Поддерживает ли ваш Meraki MX Cisco Secure Client?

Две ветки поддержки расходятся в том, умеет ли Meraki работать с AnyConnect, и обе одинаково уверенно ошибаются. Вопрос не в том, говорит ли MX по IKEv2, потому что AnyConnect на устройстве — это служба TLS, а не IPsec. Ответ определяют две отдельные проверки, и ни одна из них не является сравнением брендов. Пройдите их по порядку, и вы получите запись о совместимости вместо мнения.

Сначала модель и версия

Начните с точного устройства и программного обеспечения, которое оно выполняет, потому что функция ограничена обоими. Meraki публикует матрицу с поддерживаемыми моделями и минимальной прошивкой, и эта матрица — единственный источник, который стоит цитировать. Модель из списка не обязательно работает на версии, поддерживающей функцию, а версия, которая её поддерживает, может быть не той, что у вас. Запишите модель и установленную прошивку как два отдельных факта. Затем прочитайте матрицу для этой пары.

Не делайте выводов по похожей модели из того же семейства. Список ведётся по моделям, и различия реальны.

AnyConnect — это служба SSL, а не IPsec

Meraki описывает AnyConnect на MX как прикладной VPN через TLS и DTLS и документирует его рядом с отдельной службой клиентского VPN через L2TP/IPsec. Это два продукта, которые случайно делят одну панель. Сравнение IKEv1 с IKEv2 говорит о службе IPsec и ничего о том, существует ли служба TLS на вашем устройстве. Если ваше доказательство — таблица версий IKE, вы отвечали на другой вопрос.

Определите, какую службу предоставляет устройство, прежде чем сравнивать клиентов. Работающий профиль L2TP/IPsec не становится профилем AnyConnect из-за того, что достигает той же организации, и обоим нужна разная настройка клиента.

Какие функции MX действительно предлагает

Список функций ASA от Cisco — это не список функций MX, и клиент, поддерживающий двенадцать вещей, не заставляет шлюз их поддерживать. Сравните функции, которые действительно нужны: способ аутентификации, поведение разделённого туннеля, работу с DNS и право, которого требует устройство. Каждую берите из документации Meraki для развёрнутой версии.

Аутентификация — это место, где обычно идёт несовпадение. Способ, который клиент предлагает, а устройство не может настроить, — это обращение в поддержку, ожидающее своего часа.

Версия клиента и право

Cisco Secure Client — текущее название того же семейства клиентов, поэтому документ, упоминающий AnyConnect, не обязательно устарел. Важна версия, которую развёртывает ваша организация, и проверена ли против неё версия устройства.

Проверьте требование лицензии в том же руководстве, а не предполагайте его из другой платформы. Затем держите имя конечной точки, проверку сертификата и утверждённый поток аутентификации вместе в одной служебной записи, потому что эти три отказывают независимо. Предупреждение о сертификате, которое пользователи просто перещёлкивают, не является результатом совместимости, это непроверенная конфигурация. Удалённый доступ — только половина работы, потому что пользователю по-прежнему нужны маршруты и разрешения, чтобы добраться до назначения.

Запишите запись с пятью полями

Модель, прошивка, режим удалённого доступа, версия клиента и функции, которые требуются при развёртывании. Пять полей, и ответ на вопрос, можем ли мы использовать AnyConnect, лежит в сочетании, а не в каком-либо одном из них. Эта запись также говорит следующему инженеру, что перепроверить после обновления прошивки.

Затем проверьте путь от начала до конца: пройдите аутентификацию, разрешите внутреннее имя, достигните разрешённого ресурса и подтвердите, что ресурс, до которого доходить нельзя, отклоняется. Вход, который удаётся, но ресурс так и не загружается, — это частичный результат, и недостающая половина обычно маршрутизация или авторизация, а не клиент. Сохраните проверенное сочетание вместе с изменением, чтобы следующий человек унаследовал доказательства, а не лозунг.