Cisco Secure Client Always-On: прво распоредете го профилот

Поставките на страната на уредот не можат да натераат нерегистриран лаптоп да се однесува како управувана крајна точка, и повеќето воведувања на Always-On заглавуваат токму во таа празнина. Cisco Secure Client ја спроведува политиката преку профилот што стои на машината, затоа испораката на тој профил е дел од планот за примена, а не негов детал. Поминете ги петте чекори подолу по ред и застанете на првиот што не држи, бидејќи подоцнежен чекор не може да компензира претходна празнина.

Прв чекор: одлучете дали правилото започнува пред најава

Always-On воспоставува тунел откако корисникот ќе се најави, а документацијата на производителот јасно вели дека не воспоставува врска кога никој не се најавува. Ако вашето барање е тунел што постои пред екранот за најава на Windows, тоа е погрешната функција и никакво прилагодување на профилот не го менува тоа. Претходното распоредување на профилот не го претвора однесувањето по најава во однесување пред најава.

Запишете го барањето како едно од четири различни однесувања, потоа тестирајте го секое одделно. Една успешна врска го покажува само вообичаениот случај, а другите три се изворот на тикетите за поддршка. Означете кој ред на вашето барање навистина му треба, бидејќи тимот на кој му треба само однесување по најава може да ја прескокне расправата за пред најава. Табелата е список за прифаќање, не список на желби.

Ако барањето е само вториот ред, остатокот од оваа страница сè уште важи, но тестот за прифаќање е поевтин.

Втор чекор: потврдете дека профилот веќе е на крајната точка

Примената чита локален профил, затоа првото прашање е дали таа датотека постои пред корисникот воопшто да се поврзе. Профил преземен за време на првата успешна врска се испорачува премногу доцна за машина што мора да биде заштитена од првата најава. Испорачајте го со инсталаторот или со управувањето со крајни точки и третирајте го присуството на датотеката како проверка при изградба, а не како надеж.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Постарите инсталации на AnyConnect ја држат истата датотека во папка со друго име, затоа проверете ја патеката за верзијата на клиентот што ја распоредувате наместо да копирате патека од стар прирачник. Услугата мора да работи и да биде поставена на автоматско стартување, бидејќи запрен агент е крајна точка без примена, што и да кажува профилот.

Ако профилот недостасува, застанете овде. Поправањето на политиката за грешка или списокот на доверливи мрежи за машина без профил е работа на патека што никогаш не се извршува.

Трет чекор: свесно изберете го однесувањето при грешка

Што се случува кога тунелот не може да се подигне е одделна одлука од тоа дали тунелот започнува автоматски. Политиката за грешка при поврзување одлучува дали крајната точка смее да го користи интернетот додека воспоставувањето продолжува да не успева, и двете поставки често се мешаат затоа што двете се близу до опциите на Always-On. Изберете една намерно и запишете ја причината.

Блокирањето на целата поврзаност звучи строго и создава своја класа инциденти: корисник на мрежа каде портата е недостапна не може да го преземе исправката што би ја вратила услугата. Дозволувањето пристап до интернет ја држи машината употреблива и го ослабува гаранцијата дека сообраќајот е заштитен. И двата одговора можат да бидат точни, но ниту еден не е стандардна вредност што треба да ја откриете за време на дефект.

Однесувањето при повторен обид припаѓа на истата одлука. Клиент што обидува засекогаш крие расипана порта од надзор, додека клиент што се откажува по еден обид изгледа расипан на корисникот. Одлучете колку долго крајната точка треба да продолжува да обидува пред политиката за грешка да преземе, и тестирајте го тоа време наместо да го претпоставувате.

Четврт чекор: дефинирајте што се смета за доверливо

Откривањето на доверлива мрежа ги користи критериумите во профилот на клиентот, како конфигурирани DNS домени или доверливи DNS сервери, за да одлучи дека крајната точка веќе е на мрежа каде тунелот е непотребен. Тој список е целата политика, затоа празен или наследен список ја прави функцијата или неактивна, или непредвидлива.

Не заменувајте го со претпоставка за категоријата мрежа во заштитниот ѕид на Windows. Машината може да биде на мрежа означена со домен и сепак да биде на место на кое не ѝ верувате, а машина со јавен профил може да биде внатре во вашата зграда. Критериумите за откривање треба директно да ги опишуваат вашите мрежи, а не нивен заменик.

Тестирајте го преминот во двете насоки, вклучително и случајот кога крајната точка преминува од доверлива на недоверлива мрежа додека сесијата е отворена. Прекинот и повторното поврзување се одделни настани, а политиката што се справува само со првиот остава прозорец каде тунелот недостасува.

Петти чекор: направете ја политиката на крајната точка тешко поништлива

Примената на крајната точка е силна колку што се силни сопствените контроли на крајната точка. Правата на локален администратор му дозволуваат на корисникот да ја запре услугата на агентот, да го замени профилот или да го деинсталира клиентот, а папка за профил во која обичните корисници можат да пишуваат е политика што секој може да ја уреди. Двете се проблеми со управување со крајни точки што VPN главата не може да ги реши наместо вас. Прашајте го тимот за работни површини кој од овие два услови важи пред да ветите примена, и запишете го одговорот во планот за воведување.

Одредете го нивото на заклучување имајќи ја предвид патеката за обновување. Профил што му блокира на корисникот пристап до интернет и исто така го спречува да го поправи клиентот, претвора повик за поддршка во посета на лице место, затоа чувајте документирана патека за обновување што не зависи од тоа дали тунелот работи.

Оставете ја проверката на сертификатот на портата вклучена и распространувајте го профилот само преку канал на кој му верувате. Заклучен клиент што прифаќа профил од неочекуван извор ја поместил границата на доверба наместо да ја спроведе.