Cisco Secure Client Always-On: implemente o perfil primeiro

As configurações do lado do equipamento não conseguem fazer um laptop não registado comportar-se como um endpoint gerido, e a maioria das implementações Always-On bloqueia exatamente nessa lacuna. O Cisco Secure Client aplica a política através do perfil que está na máquina, por isso a entrega desse perfil faz parte do plano de aplicação e não é um detalhe. Percorra os cinco passos abaixo por ordem e pare no primeiro que não se verificar, porque um passo posterior não compensa uma falha anterior.

Passo um: decida se a regra começa antes do logon

O Always-On estabelece o túnel depois de o utilizador iniciar sessão, e a documentação do fabricante diz claramente que não estabelece uma ligação quando ninguém inicia sessão. Se o requisito for um túnel que exista antes do ecrã de início de sessão do Windows, esta é a funcionalidade errada e nenhum ajuste do perfil o muda. Implementar o perfil antecipadamente não transforma o comportamento após o logon em comportamento antes do logon.

Escreva o requisito como um de quatro comportamentos distintos e depois teste cada um separadamente. Uma única ligação bem-sucedida demonstra apenas o caso normal, e os outros três são a origem dos pedidos de suporte. Marque qual linha o requisito realmente precisa, porque uma equipa que só precisa do comportamento após o logon pode dispensar o argumento do antes. A tabela é uma lista de aceitação, não uma lista de desejos.

Se o requisito for apenas a segunda linha, o resto desta página continua a aplicar-se, mas o teste de aceitação é mais barato.

Passo dois: confirme que o perfil já está no endpoint

A aplicação lê um perfil local, por isso a primeira pergunta é se esse ficheiro existe antes de o utilizador se ligar. Um perfil descarregado durante a primeira ligação bem-sucedida chega demasiado tarde para uma máquina que tem de estar protegida desde o primeiro logon. Entregue-o com o instalador ou com a gestão de endpoints, e trate a presença do ficheiro como uma verificação de compilação e não como uma esperança.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

As instalações mais antigas do AnyConnect guardam o mesmo ficheiro numa pasta com outro nome, por isso confirme o caminho para a versão de cliente que implementa em vez de copiar um caminho de um manual antigo. O serviço tem de estar em execução e configurado para iniciar automaticamente, porque um agente parado é um endpoint sem aplicação, diga o que disser o perfil.

Se o perfil faltar, pare aqui. Corrigir a política de falha ou a lista de redes confiáveis para uma máquina sem perfil é trabalhar num caminho que nunca é executado.

Passo três: escolha o comportamento de falha deliberadamente

O que acontece quando o túnel não consegue subir é uma decisão separada de saber se o túnel arranca automaticamente. A política de falha de ligação decide se o endpoint pode usar a internet enquanto o estabelecimento continua a falhar, e as duas definições são frequentemente confundidas porque ambas ficam perto das opções do Always-On. Escolha uma de propósito e anote o motivo.

Bloquear toda a conetividade soa rígido e cria a sua própria classe de incidentes: um utilizador numa rede onde o gateway está inacessível não consegue descarregar a correção que restabeleceria o serviço. Permitir o acesso à internet mantém a máquina utilizável e enfraquece a garantia de que o tráfego está protegido. Qualquer das respostas pode estar certa, mas nenhuma é um valor predefinido que deva descobrir durante uma falha.

O comportamento de nova tentativa pertence à mesma decisão. Um cliente que tenta para sempre esconde um gateway avariado da monitorização, enquanto um cliente que desiste após uma tentativa parece avariado ao utilizador. Decida quanto tempo o endpoint deve continuar a tentar antes de a política de falha assumir, e teste esse tempo em vez de o presumir.

Passo quatro: defina o que conta como confiável

A deteção de rede confiável usa os critérios do perfil do cliente, como domínios DNS configurados ou servidores DNS confiáveis, para decidir que o endpoint já está numa rede onde o túnel é desnecessário. Essa lista é toda a política, por isso uma lista vazia ou herdada torna a funcionalidade inerte ou imprevisível.

Não a substitua por uma suposição sobre a categoria de rede da firewall do Windows. Uma máquina pode estar numa rede marcada como domínio e continuar num local em que não confia, e uma máquina com perfil público pode estar dentro do seu próprio edifício. Os critérios de deteção devem descrever diretamente as suas redes, não um substituto delas.

Teste a transição nos dois sentidos, incluindo o caso em que o endpoint passa de uma rede confiável para uma não confiável com uma sessão aberta. A desconexão e a reconexão são eventos separados, e uma política que só trata do primeiro deixa uma janela em que o túnel está ausente.

Passo cinco: torne a política do endpoint difícil de anular

A aplicação no endpoint é tão forte como os próprios controlos do endpoint. Os direitos de administrador local permitem ao utilizador parar o serviço do agente, substituir o perfil ou desinstalar o cliente, e um diretório de perfil onde os utilizadores comuns podem escrever é uma política que qualquer pessoa pode editar. Ambos são problemas de gestão de endpoints que a cabeça do VPN não pode resolver por si. Pergunte à equipa de posto de trabalho qual dessas duas condições se aplica antes de prometer a aplicação, e escreva a resposta no plano de implementação.

Decida o nível de bloqueio com o caminho de recuperação em vista. Um perfil que impede o utilizador de chegar à internet e também o impede de reparar o cliente transforma uma chamada de suporte numa visita ao local, por isso mantenha um caminho de recuperação documentado que não dependa de o túnel estar ativo.

Mantenha ativa a validação do certificado do gateway e distribua o perfil apenas por um canal em que confie. Um cliente bloqueado que aceita um perfil de uma fonte inesperada moveu a fronteira de confiança em vez de a aplicar.