Cisco Secure Client Always-On: आधी प्रोफाइल तैनात करा
Cisco Secure Client Always-On लागू करण्यापूर्वी एंडपॉइंट प्रोफाइल असणे आवश्यक आहे: लॉगिनपूर्वीची व्याप्ती, वितरण, अयशस्वी धोरण आणि विश्वासार्ह नेटवर्क तपासा.
उपकरणाच्या बाजूची सेटिंग्ज नोंदणी न केलेल्या लॅपटॉपला व्यवस्थापित एंडपॉइंटसारखे वागण्यास भाग पाडू शकत नाहीत, आणि बहुतेक Always-On तैनाती नेमक्या याच अंतरावर थांबतात. Cisco Secure Client धोरण मशीनवरील प्रोफाइलद्वारे लागू करते, म्हणून त्या प्रोफाइलचे वितरण हे अंमलबजावणी योजनेचा भाग आहे, तिचा तपशील नाही. खालील पाच पायऱ्या क्रमाने करा आणि जी पहिली टिकत नाही तिथे थांबा, कारण पुढील पायरी आधीची त्रुटी भरून काढू शकत नाही.
पहिली पायरी: नियम लॉगिनपूर्वी सुरू होतो का ते ठरवा
Always-On वापरकर्ता लॉगिन केल्यानंतर टनेल स्थापित करते, आणि विक्रेत्याचे दस्तऐवज स्पष्टपणे सांगते की कोणीही लॉगिन न केल्यास ते कनेक्शन स्थापित करत नाही. तुमची आवश्यकता Windows लॉगिन स्क्रीनपूर्वी असलेला टनेल असल्यास हे चुकीचे वैशिष्ट्य आहे आणि प्रोफाइल ट्युनिंगच्या कितीही प्रमाणात ते बदलत नाही. प्रोफाइल आधीच तैनात केल्याने लॉगिननंतरचे वर्तन लॉगिनपूर्वीच्या वर्तनात बदलत नाही.
आवश्यकता चार वेगवेगळ्या वर्तनांपैकी एक म्हणून लिहा, नंतर प्रत्येकाची स्वतंत्रपणे चाचणी करा. एकच यशस्वी कनेक्शन फक्त नेहमीची स्थिती दाखवते, आणि उर्वरित तीन सपोर्ट तिकिटांचा स्रोत आहेत. तुमच्या आवश्यकतेला खरोखर कोणती ओळ हवी आहे ते चिन्हांकित करा, कारण फक्त लॉगिननंतरचे वर्तन हवे असलेले पथक लॉगिनपूर्वीचा युक्तिवाद वगळू शकते. तक्ता स्वीकृती सूची आहे, इच्छा सूची नाही.
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
आवश्यकता फक्त दुसरी ओळ असल्यास, या पानाचा उर्वरित भाग अजूनही लागू आहे, पण स्वीकृती चाचणी स्वस्त आहे.
दुसरी पायरी: प्रोफाइल आधीच एंडपॉइंटवर आहे याची खात्री करा
अंमलबजावणी स्थानिक प्रोफाइल वाचते, म्हणून पहिला प्रश्न असा आहे की वापरकर्ता कनेक्ट होण्यापूर्वी ती फाइल अस्तित्वात आहे का. पहिल्या यशस्वी कनेक्शनदरम्यान डाउनलोड होणारे प्रोफाइल पहिल्या लॉगिनपासून संरक्षित ठेवाव्या मशीनसाठी खूप उशिरा पोहोचते. ते इन्स्टॉलरबरोबर किंवा एंडपॉइंट व्यवस्थापनाबरोबर पाठवा, आणि फाइलच्या उपस्थितीकडे आशा नव्हे तर बिल्ड तपासणी म्हणून पहा.
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnजुन्या AnyConnect इन्स्टॉलेशन्स तीच फाइल वेगळ्या नावाच्या फोल्डरमध्ये ठेवतात, म्हणून जुन्या धावपुस्तिकेतून मार्ग कॉपी करण्याऐवजी तुम्ही तैनात करत असलेल्या क्लायंट आवृत्तीचा मार्ग तपासा. सेवा सुरू असणे आवश्यक आहे आणि स्वयंचलित सुरुवातीवर सेट असणे आवश्यक आहे, कारण थांबलेला एजंट प्रोफाइल काहीही म्हणो, लागू न केलेला एंडपॉइंट आहे.
प्रोफाइल नसल्यास येथे थांबा. प्रोफाइल नसलेल्या मशीनसाठी अयशस्वी धोरण किंवा विश्वासार्ह नेटवर्कची यादी दुरुस्त करणे हे कधीही न चालणाऱ्या मार्गावरचे काम आहे.
तिसरी पायरी: अयशस्वी वर्तन जाणीवपूर्वक निवडा
टनेल वर येऊ शकत नाही तेव्हा काय होते हे टनेल स्वयंचलितपणे सुरू होतो का यापेक्षा वेगळा निर्णय आहे. कनेक्शन अयशस्वी धोरण स्थापना अयशस्वी होत राहत असताना एंडपॉइंट इंटरनेट वापरू शकते का हे ठरवते, आणि या दोन्ही सेटिंग्ज अनेकदा गोंधळल्या जातात कारण दोन्ही Always-On पर्यायांच्या जवळ असतात. एक जाणीवपूर्वक निवडा आणि कारण लिहा.
सर्व कनेक्टिव्हिटी अडवणे कठोर वाटते आणि स्वतःचा घटना-वर्ग निर्माण करते: गेटवे पोहोचण्यायोग्य नसलेल्या नेटवर्कवरील वापरकर्ता सेवा पुनर्संचयित करणारी दुरुस्ती डाउनलोड करू शकत नाही. इंटरनेट प्रवेशाची परवानगी यंत्र वापरण्यायोग्य ठेवते आणि रहदारी संरक्षित असल्याची हमी कमकुवत करते. दोन्हीपैकी कोणतेही उत्तर बरोबर असू शकते, पण कोणतेही अशी डीफॉल्ट नाही जी व्यत्ययाच्या वेळी शोधायची असेल.
पुन्हा प्रयत्न करण्याचे वर्तन त्याच निर्णयाचा भाग आहे. कायम प्रयत्न करणारा क्लायंट तुटलेला गेटवे देखरेखीपासून लपवतो, तर एका प्रयत्नानंतर सोडून देणारा क्लायंट वापरकर्त्याला तुटलेला दिसतो. अयशस्वी धोरण स्वीकारण्यापूर्वी एंडपॉइंटने किती काळ प्रयत्न चालू ठेवावा ते ठरवा आणि गृहीत धरण्याऐवजी तो वेळ तपासा.
चौथी पायरी: काय विश्वासार्ह मानले जाते ते परिभाषित करा
विश्वासार्ह नेटवर्क शोध क्लायंट प्रोफाइलमधील निकष, उदा. संरचित DNS डोमेन किंवा विश्वासार्ह DNS सर्व्हर, वापरून ठरवते की एंडपॉइंट आधीच अशा नेटवर्कवर आहे जिथे टनेल आवश्यक नाही. ती यादीच संपूर्ण धोरण आहे, म्हणून रिकामी किंवा वारसाहक्काने मिळालेली यादी वैशिष्ट्य एकतर निष्क्रिय किंवा अगम्य बनवते.
Windows फायरवॉलच्या नेटवर्क श्रेणीविषयीच्या गृहीतकाने ती बदलू नका. मशीन डोमेन-टॅग केलेल्या नेटवर्कवर असूनही तुम्ही विश्वास न ठेवता त्या ठिकाणी असू शकते, आणि सार्वजनिक प्रोफाइलचे मशीन तुमच्याच इमारतीत असू शकते. शोध निकषांनी तुमच्या नेटवर्कचे थेट वर्णन केले पाहिजे, त्यांचा पर्याय नाही.
संक्रमण दोन्ही दिशांनी तपासा, सेशन उघडे असताना एंडपॉइंट विश्वासार्हकडून अविश्वासार्ह नेटवर्ककडे जाण्याच्या प्रकरणासह. डिस्कनेक्ट आणि पुन्हा कनेक्ट हे स्वतंत्र घटना आहेत, आणि फक्त पहिली हाताळणारे धोरण टनेल नसलेली खिडकी सोडते.
पाचवी पायरी: एंडपॉइंट धोरण पूर्वपदावर आणणे कठीण करा
एंडपॉइंटवरील अंमलबजावणी एंडपॉइंटच्या स्वतःच्या नियंत्रणांइतकीच बलवान असते. स्थानिक प्रशासक अधिकार वापरकर्त्याला एजंट सेवा थांबवण्यास, प्रोफाइल बदलण्यास किंवा क्लायंट अनइन्स्टॉल करण्यास परवानगी देतात, आणि सामान्य वापरकर्ते लिहू शकतील अशी प्रोफाइल डिरेक्टरी हे कोणीही संपादित करू शकणारे धोरण आहे. दोन्ही VPN हेडएंड तुमच्यासाठी सोडवू शकत नाहीत अशा एंडपॉइंट व्यवस्थापन समस्या आहेत. अंमलबजावणीचे वचन देण्यापूर्वी डेस्कटॉप टीमला या दोन्हीपैकी कोणती अट लागू आहे विचारा आणि उत्तर तैनाती योजनेत लिहा.
पुनर्प्राप्ती मार्ग लक्षात ठेवून लॉकडाउन पातळी ठरवा. वापरकर्त्याला इंटरनेटपर्यंत पोहोचण्यापासून रोखणारे आणि क्लायंट दुरुस्त करण्यापासूनही रोखणारे प्रोफाइल सपोर्ट कॉलचे साइट भेटीत रूपांतर करते, म्हणून टनेल सुरू असण्यावर अवलंबून नसलेला दस्तऐवजीकृत पुनर्प्राप्ती मार्ग ठेवा.
गेटवे प्रमाणपत्र पडताळणी सुरू ठेवा, आणि प्रोफाइल फक्त तुम्ही विश्वास ठेवता त्या चॅनेलद्वारे वितरित करा. अनपेक्षित स्रोताकडून प्रोफाइल स्वीकारणारा लॉक केलेला क्लायंट अंमलात आणण्याऐवजी विश्वासाची सीमा हलवतो.