Cisco Secure Client Always-On: najpierw wdróż profil

Ustawienia po stronie urządzenia nie mogą sprawić, by niezarejestrowany laptop zachowywał się jak zarządzany punkt końcowy, a większość wdrożeń Always-On zatrzymuje się właśnie w tej luce. Cisco Secure Client egzekwuje politykę przez profil, który znajduje się na komputerze, więc dostarczenie tego profilu jest częścią planu egzekwowania, a nie jego szczegółem. Przejdź pięć kroków poniżej po kolei i zatrzymaj się na pierwszym, który nie jest spełniony, ponieważ późniejszy krok nie zrekompensuje wcześniejszej luki.

Krok pierwszy: zdecyduj, czy reguła zaczyna się przed logowaniem

Always-On ustanawia tunel po zalogowaniu użytkownika, a dokumentacja producenta mówi wprost, że nie ustanawia połączenia, gdy nikt się nie loguje. Jeśli wymaganiem jest tunel istniejący przed ekranem logowania Windows, to jest to niewłaściwa funkcja i żadne dostrajanie profilu tego nie zmieni. Wdrożenie profilu z wyprzedzeniem nie zamienia zachowania po logowaniu w zachowanie przed logowaniem.

Zapisz wymaganie jako jedno z czterech odrębnych zachowań, a następnie przetestuj każde osobno. Jedno udane połączenie pokazuje tylko zwykły przypadek, a pozostałe trzy są źródłem zgłoszeń do pomocy technicznej. Zaznacz, którego wiersza naprawdę wymaga twoje wymaganie, ponieważ zespół, który potrzebuje tylko zachowania po logowaniu, może pominąć argument o logowaniu przed. Tabela jest listą akceptacyjną, nie listą życzeń.

Jeśli wymaganiem jest tylko drugi wiersz, reszta tej strony nadal obowiązuje, ale test akceptacyjny jest tańszy.

Krok drugi: potwierdź, że profil już jest na punkcie końcowym

Egzekwowanie czyta lokalny profil, więc pierwsze pytanie brzmi, czy ten plik istnieje, zanim użytkownik w ogóle się połączy. Profil pobrany podczas pierwszego udanego połączenia trafia zbyt późno do komputera, który musi być chroniony od pierwszego logowania. Dostarcz go z instalatorem lub z zarządzaniem punktami końcowymi i traktuj obecność pliku jako sprawdzenie kompilacji, a nie nadzieję.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Starsze instalacje AnyConnect trzymają ten sam plik w folderze o innej nazwie, więc potwierdź ścieżkę dla wdrażanej wersji klienta, zamiast kopiować ścieżkę ze starego podręcznika. Usługa musi działać i być ustawiona na uruchamianie automatyczne, ponieważ zatrzymany agent to punkt końcowy bez egzekwowania, cokolwiek mówi profil.

Jeśli profilu brakuje, zatrzymaj się tutaj. Naprawianie polityki awarii lub listy zaufanych sieci dla komputera bez profilu to praca na ścieżce, która nigdy się nie wykonuje.

Krok trzeci: świadomie wybierz zachowanie przy awarii

To, co dzieje się, gdy tunel nie może się podnieść, jest decyzją odrębną od tego, czy tunel startuje automatycznie. Polityka awarii połączenia decyduje, czy punkt końcowy może korzystać z internetu, gdy ustanawianie nadal się nie udaje, i te dwa ustawienia są często mylone, bo oba leżą blisko opcji Always-On. Wybierz jedno świadomie i zapisz powód.

Blokowanie całej łączności brzmi surowo i tworzy własną klasę incydentów: użytkownik w sieci, w której brama jest nieosiągalna, nie może pobrać poprawki, która przywróciłaby usługę. Zezwolenie na dostęp do internetu utrzymuje komputer w użyciu i osłabia gwarancję, że ruch jest chroniony. Każda z odpowiedzi może być słuszna, ale żadna nie jest wartością domyślną, którą powinieneś odkryć podczas awarii.

Zachowanie przy ponawianiu należy do tej samej decyzji. Klient, który próbuje bez końca, ukrywa zepsutą bramę przed monitorowaniem, a klient, który poddaje się po jednej próbie, wygląda dla użytkownika na zepsuty. Zdecyduj, jak długo punkt końcowy ma próbować, zanim przejmie polityka awarii, i przetestuj ten czas, zamiast go zakładać.

Krok czwarty: zdefiniuj, co liczy się jako zaufane

Wykrywanie zaufanej sieci używa kryteriów z profilu klienta, takich jak skonfigurowane domeny DNS lub zaufane serwery DNS, aby stwierdzić, że punkt końcowy jest już w sieci, w której tunel jest niepotrzebny. Ta lista to cała polityka, więc pusta lub odziedziczona lista czyni funkcję albo martwą, albo nieprzewidywalną.

Nie zastępuj jej założeniem o kategorii sieci zapory Windows. Komputer może być w sieci oznaczonej domeną i nadal znajdować się w miejscu, któremu nie ufasz, a komputer z profilem publicznym może być w twoim własnym budynku. Kryteria wykrywania powinny opisywać twoje sieci bezpośrednio, a nie ich zastępnik.

Przetestuj przejście w obu kierunkach, w tym przypadek, gdy punkt końcowy przenosi się z sieci zaufanej do niezaufanej przy otwartej sesji. Rozłączenie i ponowne połączenie to osobne zdarzenia, a polityka, która obsługuje tylko pierwsze, zostawia okno, w którym tunelu nie ma.

Krok piąty: utrudnij cofnięcie polityki punktu końcowego

Egzekwowanie na punkcie końcowym jest tak silne, jak własne mechanizmy kontroli punktu końcowego. Uprawnienia lokalnego administratora pozwalają użytkownikowi zatrzymać usługę agenta, zastąpić profil lub odinstalować klienta, a katalog profilu, w którym zwykli użytkownicy mogą pisać, to polityka, którą każdy może edytować. Oba są problemami zarządzania punktami końcowymi, których czoło VPN nie rozwiąże za ciebie. Zapytaj zespół stacji roboczych, który z tych dwóch warunków zachodzi, zanim obiecasz egzekwowanie, i zapisz odpowiedź w planie wdrożenia.

Zdecyduj o poziomie blokady, mając na uwadze ścieżkę odzyskiwania. Profil, który blokuje użytkownikowi dostęp do internetu i uniemożliwia naprawę klienta, zamienia telefon do pomocy technicznej w wizytę na miejscu, więc utrzymuj udokumentowaną ścieżkę odzyskiwania, która nie zależy od działającego tunelu.

Pozostaw włączoną walidację certyfikatu bramy i rozpowszechniaj profil tylko kanałem, któremu ufasz. Zablokowany klient, który przyjmuje profil z nieoczekiwanego źródła, przeniósł granicę zaufania, zamiast ją wyegzekwować.