Støtter din Meraki MX Cisco Secure Client?

To støttetråder er uenige om Meraki kan bruke AnyConnect, og begge tar på samme måte selvsikkert feil. Spørsmålet er ikke om en MX snakker IKEv2, for AnyConnect på enheten er en TLS-tjeneste og ikke IPsec. To separate kontroller avgjør svaret, og ingen av dem er en merkevaresammenligning. Ta dem i rekkefølge, og du får en kompatibilitetsregistrering i stedet for en mening.

Modell og versjon først

Start med den nøyaktige enheten og programvaren den kjører, fordi funksjonen er begrenset til begge. Meraki publiserer en matrise med støttede modeller og minimum fastvare, og den matrisen er den eneste autoriteten som er verdt å sitere. En modell på listen kjører ikke automatisk en versjon som støtter funksjonen, og en versjon som støtter den er kanskje ikke den du kjører. Registrer modellen og installert fastvare som to separate fakta. Les deretter matrisen for det paret.

Ikke resonner fra en lignende modell i samme familie. Listen er per modell, og forskjellene er reelle.

AnyConnect er en SSL-tjeneste, ikke IPsec

Meraki beskriver AnyConnect på MX som en applikasjonsbasert VPN over TLS og DTLS, og dokumenterer den ved siden av en separat klient-VPN-tjeneste over L2TP/IPsec. Det er to produkter som tilfeldigvis deler ett dashbord. Å sammenligne IKEv1 med IKEv2 forteller deg om IPsec-tjenesten og ingenting om hvorvidt TLS-tjenesten finnes på enheten din. Hvis beviset ditt er en tabell over IKE-versjoner, har du svart på et annet spørsmål.

Identifiser hvilken tjeneste enheten eksponerer før du sammenligner klienter. En fungerende L2TP/IPsec-profil blir ikke en AnyConnect-profil fordi den når samme organisasjon, og de to trenger forskjellig klientkonfigurasjon.

Hvilke funksjoner MX faktisk tilbyr

Ciscos ASA-funksjonsliste er ikke MX-funksjonslisten, og en klient som støtter tolv ting gjør ikke at gatewayen støtter dem. Sammenlign funksjonene du faktisk trenger: autentiseringsmetode, oppførsel for delt tunnel, DNS-håndtering og den rettigheten enheten krever. Ta hver av dem fra Meraki-dokumentasjonen for den utrullede versjonen.

Autentisering er der dette vanligvis biter. En metode klienten tilbyr og enheten ikke kan konfigurere, er en støttesak som venter på å skje.

Klientversjon og rettighet

Cisco Secure Client er det nåværende navnet på samme klientfamilie, så et dokument som nevner AnyConnect er ikke nødvendigvis utdatert. Det som betyr noe, er versjonen organisasjonen din ruller ut og om enhetens versjon er validert mot den.

Kontroller lisenskravet i samme veiledning i stedet for å anta det fra en annen plattform. Hold deretter endepunktnavnet, sertifikatverifiseringen og den godkjente autentiseringsflyten sammen i én tjenesteregistrering, fordi de tre svikter uavhengig. En sertifikatadvarsel som brukerne bare klikker gjennom, er ikke et kompatibilitetsresultat, det er en uverifisert konfigurasjon. Fjernaksess er bare halve jobben, fordi brukeren fortsatt trenger ruter og tillatelser for å nå målet.

Skriv registreringen med fem felt

Modell, fastvare, fjernaksessmodus, klientversjon og funksjonene utrullingen krever. Fem felt, og svaret på om vi kan bruke AnyConnect ligger i kombinasjonen og ikke i noen enkelt av dem. Den registreringen forteller også neste ingeniør hva som må kontrolleres på nytt etter en fastvareoppgradering.

Test deretter banen ende til ende: autentiser, slå opp et internt navn, nå en tillatt ressurs og bekreft at en ressurs du ikke skal nå, avvises. En innlogging som lykkes med en ressurs som aldri lastes, er et delresultat, og den manglende halvdelen er vanligvis ruting eller autorisasjon, ikke klienten. Arkiver den testede kombinasjonen sammen med endringen, slik at neste person arver bevis i stedet for et slagord.