Cisco Secure Client Always-On: rull ut profilen først

Innstillingar på eininga si side kan ikkje få ein ikkje-registrert berbar PC til å oppføre seg som eit administrert endepunkt, og dei fleste Always-On-utrullingane stoppar nettopp i dette gapet. Cisco Secure Client handhevar politikken gjennom profilen som ligg på maskina, så levering av den profilen er ein del av handhevingsplanen og ikkje ein detalj i han. Gå gjennom dei fem trinna nedanfor i rekkjefølgje, og stopp ved det første som ikkje held, fordi eit seinare trinn ikkje kan kompensere for eit tidlegare gap.

Trinn éin: avgjer om regelen startar før pålogging

Always-On etablerer tunnelen etter at brukaren loggar på, og dokumentasjonen frå leverandøren seier klart at han ikkje etablerer ei tilkopling når ingen loggar på. Viss kravet ditt er ein tunnel som finst før Windows-påloggingsskjermen, er dette feil funksjon, og inga profiljustering endrar det. Førehandsrulling av profilen gjer ikkje åtferd etter pålogging om til åtferd før pålogging.

Skriv kravet som éin av fire ulike åtferder, og test deretter kvar einskild for seg. Éi vellukka tilkopling viser berre det vanlege tilfellet, og dei tre andre er der støttebillettane kjem frå. Merk kva rad kravet ditt faktisk treng, fordi eit team som berre treng åtferd etter pålogging, kan hoppe over argumentet om før pålogging. Tabellen er ei akseptliste, ikkje ei ønskjeliste.

Viss kravet berre er den andre rada, gjeld resten av denne sida framleis, men aksepttesten er billegare.

Trinn to: stadfest at profilen allereie ligg på endepunktet

Handhevinga les ein lokal profil, så det første spørsmålet er om den fila finst før brukaren i det heile koplar til. Ein profil som blir lasta ned under den første vellukka tilkoplinga, blir levert for seint til ei maskin som må vere verna frå første pålogging. Send han med installasjonsprogrammet eller med endepunktsstyring, og handsam tilstadeveringar av fila som ein byggjekontroll i staden for eit håp.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Eldre AnyConnect-installasjonar held same fila i ei mappe med anna namn, så stadfest stien for klientversjonen du rullar ut i staden for å kopiere ein sti frå ei gammal runbok. Tenesta må køyre og vere sett til automatisk start, fordi ein stoppa agent er eit endepunkt utan handheving, uansett kva profilen seier.

Viss profilen manglar, stopp her. Å rette feilpolitikken eller lista over klarerte nett for ei maskin utan profil er arbeid på ein sti som aldri blir utført.

Trinn tre: vel feilåtferda med vilje

Kva som skjer når tunnelen ikkje kan reise seg, er eit vedtak skilt frå om tunnelen startar automatisk. Politikken for tilkoplingfeil avgjer om endepunktet kan bruke internett medan etableringa framleis feilar, og dei to innstillingane blir ofte forveksla fordi begge ligg nær Always-On-alternativa. Vel éin med vilje og skriv ned grunngjevinga.

Å blokkere all tilkopling høyrest strengt ut og skaper sin eigen hendingsklasse: ein brukar på eit nett der gatewayen ikkje er tilgjengeleg, kan ikkje laste ned rettinga som ville gjenopprette tenesta. Å tillate internettilgang held maskina brukbar og svekkjer garantien for at trafikken er verna. Begge svara kan vere riktige, men ingen av dei er ein standardverdi du bør oppdage under ei driftsforstyrring.

Gjentaksåtferd høyrer til same vedtaket. Ein klient som prøver for alltid, skjuler ein øydelagd gateway for overvaking, medan ein klient som gir opp etter eitt forsøk, ser øydelagd ut for brukaren. Avgjer kor lenge endepunktet skal halde fram med å prøve før feilpolitikken tek over, og test den tida i staden for å anta ho.

Trinn fire: definer kva som blir rekna som klarert

Registrering av klarerte nett brukar kriteria i klientprofilen, som konfigurerte DNS-domene eller klarerte DNS-tenarar, for å avgjere at endepunktet allereie er på eit nett der tunnelen er unødvendig. Den lista er heile politikken, så ei tom eller nedarva liste gjer funksjonen anten inaktiv eller uføreseieleg.

Ikkje erstatt ho med ein føresetnad om nettverkskategorien i Windows-brannmuren. Ei maskin kan vere på eit domenemerkt nett og likevel vere ein stad du ikkje stolar på, og ei maskin med offentleg profil kan vere inne i din eigen bygning. Registreringskriteria bør skildre netta dine direkte, ikkje ein erstatning for dei.

Test overgangen i begge retningar, inkludert tilfellet der endepunktet flyttar frå eit klarert til eit uklarert nett medan ei økt er open. Fråkoplinga og attkoplinga er separate hendingar, og ein politikk som berre handsamar den første, etterlet eit vindauge der tunnelen manglar.

Trinn fem: gjer endepunktspolitikken vanskeleg å angre

Handheving på endepunktet er berre så sterk som endepunktet sine eigne kontrollar. Lokale administratorrettar lèt ein brukar stoppe agenttenesta, erstatte profilen eller avinstallere klienten, og ei profilmappe som vanlege brukarar kan skrive i, er ein politikk som kven som helst kan redigere. Begge er endepunktsstyringsproblem som VPN-hovudet ikkje kan løyse for deg. Spør skrivebordsteamet kva av dei to vilkåra som gjeld, før du lovar handheving, og skriv svaret inn i utrullingsplanen.

Avgjer låsenivået med gjenopprettingsvegen i tankane. Ein profil som blokkerer brukaren frå å nå internett og også hindrar han i å reparere klienten, gjer ein støttetelefon til eit vitjing på staden, så hald ein dokumentert gjenopprettingsrute som ikkje er avhengig av at tunnelen er oppe.

Hald valideringa av gateway-sertifikatet på, og distribuer profilen berre gjennom ein kanal du stolar på. Ein låst klient som godtek ein profil frå ei uventa kjelde, har flytta tillitsgrensa i staden for å handheve ho.