Cisco Secure Client Always-On: сначала разверните профиль

Настройки на стороне устройства не заставят незарегистрированный ноутбук вести себя как управляемая конечная точка, и большинство внедрений Always-On упирается именно в этот разрыв. Cisco Secure Client применяет политику через профиль, который лежит на машине, поэтому доставка этого профиля — часть плана применения, а не его деталь. Пройдите пять шагов ниже по порядку и остановитесь на первом, который не выполняется, потому что более поздний шаг не компенсирует предыдущий пробел.

Шаг первый: решите, начинается ли правило до входа в систему

Always-On устанавливает туннель после входа пользователя, и документация поставщика прямо говорит, что соединение не устанавливается, когда никто не входит. Если ваше требование — туннель, существующий до экрана входа Windows, это неподходящая функция, и никакая настройка профиля этого не изменит. Предварительное развёртывание профиля не превращает поведение после входа в поведение до входа.

Запишите требование как одно из четырёх различных поведений, а затем проверьте каждое отдельно. Одно успешное подключение демонстрирует только обычный случай, а остальные три — источник обращений в поддержку. Отметьте, какая строка действительно нужна вашему требованию, потому что команда, которой нужно только поведение после входа, может пропустить спор о входе до. Таблица — это список приёмки, а не список желаний.

Если требование — только вторая строка, остальная часть страницы всё равно применима, но приёмочный тест дешевле.

Шаг второй: убедитесь, что профиль уже есть на конечной точке

Применение читает локальный профиль, поэтому первый вопрос — существует ли этот файл до того, как пользователь вообще подключится. Профиль, загруженный во время первого успешного подключения, доставляется слишком поздно для машины, которую нужно защищать с первого входа. Доставьте его вместе с установщиком или через управление конечными точками и относитесь к наличию файла как к проверке сборки, а не как к надежде.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Старые установки AnyConnect хранят тот же файл в папке с другим именем, поэтому проверьте путь для развёртываемой версии клиента, а не копируйте путь из старого руководства. Служба должна работать и быть настроена на автоматический запуск, потому что остановленный агент — это конечная точка без применения политики, что бы ни говорил профиль.

Если профиля нет, остановитесь здесь. Исправление политики сбоя или списка доверенных сетей для машины без профиля — это работа на пути, который никогда не выполняется.

Шаг третий: выберите поведение при сбое осознанно

То, что происходит, когда туннель не поднимается, — отдельное решение от того, запускается ли туннель автоматически. Политика сбоя подключения определяет, может ли конечная точка пользоваться интернетом, пока установление продолжает терпеть неудачу, и эти две настройки часто путают, потому что обе находятся рядом с параметрами Always-On. Выберите одну осознанно и запишите причину.

Блокировка всей связности звучит строго и порождает собственный класс инцидентов: пользователь в сети, где шлюз недоступен, не может скачать исправление, которое восстановило бы службу. Разрешение доступа в интернет оставляет машину работоспособной и ослабляет гарантию защиты трафика. Любой из ответов может быть правильным, но ни один не является значением по умолчанию, которое стоит обнаруживать во время сбоя.

Поведение при повторных попытках относится к тому же решению. Клиент, который пытается бесконечно, скрывает неисправный шлюз от мониторинга, а клиент, который сдаётся после одной попытки, кажется пользователю сломанным. Определите, как долго конечная точка должна пытаться, прежде чем политика сбоя возьмёт своё, и проверьте это время, а не предполагайте его.

Шаг четвёртый: определите, что считается доверенным

Определение доверенной сети использует критерии в профиле клиента, например настроенные домены DNS или доверенные DNS-серверы, чтобы решить, что конечная точка уже находится в сети, где туннель не нужен. Этот список и есть вся политика, поэтому пустой или унаследованный список делает функцию либо неработающей, либо непредсказуемой.

Не заменяйте его предположением о категории сети в брандмауэре Windows. Машина может находиться в сети с доменной меткой и при этом быть там, где вы не доверяете, а машина с общедоступным профилем может находиться внутри вашего собственного здания. Критерии определения должны описывать ваши сети напрямую, а не их заменитель.

Проверьте переход в обоих направлениях, включая случай, когда конечная точка переходит из доверенной сети в недоверенную при открытом сеансе. Отключение и повторное подключение — отдельные события, и политика, которая обрабатывает только первое, оставляет окно, в котором туннеля нет.

Шаг пятый: сделайте политику конечной точки трудно отменяемой

Применение на конечной точке так же сильно, как собственные средства контроля конечной точки. Права локального администратора позволяют пользователю остановить службу агента, заменить профиль или удалить клиент, а каталог профиля, в который могут писать обычные пользователи, — это политика, которую может изменить любой. И то и другое — проблемы управления конечными точками, которые головной узел VPN не может решить за вас. Спросите команду поддержки рабочих мест, какое из этих двух условий выполняется, прежде чем обещать применение, и запишите ответ в план внедрения.

Определите уровень блокировки с учётом пути восстановления. Профиль, который не даёт пользователю выйти в интернет и при этом мешает исправить клиент, превращает звонок в поддержку в выезд на место, поэтому держите документированный маршрут восстановления, не зависящий от того, поднят ли туннель.

Оставьте включённой проверку сертификата шлюза и распространяйте профиль только по каналу, которому доверяете. Заблокированный клиент, принимающий профиль из неожиданного источника, скорее сдвинул границу доверия, чем применил её.