Cisco Secure Client Always-On: najprej razmestite profil

Nastavitve na strani naprave ne morejo iz neprijavljenega prenosnika narediti upravljane končne naprave, in večina uvajanj Always-On se ustavi prav v tej vrzeli. Cisco Secure Client uveljavlja politiko prek profila, ki je na računalniku, zato je dostava tega profila del načrta uveljavitve in ne podrobnost. Spodnjih pet korakov prehodite po vrsti in se ustavite pri prvem, ki ne drži, ker poznejši korak ne more nadomestiti prejšnje vrzeli.

Prvi korak: odločite se, ali pravilo začne pred prijavo

Always-On vzpostavi tunel po prijavi uporabnika in dokumentacija ponudnika jasno navaja, da povezave ne vzpostavi, kadar se nihče ne prijavi. Če potrebujete tunel, ki obstaja že pred prijavnim zaslonom Windows, je to napačna funkcija in nobeno prilagajanje profila tega ne spremeni. Predhodna razmestitev profila ne spremeni vedenja po prijavi v vedenje pred prijavo.

Zahtevo zapišite kot eno od štirih različnih vedenj in nato vsakega preizkusite ločeno. Ena uspešna povezava dokaže le običajen primer, preostala tri pa so tisto, iz česar nastajajo zahtevki za podporo. Označite, katero vrstico vaša zahteva dejansko potrebuje, ker lahko ekipa, ki potrebuje le vedenje po prijavi, argument pred prijavo izpusti. Tabela je seznam meril za sprejem, ne seznam želja.

Če je zahteva le druga vrstica, preostanek te strani še vedno velja, le preskus sprejema je cenejši.

Drugi korak: potrdite, da je profil že na končni napravi

Uveljavitev bere lokalni profil, zato je prvo vprašanje, ali datoteka obstaja, preden se uporabnik sploh poveže. Profil, prenesen med prvo uspešno povezavo, je dostavljen prepozno za računalnik, ki mora biti zaščiten že od prve prijave. Priložite ga namestitvenemu programu ali upravljanju končnih naprav in navzočnost datoteke obravnavajte kot preverjanje ob gradnji, ne kot upanje.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Starejše namestitve AnyConnect hranijo isto datoteko v drugače poimenovani mapi, zato potrdite pot za različico odjemalca, ki jo razmestite, namesto da bi kopirali pot iz starega priročnika. Storitev mora delovati in biti nastavljena na samodejni zagon, ker je ustavljeni agent neuveljavljena končna naprava ne glede na to, kaj profil pravi.

Če profil manjka, se ustavite tukaj. Popravljanje politike ob napaki ali seznama zaupanja vrednih omrežij za računalnik brez profila je delo na poti, ki se nikoli ne izvede.

Tretji korak: zavestno izberite vedenje ob napaki

Kaj se zgodi, ko tunela ni mogoče vzpostaviti, je ločena odločitev od tega, ali se tunel zažene samodejno. Politika ob napaki povezave odloča, ali sme končna naprava uporabljati internet, medtem ko vzpostavljanje še naprej spodleti, in ti dve nastavitvi se pogosto zamenjujeta, ker sta obe blizu možnosti Always-On. Izberite eno namerno in zapišite razlog.

Blokiranje vse povezljivosti se sliši strogo in ustvari svojo vrsto incidentov: uporabnik v omrežju, kjer prehod ni dosegljiv, ne more prenesti popravka, ki bi obnovil storitev. Dovoljenje dostopa do interneta ohrani računalnik uporaben in oslabi zagotovilo, da je promet zaščiten. Oba odgovora sta lahko pravilna, a nobeden ni privzeta vrednost, ki bi jo odkrili med izpadom.

Vedenje pri ponovnih poskusih sodi k isti odločitvi. Odjemalec, ki poskuša v nedogled, skrije pokvarjen prehod pred nadzorom, medtem ko se odjemalec, ki obupa po enem poskusu, uporabniku zdi pokvarjen. Odločite, kako dolgo naj končna naprava poskuša, preden prevzame politika ob napaki, in ta čas preizkusite, namesto da bi ga predpostavili.

Četrti korak: opredelite, kaj šteje kot zaupanja vredno

Zaznavanje zaupanja vrednih omrežij uporablja merila v profilu odjemalca, na primer nastavljene domene DNS ali zaupanja vredne strežnike DNS, da ugotovi, da je končna naprava že v omrežju, kjer tunel ni potreben. Ta seznam je celotna politika, zato prazen ali podedovan seznam naredi funkcijo bodisi nedejavno bodisi nepredvidljivo.

Ne nadomeščajte ga s predpostavko o kategoriji omrežja v požarnem zidu Windows. Računalnik je lahko v omrežju z oznako domene in vseeno na mestu, ki mu ne zaupate, računalnik z javnim profilom pa je lahko v vaši lastni stavbi. Merila zaznavanja naj neposredno opisujejo vaša omrežja, ne njihovega nadomestka.

Prehod preizkusite v obe smeri, tudi v primeru, ko se končna naprava med odprto sejo premakne z zaupanja vrednega omrežja v nezaupanja vredno. Prekinitev in ponovna povezava sta ločena dogodka in politika, ki obravnava le prvega, pusti okno, v katerem tunela ni.

Peti korak: poskrbite, da politike končne naprave ne bo lahko razveljaviti

Uveljavitev na končni napravi je le tako močna kot lastni nadzori naprave. Pravice lokalnega skrbnika uporabniku omogočajo, da ustavi storitev agenta, zamenja profil ali odstrani odjemalca, mapa profila, v katero lahko pišejo običajni uporabniki, pa je politika, ki jo lahko ureja kdorkoli. Oboje so težave upravljanja končnih naprav, ki jih VPN headend ne more rešiti namesto vas. Preden obljubite uveljavitev, vprašajte ekipo za namizja, kateri od teh dveh pogojev velja, in odgovor zapišite v načrt uvajanja.

Raven zaklepanja določite z mislijo na pot obnovitve. Profil, ki uporabniku prepreči dostop do interneta in mu hkrati onemogoči popravilo odjemalca, spremeni klic v podporo v obisk na lokaciji, zato ohranite dokumentirano pot obnovitve, ki ni odvisna od delujočega tunela.

Preverjanje potrdila prehoda pustite vklopljeno in profil razdeljujte le po kanalu, ki mu zaupate. Zaklenjen odjemalec, ki sprejme profil iz nepričakovanega vira, je prestavil mejo zaupanja, namesto da bi jo uveljavil.