Cisco Secure Client Always-On: xerred il-profil l-ewwel

Is-settings fuq in-naħa tal-apparat ma jistgħux iġġiegħlu laptop mhux reġistrat iġib ruħu bħala endpoint ġestit, u ħafna mill-implimentazzjonijiet Always-On jieqfu eżatt f'dak id-distakk. Cisco Secure Client jinfurza l-politika permezz tal-profil li jinsab fil-magna, għalhekk il-kunsinna ta' dak il-profil hija parti mill-pjan ta' infurzar u mhix dettall tiegħu. Għaddi mill-ħames passi hawn taħt bl-ordni u waqaf fl-ewwel wieħed li ma jżommx, għax pass aktar tard ma jistax jikkumpensa distakk preċedenti.

L-ewwel pass: iddeċiedi jekk ir-regola tibdiex qabel il-login

Always-On jistabbilixxi t-tunnel wara li l-utent jidħol, u d-dokumentazzjoni tal-fornitur tgħid b'mod ċar li ma jistabbilixxix konnessjoni meta ħadd ma jidħol. Jekk ir-rekwiżit tiegħek huwa tunnel li jeżisti qabel l-iskrin tal-login ta' Windows, din hija l-funzjoni żbaljata u l-ebda aġġustament tal-profil ma jbiddel dan. L-iskjerament bil-quddiem tal-profil ma jbiddilx l-imġiba wara l-login f'imġiba qabel il-login.

Ikteb ir-rekwiżit bħala wieħed minn erba' imġibiet distinti, imbagħad iċċekkja kull wieħed b'mod separat. Konnessjoni waħda b'suċċess turi biss il-każ ordinarju, u t-tlieta l-oħra huma minn fejn jiġu t-tickets tas-sapport. Immarka liema ringiela r-rekwiżit tiegħek tassew jeħtieġ, għax tim li jeħtieġ biss imġiba wara l-login jista' jaqbeż l-argument ta' qabel il-login. It-tabella hija lista ta' aċċettazzjoni, mhix lista tax-xewqat.

Jekk ir-rekwiżit huwa biss it-tieni ringiela, il-bqija ta' din il-paġna xorta tapplika, iżda t-test ta' aċċettazzjoni huwa orħos.

It-tieni pass: ikkonferma li l-profil diġà jinsab fl-endpoint

L-infurzar jaqra profil lokali, għalhekk l-ewwel mistoqsija hija jekk dak il-fajl jeżistix qabel l-utent jikkonnettja. Profil li jitniżżel waqt l-ewwel konnessjoni b'suċċess jasal tard wisq għal magna li trid tkun protetta mill-ewwel login tagħha. Ibgħatu mal-installer jew mal-ġestjoni tal-endpoints, u ttratta l-preżenza tal-fajl bħala verifika tal-bini u mhux bħala tama.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Installazzjonijiet eqdem ta' AnyConnect iżommu l-istess fajl f'folder b'isem differenti, għalhekk ivverifika l-mogħdija għall-verżjoni tal-klijent li qed tiskjera minflok ma tikkopja mogħdija minn manwal antik. Is-servizz irid ikun qed jaħdem u jkun issettjat biex jibda awtomatikament, għax aġent waqaf huwa endpoint mingħajr infurzar, x'jgħid il-profil.

Jekk il-profil nieqes, waqaf hawn. Li tissewwi l-politika tal-falliment jew il-lista tan-netwerks fdati għal magna mingħajr profil huwa xogħol fuq mogħdija li qatt ma tiġi eżegwita.

It-tielet pass: agħżel l-imġiba tal-falliment b'mod deliberat

Dak li jiġri meta t-tunnel ma jistax jogħla hija deċiżjoni separata mill-mistoqsija jekk it-tunnel jibdiex awtomatikament. Il-politika tal-falliment tal-konnessjoni tiddeċiedi jekk l-endpoint jistax juża l-internet waqt li l-istabbiliment ikompli jonqos, u ż-żewġ settings spiss jiġu konfużi għax it-tnejn jinsabu qrib l-għażliet ta' Always-On. Agħżel waħda apposta u ikteb ir-raġuni.

Li timblokka l-konnettività kollha jidher strett u joħloq il-klassi tiegħu ta' inċidenti: utent fuq netwerk fejn il-gateway mhux aċċessibbli ma jistax iniżżel il-korrezzjoni li terġa' tagħti s-servizz. Li tippermetti aċċess għall-internet iżomm il-magna użabbli u ddgħajjef il-garanzija li t-traffiku huwa protett. Iż-żewġ tweġibiet jistgħu jkunu t-tajba, iżda l-ebda waħda mhija valur awtomatiku li għandek tiskopri waqt waqfa.

L-imġiba tat-tentattiv mill-ġdid tappartjeni għall-istess deċiżjoni. Klijent li jipprova għal dejjem jaħbi gateway miksur mill-monitoraġġ, filwaqt li klijent li jċedi wara tentattiv wieħed jidher miksur lill-utent. Iddeċiedi kemm il-endpoint għandu jkompli jipprova qabel ma l-politika tal-falliment tieħu f'idejha, u ttestja dak iż-żmien minflok ma tassumih.

Ir-raba' pass: iddefinixxi x'jitqies bħala fdat

L-identifikazzjoni tan-netwerk fdat tuża l-kriterji fil-profil tal-klijent, bħal domini DNS konfigurati jew servers DNS fdati, biex tiddeċiedi li l-endpoint diġà jinsab fuq netwerk fejn it-tunnel mhuwiex meħtieġ. Dik il-lista hija l-politika kollha, għalhekk lista vojta jew eredità tagħmel il-funzjoni jew inattiva jew imprevedibbli.

Tibdilhiex b'assunzjoni dwar il-kategorija tan-netwerk tal-firewall ta' Windows. Magna tista' tkun fuq netwerk immarkat b'dominju u xorta tkun f'post li m'intix taqbel miegħu, u magna bi profil pubbliku tista' tkun ġewwa l-bini tiegħek stess. Il-kriterji tal-identifikazzjoni għandhom jiddeskrivu n-netwerks tiegħek direttament, mhux sostitut tagħhom.

Ittestja t-transizzjoni fiż-żewġ direzzjonijiet, inkluż il-każ meta l-endpoint jiċċaqlaq minn netwerk fdat għal wieħed mhux fdat waqt li sessjoni tkun miftuħa. L-iskonnessjoni u r-rikonnessjoni huma avvenimenti separati, u politika li tittratta biss tal-ewwel tħalli tieqa fejn it-tunnel ma jkunx hemm.

Il-ħames pass: agħmel il-politika tal-endpoint diffiċli biex titreġġa' lura

L-infurzar fuq l-endpoint huwa biss b'saħħtu kemm huma l-kontrolli tal-endpoint stess. Id-drittijiet tal-amministratur lokali jippermettu lill-utent iwaqqaf is-servizz tal-aġent, jissostitwixxi l-profil jew jiddiżinstalla l-klijent, u direttorju tal-profil li utenti ordinarji jistgħu jiktbu fih hija politika li kulħadd jista' jeditja. It-tnejn huma problemi ta' ġestjoni tal-endpoints li l-headend tal-VPN ma jistax isolvi għalik. Staqsi lit-tim tad-desktop liema mill-żewġ kundizzjonijiet tapplika qabel ma twiegħed infurzar, u ikteb it-tweġiba fil-pjan tal-iskjerament.

Iddeċiedi l-livell ta' lock-down b'ħarsa lejn it-triq tal-irkupru. Profil li jimblokka lill-utent milli jasal għall-internet u wkoll ma jħallihx isewwi l-klijent ibiddel sejħa ta' appoġġ f'żjara fuq il-post, għalhekk żomm triq tal-irkupru dokumentata li ma tiddependix mit-tunnel li jkun qed jaħdem.

Ħalli l-validazzjoni taċ-ċertifikat tal-gateway mixgħula, u xxerred il-profil biss permezz ta' kanal li tafdah. Klijent imsakkar li jaċċetta profil minn sors mhux mistenni ċaqlaq il-konfini tal-fiduċja minflok ma infurzaha.