Cisco Secure Client Always-On: eerst het profiel uitrollen

Instellingen aan de apparaatzijde kunnen een niet-geregistreerde laptop niet laten gedragen als een beheerd endpoint, en de meeste Always-On-implementaties lopen juist op dat gat vast. Cisco Secure Client handhaaft het beleid via het profiel dat op de machine staat, dus het aanleveren van dat profiel is onderdeel van het handhavingsplan en niet een detail ervan. Doorloop de vijf stappen hieronder in volgorde en stop bij de eerste die niet klopt, want een latere stap kan een eerder gat niet compenseren.

Stap één: bepaal of de regel vóór aanmelding begint

Always-On brengt de tunnel tot stand nadat de gebruiker zich aanmeldt, en de documentatie van de leverancier zegt duidelijk dat er geen verbinding tot stand wordt gebracht als niemand zich aanmeldt. Als uw eis een tunnel is die vóór het Windows-aanmeldscherm bestaat, is dit de verkeerde functie en geen enkele profielafstelling verandert dat. Het profiel vooraf uitrollen maakt gedrag na aanmelding niet tot gedrag vóór aanmelding.

Schrijf de eis op als een van vier verschillende gedragingen en test ze daarna afzonderlijk. Eén geslaagde verbinding toont alleen het gewone geval, en de andere drie zijn waar de supporttickets vandaan komen. Markeer welke rij uw eis werkelijk nodig heeft, want een team dat alleen gedrag na aanmelding nodig heeft, kan de argumentatie over vóór aanmelding overslaan. De tabel is een acceptatielijst, geen wensenlijst.

Als de eis alleen de tweede rij is, geldt de rest van deze pagina nog steeds, maar de acceptatietest is goedkoper.

Stap twee: bevestig dat het profiel al op het endpoint staat

De handhaving leest een lokaal profiel, dus de eerste vraag is of dat bestand bestaat voordat de gebruiker verbinding maakt. Een profiel dat tijdens de eerste geslaagde verbinding wordt gedownload, komt te laat voor een machine die vanaf de eerste aanmelding beschermd moet zijn. Lever het mee met het installatieprogramma of met endpointbeheer, en behandel de aanwezigheid van het bestand als een buildcontrole in plaats van een hoop.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Oudere AnyConnect-installaties bewaren hetzelfde bestand in een map met een andere naam, dus controleer het pad voor de clientversie die u uitrolt in plaats van een pad uit een oude runbook te kopiëren. De service moet draaien en op automatisch starten staan, want een gestopte agent is een endpoint zonder handhaving, wat het profiel ook zegt.

Als het profiel ontbreekt, stop hier. Het foutbeleid of de lijst met vertrouwde netwerken repareren voor een machine zonder profiel is werk op een pad dat nooit wordt uitgevoerd.

Stap drie: kies het foutgedrag bewust

Wat er gebeurt als de tunnel niet omhoog komt, is een aparte beslissing van of de tunnel automatisch start. Het verbindingsfoutbeleid bepaalt of het endpoint internet mag gebruiken terwijl de totstandkoming blijft mislukken, en de twee instellingen worden vaak verward omdat beide bij de Always-On-opties staan. Kies er bewust één en schrijf de reden op.

Alle connectiviteit blokkeren klinkt streng en levert zijn eigen incidentklasse op: een gebruiker op een netwerk waar de gateway onbereikbaar is, kan de correctie niet downloaden die de dienst zou herstellen. Internettoegang toestaan houdt de machine bruikbaar en verzwakt de garantie dat verkeer beschermd is. Elk antwoord kan juist zijn, maar geen ervan is een standaardwaarde die u tijdens een storing zou moeten ontdekken.

Herhaalgedrag hoort bij dezelfde beslissing. Een client die voor altijd opnieuw probeert, verbergt een kapotte gateway voor monitoring, terwijl een client die na één poging opgeeft, voor de gebruiker kapot lijkt. Bepaal hoe lang het endpoint moet blijven proberen voordat het foutbeleid overneemt, en test die timing in plaats van hem aan te nemen.

Stap vier: definieer wat als vertrouwd geldt

Detectie van vertrouwde netwerken gebruikt de criteria in het clientprofiel, zoals geconfigureerde DNS-domeinen of vertrouwde DNS-servers, om te besluiten dat het endpoint al op een netwerk is waar de tunnel overbodig is. Die lijst is het hele beleid, dus een lege of geërfde lijst maakt de functie ofwel inactief ofwel onvoorspelbaar.

Vervang die niet door een aanname over de netwerkcategorie van de Windows-firewall. Een machine kan op een met domein gemarkeerd netwerk staan en toch ergens zijn waar u niet op vertrouwt, en een machine met een openbaar profiel kan binnen uw eigen gebouw staan. De detectiecriteria moeten uw netwerken rechtstreeks beschrijven, niet een vervanger ervoor.

Test de overgang in beide richtingen, inclusief het geval waarin het endpoint van een vertrouwd naar een niet-vertrouwd netwerk gaat terwijl een sessie open is. De onderbreking en het opnieuw verbinden zijn afzonderlijke gebeurtenissen, en een beleid dat alleen de eerste afhandelt, laat een venster waarin de tunnel ontbreekt.

Stap vijf: maak het endpointbeleid moeilijk ongedaan te maken

Handhaving op het endpoint is slechts zo sterk als de eigen controles van het endpoint. Lokale beheerdersrechten laten een gebruiker de agentservice stoppen, het profiel vervangen of de client verwijderen, en een profielmap waarin gewone gebruikers kunnen schrijven is een beleid dat iedereen kan bewerken. Beide zijn endpointbeheerproblemen die de VPN-headend niet voor u kan oplossen. Vraag het desktopteam welke van die twee voorwaarden geldt voordat u handhaving belooft, en schrijf het antwoord in het uitrolplan.

Bepaal het vergrendelingsniveau met het herstelpad in het oog. Een profiel dat de gebruiker de toegang tot internet ontzegt en ook verhindert dat hij de client repareert, maakt van een supportoproep een bezoek ter plaatse, dus houd een gedocumenteerde herstelroute aan die niet afhangt van een werkende tunnel.

Laat de certificaatvalidatie van de gateway aan staan en distribueer het profiel alleen via een kanaal dat u vertrouwt. Een vergrendelde client die een profiel van een onverwachte bron accepteert, heeft de vertrouwensgrens verplaatst in plaats van hem te handhaven.