtība, kas jāatklāj pārtraukuma laikā.

Atkārtotas mēģināšanas uzvedība pieder pie tā paša lēmuma. Klients, kas mēģina bezgalīgi, slēpj bojātu vārteju no uzraudzības, savukārt klients, kas padevās pēc viena mēģinājuma, lietotājam šķiet bojāts. Izlemiet, cik ilgi gala punktam jāturpina mēģināt, pirms kļūmes politika pārņem, un pārbaudiet šo laiku, nevis pieņemiet to.

Ceturtais solis: definējiet, kas tiek uzskatīts par uzticamu

Uzticama tīkla noteikšana izmanto klienta profilā esošos kritērijus, piemēram, konfigurētus DNS domēnus vai uzticamus DNS serverus, lai izlemtu, ka gala punkts jau ir tīklā, kur tunelis nav nepieciešams. Šis saraksts ir visa politika, tāpēc tukšs vai mantots saraksts padara funkciju neefektīvu vai neprognozējamu.

Neaizstājiet to ar pieņēmumu par Windows ugunsmūra tīkla kategoriju. Mašīna var būt domēna atzīmētā tīklā un tomēr atrasties vietā, kurai jūs neuzticaties, un mašīna ar publisku profilu var būt jūsu pašu ēkā. Noteikšanas kritērijiem jāapraksta jūsu tīkli tieši, nevis to aizstājējs.

Pārbaudiet pāreju abos virzienos, tostarp gadījumu, kad gala punkts sesijas laikā pārvietojas no uzticama uz neuzticamu tīklu. Atvienošanās un atkārtota savienošanās ir atsevišķi notikumi, un politika, kas apstrādā tikai pirmo, atstāj logu, kurā tuneļa nav.

Piektais solis: padariet gala punkta politiku grūti atceļamu

Piemērošana gala punktā ir tik spēcīga, cik spēcīgas ir paša gala punkta kontroles. Vietējā administratora tiesības ļauj lietotājam apturēt aģenta pakalpojumu, aizstāt profilu vai atinstalēt klientu, un profila direktorija, kurā parastie lietotāji var rakstīt, ir politika, ko jebkurš var rediģēt. Abas ir gala punktu pārvaldības problēmas, ko VPN galva nevar atrisināt jūsu vietā. Pirms solīt piemērošanu, pajautājiet darbvirsmas komandai, kurš no šiem diviem nosacījumiem ir spēkā, un ierakstiet atbildi izvietošanas plānā.

Izlemiet bloķēšanas līmeni, ņemot vērā atjaunošanas ceļu. Profils, kas liedz lietotājam piekļūt internetam un arī neļauj salabot klientu, pārvērš atbalsta zvanu par apmeklējumu uz vietas, tāpēc uzturiet dokumentētu atjaunošanas maršrutu, kas nav atkarīgs no tā, vai tunelis darbojas.

Turiet ieslēgtu vārtejas sertifikāta validāciju un izplatiet profilu tikai pa kanālu, kuram uzticaties. Bloķēts klients, kas pieņem profilu no negaidīta avota, ir drīzāk pārvietojis uzticēšanās robežu, nevis to ieviesis.