Czy Twój Meraki MX obsługuje Cisco Secure Client?

Dwa wątki pomocy technicznej nie zgadzają się co do tego, czy Meraki potrafi AnyConnect, i oba mylą się w ten sam pewny siebie sposób. Pytanie nie brzmi, czy MX mówi IKEv2, bo AnyConnect na urządzeniu jest usługą TLS, a nie IPsec. Odpowiedź rozstrzygają dwa osobne sprawdzenia i żadne z nich nie jest porównaniem marek. Wykonaj je po kolei, a otrzymasz rekord zgodności zamiast opinii.

Najpierw model i wersja

Zacznij od dokładnego urządzenia i oprogramowania, które ono wykonuje, bo funkcja jest ograniczona do obu. Meraki publikuje macierz z obsługiwanymi modelami i minimalnym firmware, a ta macierz jest jedynym autorytetem wartym cytowania. Model z listy nie działa automatycznie na wydaniu, które obsługuje funkcję, a wydanie, które ją obsługuje, może nie być tym, które wykonujesz. Zapisz model i zainstalowany firmware jako dwa osobne fakty. Następnie przeczytaj macierz dla tej pary.

Nie wnioskuj z podobnego modelu w tej samej rodzinie. Lista jest dla każdego modelu, a różnice są rzeczywiste.

AnyConnect to usługa SSL, a nie IPsec

Meraki opisuje AnyConnect na MX jako VPN oparty na aplikacjach przez TLS i DTLS i dokumentuje go obok osobnej usługi VPN klienta przez L2TP/IPsec. To dwa produkty, które przypadkiem dzielą jeden pulpit. Porównanie IKEv1 z IKEv2 mówi o usłudze IPsec i nic o tym, czy usługa TLS istnieje na Twoim urządzeniu. Jeśli Twoim dowodem jest tabela wersji IKE, odpowiedziałeś na inne pytanie.

Zidentyfikuj, którą usługę udostępnia urządzenie, zanim porównasz klientów. Działający profil L2TP/IPsec nie staje się profilem AnyConnect dlatego, że dociera do tej samej organizacji, a oba wymagają innej konfiguracji klienta.

Jakie funkcje MX naprawdę oferuje

Lista funkcji ASA firmy Cisco nie jest listą funkcji MX, a klient obsługujący dwanaście rzeczy nie sprawia, że brama je obsługuje. Porównaj funkcje, których naprawdę potrzebujesz: metodę uwierzytelniania, zachowanie tunelu dzielonego, obsługę DNS i uprawnienie wymagane przez urządzenie. Każdą weź z dokumentacji Meraki dla wdrożonego wydania.

Uwierzytelnianie to miejsce, w którym to zwykle boli. Metoda oferowana przez klienta, której urządzenie nie potrafi skonfigurować, to zgłoszenie do pomocy technicznej czekające na wystąpienie.

Wersja klienta i uprawnienie

Cisco Secure Client to obecna nazwa tej samej rodziny klientów, więc dokument wspominający AnyConnect nie musi być przestarzały. Liczy się wersja wdrażana przez Twoją organizację i to, czy wydanie urządzenia jest wobec niej zweryfikowane.

Sprawdź wymóg licencji w tym samym przewodniku, zamiast zakładać go z innej platformy. Następnie trzymaj nazwę punktu końcowego, weryfikację certyfikatu i zatwierdzony przepływ uwierzytelniania razem w jednym rekordzie usługi, bo te trzy zawodzą niezależnie. Ostrzeżenie o certyfikacie, które użytkownicy po prostu przeklikują, nie jest wynikiem zgodności, to niezweryfikowana konfiguracja. Dostęp zdalny to tylko połowa pracy, bo użytkownik nadal potrzebuje tras i uprawnień, aby dotrzeć do celu.

Zapisz rekord z pięcioma polami

Model, firmware, tryb dostępu zdalnego, wersja klienta i funkcje wymagane przez wdrożenie. Pięć pól, a odpowiedź na pytanie, czy możemy używać AnyConnect, tkwi w kombinacji, a nie w którymkolwiek z nich osobno. Ten rekord mówi też następnemu inżynierowi, co sprawdzić ponownie po aktualizacji firmware.

Następnie przetestuj ścieżkę od początku do końca: uwierzytelnij się, rozwiąż nazwę wewnętrzną, dotrzyj do dozwolonego zasobu i potwierdź, że zasób, do którego nie powinieneś docierać, jest odrzucany. Logowanie, które się udaje, ale zasób nigdy się nie ładuje, to wynik częściowy, a brakująca połowa to zwykle routing lub autoryzacja, a nie klient. Zarchiwizuj przetestowaną kombinację wraz ze zmianą, aby następna osoba odziedziczyła dowody, a nie slogan.