Cisco Secure Client Always-On: implementați mai întâi profilul

Setările din partea dispozitivului nu pot face un laptop neînregistrat să se comporte ca un punct final administrat, iar majoritatea implementărilor Always-On se blochează exact în acest gol. Cisco Secure Client aplică politica prin profilul aflat pe mașină, așa că livrarea acelui profil face parte din planul de aplicare, nu este un detaliu al acestuia. Parcurgeți cei cinci pași de mai jos în ordine și opriți-vă la primul care nu se susține, pentru că un pas ulterior nu poate compensa o lipsă anterioară.

Pasul unu: decideți dacă regula începe înainte de autentificare

Always-On stabilește tunelul după ce utilizatorul se autentifică, iar documentația producătorului spune clar că nu stabilește o conexiune atunci când nimeni nu se autentifică. Dacă cerința este un tunel care există înainte de ecranul de autentificare Windows, aceasta este funcția greșită și nicio ajustare a profilului nu schimbă asta. Implementarea profilului în avans nu transformă comportamentul după autentificare în comportament înainte de autentificare.

Scrieți cerința ca unul dintre patru comportamente distincte, apoi testați fiecare separat. O singură conexiune reușită demonstrează doar cazul obișnuit, iar celelalte trei sunt sursa tichetelor de suport. Marcați care rând este cu adevărat necesar cerinței dumneavoastră, pentru că o echipă care are nevoie doar de comportamentul după autentificare poate sări peste argumentul privind înainte de autentificare. Tabelul este o listă de acceptare, nu o listă de dorințe.

Dacă cerința este doar al doilea rând, restul paginii se aplică în continuare, dar testul de acceptare este mai ieftin.

Pasul doi: confirmați că profilul este deja pe punctul final

Aplicarea citește un profil local, așa că prima întrebare este dacă acel fișier există înainte ca utilizatorul să se conecteze. Un profil descărcat în timpul primei conexiuni reușite ajunge prea târziu pentru o mașină care trebuie protejată de la prima autentificare. Livrați-l cu programul de instalare sau cu administrarea punctelor finale și tratați prezența fișierului ca pe o verificare de construcție, nu ca pe o speranță.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Instalările mai vechi de AnyConnect păstrează același fișier într-un folder cu alt nume, așa că confirmați calea pentru versiunea de client pe care o implementați în loc să copiați o cale dintr-un manual vechi. Serviciul trebuie să ruleze și să fie setat să pornească automat, pentru că un agent oprit este un punct final fără aplicare, indiferent ce spune profilul.

Dacă profilul lipsește, opriți-vă aici. Repararea politicii de eșec sau a listei de rețele de încredere pentru o mașină fără profil este muncă pe o cale care nu se execută niciodată.

Pasul trei: alegeți deliberat comportamentul la eșec

Ce se întâmplă când tunelul nu poate porni este o decizie separată de dacă tunelul pornește automat. Politica de eșec a conexiunii decide dacă punctul final poate folosi internetul în timp ce stabilirea continuă să eșueze, iar cele două setări sunt adesea confundate pentru că ambele se află lângă opțiunile Always-On. Alegeți una intenționat și notați motivul.

Blocarea întregii conectivități sună strict și creează propria clasă de incidente: un utilizator într-o rețea în care gateway-ul este inaccesibil nu poate descărca corectura care ar restabili serviciul. Permiterea accesului la internet menține mașina utilizabilă și slăbește garanția că traficul este protejat. Oricare răspuns poate fi corect, dar niciunul nu este o valoare implicită pe care ar trebui să o descoperiți în timpul unei defecțiuni.

Comportamentul la reîncercare aparține aceleiași decizii. Un client care reîncearcă la nesfârșit ascunde un gateway defect de monitorizare, în timp ce un client care renunță după o încercare pare defect utilizatorului. Decideți cât timp trebuie să continue punctul final să încerce înainte ca politica de eșec să preia controlul și testați acel interval în loc să îl presupuneți.

Pasul patru: definiți ce contează ca fiind de încredere

Detectarea rețelei de încredere folosește criteriile din profilul clientului, cum ar fi domeniile DNS configurate sau serverele DNS de încredere, pentru a decide că punctul final este deja într-o rețea în care tunelul nu este necesar. Acea listă este întreaga politică, așa că o listă goală sau moștenită face funcția fie inertă, fie imprevizibilă.

Nu o înlocuiți cu o presupunere despre categoria de rețea a paravanului Windows. O mașină poate fi într-o rețea marcată ca domeniu și totuși să se afle într-un loc în care nu aveți încredere, iar o mașină cu profil public poate fi în propria clădire. Criteriile de detectare ar trebui să descrie direct rețelele dumneavoastră, nu un substitut al acestora.

Testați tranziția în ambele sensuri, inclusiv cazul în care punctul final trece de la o rețea de încredere la una nesigură în timp ce sesiunea este deschisă. Deconectarea și reconectarea sunt evenimente separate, iar o politică ce tratează doar primul lasă o fereastră în care tunelul lipsește.

Pasul cinci: faceți politica punctului final greu de anulat

Aplicarea pe punctul final este la fel de puternică precum controalele proprii ale punctului final. Drepturile de administrator local permit utilizatorului să oprească serviciul agentului, să înlocuiască profilul sau să dezinstaleze clientul, iar un director de profil în care utilizatorii obișnuiți pot scrie este o politică pe care oricine o poate edita. Ambele sunt probleme de administrare a punctelor finale pe care capul VPN nu le poate rezolva pentru dumneavoastră. Întrebați echipa de stații de lucru care dintre aceste două condiții se aplică înainte de a promite aplicarea și scrieți răspunsul în planul de implementare.

Decideți nivelul de blocare având în vedere calea de recuperare. Un profil care împiedică utilizatorul să ajungă la internet și îl împiedică și să repare clientul transformă un apel de suport într-o vizită la fața locului, așa că păstrați o cale de recuperare documentată care nu depinde de funcționarea tunelului.

Păstrați activă validarea certificatului gateway-ului și distribuiți profilul doar printr-un canal în care aveți încredere. Un client blocat care acceptă un profil dintr-o sursă neașteptată a mutat granița de încredere în loc să o aplice.