Cisco Secure Client Always-On: gunakan profil dahulu

Tetapan di sisi peranti tidak dapat membuat komputer riba yang tidak berdaftar berkelakuan seperti titik akhir terurus, dan kebanyakan pelaksanaan Always-On tersekat tepat pada jurang itu. Cisco Secure Client menguatkuasakan dasar melalui profil yang terdapat pada mesin, jadi penghantaran profil itu ialah bahagian pelan penguatkuasaan, bukan perinciannya. Lalui lima langkah di bawah mengikut urutan dan berhenti pada langkah pertama yang tidak bertahan, kerana langkah kemudian tidak dapat menampung jurang sebelumnya.

Langkah satu: putuskan sama ada peraturan bermula sebelum log masuk

Always-On mewujudkan terowong selepas pengguna log masuk, dan dokumentasi vendor menyatakan dengan jelas bahawa ia tidak mewujudkan sambungan apabila tiada siapa log masuk. Jika keperluan anda ialah terowong yang wujud sebelum skrin log masuk Windows, ini ciri yang salah dan tiada berapa banyak penalaan profil mengubahnya. Menggunakan profil lebih awal tidak mengubah tingkah laku selepas log masuk menjadi tingkah laku sebelum log masuk.

Tulis keperluan sebagai salah satu daripada empat tingkah laku berbeza, kemudian uji setiap satu secara berasingan. Satu sambungan yang berjaya hanya menunjukkan kes biasa, dan tiga lagi ialah sumber tiket sokongan. Tandakan baris mana yang benar-benar diperlukan oleh keperluan anda, kerana pasukan yang hanya memerlukan tingkah laku selepas log masuk boleh melangkau hujah sebelum log masuk. Jadual itu senarai penerimaan, bukan senarai hasrat.

Jika keperluan hanya baris kedua, selebihnya halaman ini masih terpakai, tetapi ujian penerimaan lebih murah.

Langkah dua: sahkan profil sudah ada pada titik akhir

Penguatkuasaan membaca profil tempatan, jadi soalan pertama ialah sama ada fail itu wujud sebelum pengguna menyambung. Profil yang dimuat turun semasa sambungan berjaya pertama tiba terlalu lewat untuk mesin yang mesti dilindungi sejak log masuk pertama. Hantarkannya bersama pemasang atau bersama pengurusan titik akhir, dan anggap kehadiran fail itu sebagai semakan binaan, bukan harapan.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Pemasangan AnyConnect yang lebih lama menyimpan fail yang sama dalam folder dengan nama berbeza, jadi sahkan laluan untuk versi klien yang anda gunakan dan bukan menyalin laluan daripada buku panduan lama. Perkhidmatan mesti berjalan dan ditetapkan untuk bermula secara automatik, kerana ejen yang berhenti ialah titik akhir tanpa penguatkuasaan, apa pun yang dikatakan profil.

Jika profil tiada, berhenti di sini. Membaiki dasar kegagalan atau senarai rangkaian dipercayai untuk mesin tanpa profil ialah kerja pada laluan yang tidak pernah dilaksanakan.

Langkah tiga: pilih tingkah laku kegagalan dengan sengaja

Apa yang berlaku apabila terowong tidak dapat naik ialah keputusan berasingan daripada sama ada terowong bermula secara automatik. Dasar kegagalan sambungan menentukan sama ada titik akhir boleh menggunakan internet semasa pembentukan terus gagal, dan kedua-dua tetapan sering dikelirukan kerana kedua-duanya berhampiran pilihan Always-On. Pilih satu dengan sengaja dan tulis sebabnya.

Menyekat semua ketersambungan kedengaran tegas dan mencipta kelas insidennya sendiri: pengguna pada rangkaian yang gateway tidak dapat dicapai tidak boleh memuat turun pembetulan yang akan memulihkan perkhidmatan. Membenarkan akses internet mengekalkan mesin boleh digunakan dan melemahkan jaminan bahawa trafik dilindungi. Mana-mana jawapan boleh betul, tetapi tiada satu pun nilai lalai yang patut anda temui semasa gangguan.

Tingkah laku cuba semula tergolong dalam keputusan yang sama. Klien yang cuba selamanya menyembunyikan gateway rosak daripada pemantauan, manakala klien yang berputus asa selepas satu percubaan kelihatan rosak kepada pengguna. Putuskan berapa lama titik akhir harus terus cuba sebelum dasar kegagalan mengambil alih, dan uji masa itu dan bukan menganggapnya.

Langkah empat: tentukan apa yang dikira sebagai dipercayai

Pengesanan rangkaian dipercayai menggunakan kriteria dalam profil klien, seperti domain DNS yang dikonfigurasikan atau pelayan DNS dipercayai, untuk memutuskan bahawa titik akhir sudah berada pada rangkaian yang terowong tidak diperlukan. Senarai itu ialah keseluruhan dasar, jadi senarai kosong atau diwarisi menjadikan ciri itu tidak berkesan atau tidak dapat diramal.

Jangan gantikannya dengan andaian tentang kategori rangkaian firewall Windows. Mesin boleh berada pada rangkaian bertanda domain dan masih berada di tempat yang anda tidak percayai, dan mesin dengan profil awam boleh berada di dalam bangunan anda sendiri. Kriteria pengesanan harus menerangkan rangkaian anda secara langsung, bukan penggantinya.

Uji peralihan dalam kedua-dua arah, termasuk kes apabila titik akhir berpindah daripada rangkaian dipercayai ke rangkaian tidak dipercayai semasa sesi terbuka. Pemutusan dan penyambungan semula ialah peristiwa berasingan, dan dasar yang hanya mengendalikan yang pertama meninggalkan tetingkap apabila terowong tiada.

Langkah lima: jadikan dasar titik akhir sukar dibatalkan

Penguatkuasaan pada titik akhir hanya sekuat kawalan titik akhir itu sendiri. Hak pentadbir tempatan membenarkan pengguna menghentikan perkhidmatan ejen, menggantikan profil atau menyahpasang klien, dan direktori profil yang boleh ditulis oleh pengguna biasa ialah dasar yang sesiapa boleh edit. Kedua-duanya masalah pengurusan titik akhir yang tidak dapat diselesaikan oleh kepala VPN untuk anda. Tanya pasukan desktop keadaan mana antara dua keadaan itu yang terpakai sebelum anda menjanjikan penguatkuasaan, dan tulis jawapannya dalam pelan pelaksanaan.

Putuskan tahap penguncian dengan mempertimbangkan laluan pemulihan. Profil yang menyekat pengguna daripada internet dan juga menghalangnya membaiki klien mengubah panggilan sokongan menjadi lawatan ke lokasi, jadi kekalkan laluan pemulihan yang didokumenkan yang tidak bergantung pada terowong yang berjalan.

Biarkan pengesahan sijil gateway kekal aktif, dan edarkan profil hanya melalui saluran yang anda percayai. Klien berkunci yang menerima profil daripada sumber tidak dijangka telah memindahkan sempadan kepercayaan dan bukan menguatkuasakannya.