Cisco Secure Client Always-On: distribuer profilen først

Innstillinger på enhetssiden kan ikke få en ikke-registrert bærbar PC til å oppføre seg som et administrert endepunkt, og de fleste Always-On-utrullinger stopper nettopp i dette gapet. Cisco Secure Client håndhever policyen gjennom profilen som ligger på maskinen, så levering av den profilen er en del av håndhevelsesplanen og ikke en detalj i den. Gå gjennom de fem trinnene nedenfor i rekkefølge, og stopp ved det første som ikke holder, fordi et senere trinn ikke kan kompensere for et tidligere gap.

Trinn én: avgjør om regelen starter før pålogging

Always-On etablerer tunnelen etter at brukeren logger på, og leverandørens dokumentasjon sier klart at den ikke etablerer en forbindelse når ingen logger på. Hvis kravet ditt er en tunnel som finnes før Windows-påloggingsskjermen, er dette feil funksjon, og ingen profiljustering endrer det. Forhåndsdistribusjon av profilen gjør ikke atferd etter pålogging om til atferd før pålogging.

Skriv kravet som én av fire ulike atferder, og test deretter hver enkelt for seg. Én vellykket tilkobling viser bare det vanlige tilfellet, og de tre andre er der supportbillettene kommer fra. Merk hvilken rad kravet ditt faktisk trenger, fordi et team som bare trenger atferd etter pålogging, kan hoppe over argumentet om før pålogging. Tabellen er en akseptliste, ikke en ønskeliste.

Hvis kravet bare er den andre raden, gjelder resten av denne siden fortsatt, men aksepttesten er billigere.

Trinn to: bekreft at profilen allerede ligger på endepunktet

Håndhevelsen leser en lokal profil, så det første spørsmålet er om den filen finnes før brukeren i det hele tatt kobler til. En profil som lastes ned under den første vellykkede tilkoblingen, leveres for sent til en maskin som må beskyttes fra første pålogging. Send den med installasjonsprogrammet eller med endepunktsadministrasjon, og behandle filens tilstedeværelse som en byggekontroll i stedet for et håp.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Eldre AnyConnect-installasjoner holder samme fil i en mappe med annet navn, så bekreft stien for klientversjonen du ruller ut i stedet for å kopiere en sti fra en gammel runbook. Tjenesten må kjøre og være satt til automatisk start, fordi en stoppet agent er et endepunkt uten håndhevelse, uansett hva profilen sier.

Hvis profilen mangler, stopp her. Å rette feilpolicyen eller listen over klarerte nettverk for en maskin uten profil er arbeid på en sti som aldri utføres.

Trinn tre: velg feilatferden bevisst

Hva som skjer når tunnelen ikke kan reise seg, er en beslutning atskilt fra om tunnelen starter automatisk. Policyen for tilkoblingsfeil avgjør om endepunktet kan bruke internett mens etableringen fortsatt feiler, og de to innstillingene forveksles ofte fordi begge ligger nær Always-On-alternativene. Velg én med vilje og skriv ned begrunnelsen.

Å blokkere all tilkobling høres strengt ut og skaper sin egen hendelsesklasse: en bruker på et nettverk der gatewayen ikke er tilgjengelig, kan ikke laste ned rettelsen som ville gjenopprette tjenesten. Å tillate internettilgang holder maskinen brukbar og svekker garantien for at trafikken er beskyttet. Begge svar kan være riktige, men ingen av dem er en standardverdi du bør oppdage under en driftsforstyrrelse.

Gjentaksatferd hører til samme beslutning. En klient som prøver for alltid, skjuler en ødelagt gateway for overvåking, mens en klient som gir opp etter ett forsøk, ser ødelagt ut for brukeren. Bestem hvor lenge endepunktet skal fortsette å prøve før feilpolicyen tar over, og test den tiden i stedet for å anta den.

Trinn fire: definer hva som regnes som klarert

Registrering av klarerte nettverk bruker kriteriene i klientprofilen, som konfigurerte DNS-domener eller klarerte DNS-servere, for å avgjøre at endepunktet allerede er på et nettverk der tunnelen er unødvendig. Den listen er hele policyen, så en tom eller nedarvet liste gjør funksjonen enten inaktiv eller uforutsigbar.

Ikke erstatt den med en antakelse om nettverkskategorien i Windows-brannmuren. En maskin kan være på et domenemerket nettverk og likevel være et sted du ikke stoler på, og en maskin med offentlig profil kan være inne i din egen bygning. Registreringskriteriene bør beskrive nettverkene dine direkte, ikke en erstatning for dem.

Test overgangen i begge retninger, inkludert tilfellet der endepunktet flytter fra et klarert til et uklarert nettverk mens en økt er åpen. Frakoblingen og gjentilkoblingen er separate hendelser, og en policy som bare håndterer den første, etterlater et vindu der tunnelen mangler.

Trinn fem: gjør endepunktspolicyen vanskelig å angre

Håndhevelse på endepunktet er bare så sterk som endepunktets egne kontroller. Lokale administratorrettigheter lar en bruker stoppe agenttjenesten, erstatte profilen eller avinstallere klienten, og en profilmappe som vanlige brukere kan skrive i, er en policy som hvem som helst kan redigere. Begge er endepunktsadministrasjonsproblemer som VPN-hodet ikke kan løse for deg. Spør skrivebordsteamet hvilken av de to betingelsene som gjelder, før du lover håndhevelse, og skriv svaret inn i utrullingsplanen.

Bestem låsenivået med gjenopprettingsveien i tankene. En profil som blokkerer brukeren fra å nå internett og også hindrer dem i å reparere klienten, gjør en supporttelefon til et besøk på stedet, så hold en dokumentert gjenopprettingsrute som ikke avhenger av at tunnelen er oppe.

Hold valideringen av gateway-sertifikatet på, og distribuer profilen bare gjennom en kanal du stoler på. En låst klient som godtar en profil fra en uventet kilde, har flyttet tillitsgrensen i stedet for å håndheve den.