Cisco Secure Client Always-On: पहिले प्रोफाइल तैनाथ गर्नुहोस्
Cisco Secure Client Always-On लागू गर्नुअघि एन्डपोइन्ट प्रोफाइल हुनु आवश्यक छ: लगइन अघिको दायरा, डेलिभरी, असफलता नीति र विश्वसनीय सञ्जाल जाँच्नुहोस्।
यन्त्रको पट्टिको सेटिङले दर्ता नगरिएको ल्यापटपलाई व्यवस्थापित एन्डपोइन्टजस्तै व्यवहार गर्न बाध्य पार्न सक्दैन, र अधिकांश Always-On तैनाती ठ्याक्कै यही खाडलमा रोकिन्छन्। Cisco Secure Client ले नीति मेसिनमा रहेको प्रोफाइलमार्फत लागू गर्छ, त्यसैले त्यो प्रोफाइलको डेलिभरी लागू योजनाको भाग हो, त्यसको विवरण होइन। तलका पाँच चरण क्रममा पूरा गर्नुहोस् र नटिक्ने पहिलो चरणमै रोक्नुहोस्, किनकि पछिको चरणले अघिको खाडलको क्षतिपूर्ति गर्न सक्दैन।
पहिलो चरण: नियम लगइन अघि सुरु हुन्छ कि भनेर निर्णय गर्नुहोस्
Always-On ले प्रयोगकर्ता लगइन भएपछि टनेल स्थापना गर्छ, र विक्रेताको कागजातले स्पष्ट भन्छ कि कोही लगइन नभएको बेला यसले जडान स्थापना गर्दैन। यदि तपाईंको आवश्यकता Windows लगइन स्क्रिन अघि अवस्थित टनेल हो भने, यो गलत सुविधा हो र प्रोफाइल ट्युनिङको कुनै पनि मात्राले यसलाई बदल्दैन। प्रोफाइल अग्रिम तैनाथ गर्दा लगइनपछिको व्यवहार लगइनअघिको व्यवहारमा परिणत हुँदैन।
आवश्यकतालाई चार भिन्न व्यवहारमध्ये एकको रूपमा लेख्नुहोस्, त्यसपछि प्रत्येकलाई छुट्टाछुट्टै परीक्षण गर्नुहोस्। एउटा सफल जडानले सामान्य अवस्था मात्र देखाउँछ, र बाँकी तीन सपोर्ट टिकटको स्रोत हुन्। तपाईंको आवश्यकतालाई साँच्चै कुन पङ्क्ति चाहिन्छ चिन्ह लगाउनुहोस्, किनकि लगइनपछिको व्यवहार मात्र चाहिने टोलीले लगइनअघिको तर्क छोड्न सक्छ। तालिका स्वीकृति सूची हो, इच्छा सूची होइन।
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
यदि आवश्यकता दोस्रो पङ्क्ति मात्र हो भने, यो पृष्ठको बाँकी भाग अझै लागू हुन्छ, तर स्वीकृति परीक्षण सस्तो छ।
दोस्रो चरण: प्रोफाइल पहिल्यै एन्डपोइन्टमा छ भनी पुष्टि गर्नुहोस्
लागू गर्ने प्रक्रियाले स्थानीय प्रोफाइल पढ्छ, त्यसैले पहिलो प्रश्न यो हो कि प्रयोगकर्ता जोडिनुअघि त्यो फाइल छ कि छैन। पहिलो सफल जडानमा डाउनलोड हुने प्रोफाइल पहिलो लगइनदेखि नै सुरक्षित राख्नुपर्ने मेसिनका लागि धेरै ढिलो पुग्छ। यसलाई इन्स्टलर वा एन्डपोइन्ट व्यवस्थापनसँग पठाउनुहोस्, र फाइलको उपस्थितिलाई आशा नभई बिल्ड जाँच मान्नुहोस्।
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnपुराना AnyConnect स्थापनाहरूले त्यही फाइल अर्कै नामको फोल्डरमा राख्छन्, त्यसैले पुरानो रनबुकबाट बाटो प्रतिलिपि गर्नुको सट्टा तपाईंले तैनाथ गर्ने क्लाइन्ट संस्करणको बाटो जाँच्नुहोस्. सेवा चलिरहेको हुनुपर्छ र स्वतः सुरु हुने गरी सेट गरिएको हुनुपर्छ, किनकि रोकिएको एजेन्ट प्रोफाइलले के भने पनि लागू नगरिएको एन्डपोइन्ट हो।
प्रोफाइल छैन भने यहीँ रोक्नुहोस्। प्रोफाइल नभएको मेसिनका लागि असफलता नीति वा विश्वसनीय सञ्जालको सूची सुधार्नु कहिल्यै नचल्ने बाटोमा गरिने काम हो।
तेस्रो चरण: असफलताको व्यवहार जानाजान छान्नुहोस्
टनेल माथि आउन नसक्दा के हुन्छ भन्ने टनेल आफै सुरु हुन्छ कि भन्नेभन्दा छुट्टै निर्णय हो। जडान असफलता नीतिले स्थापना असफल हुँदै जाँदा एन्डपोइन्टले इन्टरनेट प्रयोग गर्न सक्छ कि सक्दैन भन्ने तय गर्छ, र यी दुई सेटिङ प्रायः भ्रमित हुन्छन् किनकि दुवै Always-On विकल्पनजिक हुन्छन्। एउटा जानाजान छान्नुहोस् र कारण लेख्नुहोस्।
सबै जडान अवरुद्ध गर्नु कठोर सुनिन्छ र आफ्नै घटना-वर्ग सिर्जना गर्छ: गेटवे पुग्न नसकिने सञ्जालमा रहेको प्रयोगकर्ताले सेवा पुनर्स्थापित गर्ने सुधार डाउनलोड गर्न सक्दैन। इन्टरनेट पहुँच अनुमति दिँदा मेसिन प्रयोगयोग्य रहन्छ र ट्राफिक सुरक्षित छ भन्ने आश्वासन कमजोर हुन्छ। दुवै उत्तर सही हुन सक्छन्, तर कुनै पनि अवरोधका बेला पत्ता लगाउनुपर्ने पूर्वनिर्धारित मान होइन।
पुनः प्रयासको व्यवहार पनि त्यही निर्णयको अंश हो। सधैं प्रयास गर्ने क्लाइन्टले बिग्रिएको गेटवेलाई अनुगमनबाट लुकाउँछ, जबकि एक प्रयासपछि हार मान्ने क्लाइन्ट प्रयोगकर्तालाई बिग्रिएको देखिन्छ। असफलता नीतिले सम्हाल्नुअघि एन्डपोइन्टले कति समय प्रयास गर्नुपर्छ तय गर्नुहोस् र अनुमान नगरी त्यो समय परीक्षण गर्नुहोस्।
चौथो चरण: के विश्वसनीय मानिन्छ परिभाषित गर्नुहोस्
विश्वसनीय सञ्जाल पहिचानले क्लाइन्ट प्रोफाइलका मापदण्ड, जस्तै कन्फिगर गरिएका DNS डोमेन वा विश्वसनीय DNS सर्भर, प्रयोग गरी एन्डपोइन्ट पहिल्यै टनेल आवश्यक नहुने सञ्जालमा छ भनी निर्णय गर्छ। त्यो सूची नै सम्पूर्ण नीति हो, त्यसैले खाली वा वंशाणुगत सूचीले सुविधालाई या त निष्क्रिय या अप्रत्याशित बनाउँछ।
Windows फायरवालको सञ्जाल श्रेणीबारे अनुमानले यसलाई प्रतिस्थापन नगर्नुहोस्। मेसिन डोमेन-ट्याग गरिएको सञ्जालमा हुँदै पनि तपाईं विश्वास नगर्ने ठाउँमा हुन सक्छ, र सार्वजनिक प्रोफाइल भएको मेसिन तपाईंकै भवनभित्र हुन सक्छ। पहिचानका मापदण्डले तपाईंका सञ्जालको सिधा वर्णन गर्नुपर्छ, तिनको विकल्प होइन।
संक्रमण दुवै दिशामा परीक्षण गर्नुहोस्, सत्र खुला हुँदा एन्डपोइन्ट विश्वसनीयबाट अविश्वसनीय सञ्जालमा जाने अवस्थासमेत। विच्छेद र पुनः जडान छुट्टै घटना हुन्, र पहिलो मात्र सम्हाल्ने नीतिले टनेल नभएको झ्याल छोड्छ।
पाँचौं चरण: एन्डपोइन्ट नीति फिर्ता लिन कठिन बनाउनुहोस्
एन्डपोइन्टमा लागू गर्ने काम एन्डपोइन्टका आफ्नै नियन्त्रणजत्तिकै बलियो हुन्छ। स्थानीय प्रशासक अधिकारले प्रयोगकर्तालाई एजेन्ट सेवा रोक्न, प्रोफाइल बदल्न वा क्लाइन्ट अनइन्स्टल गर्न दिन्छ, र सामान्य प्रयोगकर्ताले लेख्न सक्ने प्रोफाइल डाइरेक्टरी जो कोहीले सम्पादन गर्न सक्ने नीति हो। दुवै VPN हेडएन्डले तपाईंका लागि समाधान गर्न नसक्ने एन्डपोइन्ट व्यवस्थापन समस्या हुन्। लागू गर्ने वाचा गर्नुअघि डेस्कटप टोलीलाई यी दुईमध्ये कुन सर्त लागू हुन्छ सोध्नुहोस् र उत्तर तैनाती योजनामा लेख्नुहोस्।
पुनःप्राप्ति मार्गलाई ध्यानमा राखेर लकडाउन स्तर तय गर्नुहोस्। प्रयोगकर्तालाई इन्टरनेटमा पुग्नबाट रोक्ने र क्लाइन्ट मर्मत गर्नबाट पनि रोक्ने प्रोफाइलले सपोर्ट कललाई साइट भ्रमणमा बदल्छ, त्यसैले टनेल चालु हुनमा निर्भर नहुने अभिलेखित पुनःप्राप्ति मार्ग राख्नुहोस्।
गेटवे प्रमाणपत्र प्रमाणीकरण खुला राख्नुहोस्, र प्रोफाइल तपाईंले विश्वास गर्ने च्यानलबाट मात्र वितरण गर्नुहोस्। अप्रत्याशित स्रोतबाट प्रोफाइल स्वीकार गर्ने लक गरिएको क्लाइन्टले लागू गर्नुको सट्टा विश्वासको सीमा सारेको छ।