Cisco Secure Client Always-On: najprv nasaďte profil

Nastavenia na strane zariadenia nedokážu z neprihláseného notebooku spraviť spravované koncové zariadenie a väčšina zavádzaní Always-On sa zasekne presne v tejto medzere. Cisco Secure Client vynucuje politiku prostredníctvom profilu, ktorý je uložený na počítači, takže doručenie tohto profilu je súčasťou plánu vynútenia, nie jeho detailom. Prejdite nižšie uvedených päť krokov v poradí a zastavte sa pri prvom, ktorý neplatí, pretože neskorší krok nedokáže vykompenzovať skoršiu medzeru.

Prvý krok: rozhodnite, či pravidlo začína pred prihlásením

Always-On vytvára tunel až po prihlásení používateľa a dokumentácia výrobcu jasne uvádza, že spojenie nevytvára, keď sa nikto neprihlási. Ak požadujete tunel, ktorý existuje ešte pred prihlasovacou obrazovkou Windows, toto je nesprávna funkcia a žiadne ladenie profilu to nezmení. Predbežné nasadenie profilu nepremení správanie po prihlásení na správanie pred prihlásením.

Zapíšte požiadavku ako jedno zo štyroch odlišných správaní a potom každé otestujte samostatne. Jediné úspešné pripojenie preukazuje iba bežný prípad a práve z ostatných troch vznikajú podporné tikety. Označte, ktorý riadok vaša požiadavka skutočne potrebuje, pretože tím, ktorý potrebuje iba správanie po prihlásení, môže argument o predchádzajúcom prihlásení vynechať. Tabuľka je zoznam akceptačných kritérií, nie zoznam želaní.

Ak je požiadavkou iba druhý riadok, zvyšok tejto stránky stále platí, ale akceptačný test je lacnejší.

Druhý krok: overte, že profil už na koncovom zariadení je

Vynútenie číta lokálny profil, takže prvou otázkou je, či tento súbor existuje skôr, než sa používateľ vôbec pripojí. Profil stiahnutý počas prvého úspešného pripojenia je doručený príliš neskoro pre počítač, ktorý musí byť chránený už od prvého prihlásenia. Dodajte ho spolu s inštalátorom alebo so správou koncových zariadení a prítomnosť súboru berte ako kontrolu pri zostavovaní, nie ako nádej.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Staršie inštalácie AnyConnect uchovávajú ten istý súbor v priečinku s iným názvom, preto overte cestu pre verziu klienta, ktorú nasadzujete, namiesto kopírovania cesty zo starého runbooku. Služba musí byť spustená a nastavená na automatické spustenie, pretože zastavený agent je nevynútené koncové zariadenie bez ohľadu na to, čo profil uvádza.

Ak profil chýba, zastavte sa tu. Ladenie politiky zlyhania alebo zoznamu dôveryhodných sietí pre počítač bez profilu je práca na ceste, ktorá sa nikdy nevykoná.

Tretí krok: vedome zvoľte správanie pri zlyhaní

To, čo sa stane, keď sa tunel nepodarí vytvoriť, je samostatné rozhodnutie od toho, či sa tunel spúšťa automaticky. Politika zlyhania pripojenia určuje, či koncové zariadenie môže používať internet, kým vytváranie spojenia stále zlyháva, a tieto dve nastavenia sa často zamieňajú, pretože obe sú blízko možností Always-On. Vyberte jedno zámerne a zapíšte dôvod.

Blokovanie všetkej konektivity znie prísne a vytvára vlastnú triedu incidentov: používateľ v sieti, kde je brána nedostupná, si nemôže stiahnuť opravu, ktorá by obnovila službu. Povolenie prístupu na internet udržuje počítač použiteľný a oslabuje záruku, že prevádzka je chránená. Obe odpovede môžu byť správne, ale ani jedna nie je predvolená hodnota, ktorú by ste mali objaviť počas výpadku.

Správanie pri opakovaní patrí k rovnakému rozhodnutiu. Klient, ktorý opakuje pokusy donekonečna, skrýva pokazenú bránu pred monitorovaním, kým klient, ktorý to vzdá po jednom pokuse, vyzerá pre používateľa ako pokazený. Rozhodnite, ako dlho má koncové zariadenie skúšať, kým politika zlyhania prevezme kontrolu, a tento čas otestujte namiesto predpokladu.

Štvrtý krok: definujte, čo sa počíta ako dôveryhodné

Zisťovanie dôveryhodných sietí používa kritériá v klientskom profile, napríklad nakonfigurované domény DNS alebo dôveryhodné servery DNS, aby rozhodlo, že koncové zariadenie je už v sieti, kde tunel nie je potrebný. Tento zoznam je celá politika, takže prázdny alebo zdedený zoznam robí funkciu buď neúčinnou, alebo nepredvídateľnou.

Nenahrádzajte to predpokladom o kategórii siete z Windows Firewall. Počítač môže byť v sieti označenej ako doménová a napriek tomu byť na mieste, ktorému nedôverujete, a počítač s verejným profilom môže stáť vo vašej vlastnej budove. Kritériá zisťovania majú priamo opisovať vaše siete, nie ich náhradu.

Otestujte prechod v oboch smeroch vrátane prípadu, keď sa koncové zariadenie presunie z dôveryhodnej siete do nedôveryhodnej počas otvorenej relácie. Odpojenie a opätovné pripojenie sú samostatné udalosti a politika, ktorá rieši iba prvú z nich, ponecháva okno, v ktorom tunel chýba.

Piaty krok: urobte politiku koncového zariadenia ťažko odvolateľnou

Vynútenie na koncovom zariadení je len také silné ako samotné ovládače zariadenia. Práva lokálneho správcu umožňujú používateľovi zastaviť službu agenta, nahradiť profil alebo odinštalovať klienta a adresár profilu, do ktorého môžu bežní používatelia zapisovať, je politika, ktorú môže upraviť ktokoľvek. Oba prípady sú problémy správy koncových zariadení, ktoré VPN headend za vás nevyrieši. Skôr ako sľúbite vynútenie, opýtajte sa desktopového tímu, ktorá z týchto dvoch podmienok platí, a odpoveď zapíšte do plánu zavádzania.

Úroveň uzamknutia rozhodnite s ohľadom na cestu obnovy. Profil, ktorý používateľovi blokuje prístup na internet a zároveň mu bráni opraviť klienta, premení telefonát na podporu na návštevu miesta, preto si ponechajte zdokumentovanú cestu obnovy, ktorá nezávisí od fungujúceho tunela.

Ponechajte overovanie certifikátu brány zapnuté a profil distribuujte iba cez kanál, ktorému dôverujete. Uzamknutý klient, ktorý prijme profil z neočakávaného zdroja, presunul hranicu dôvery, namiesto toho, aby ju vynútil.