Cisco Secure Client Always-On: së pari vendos profilin

Cilësimet në anën e pajisjes nuk mund ta bëjnë një laptop të paregjistruar të sillet si pajisje e menaxhuar, dhe shumica e zbatimeve të Always-On ngecin pikërisht në këtë hendek. Cisco Secure Client e zbaton politikën përmes profilit që ndodhet në makinë, prandaj shpërndarja e atij profili është pjesë e planit të zbatimit dhe jo një detaj i tij. Puno pesë hapat më poshtë me radhë dhe ndalu në të parin që nuk qëndron, sepse një hap i mëvonshëm nuk mund të kompensojë një hendek të mëparshëm.

Hapi i parë: vendosni nëse rregulli fillon para hyrjes

Always-On e vendos tunelin pasi përdoruesi të hyjë, dhe dokumentacioni i furnizuesit thotë qartë se nuk vendos lidhje kur askush nuk hyn. Nëse kërkesa juaj është një tunel që ekziston përpara ekranit të hyrjes së Windows, kjo është funksioni i gabuar dhe asnjë rregullim i profilit nuk e ndryshon këtë. Vendosja paraprake e profilit nuk e kthen sjelljen pas hyrjes në sjellje para hyrjes.

Shkruajeni kërkesën si një nga katër sjellje të dallueshme dhe pastaj testoni secilën veçmas. Një lidhje e vetme e suksesshme dëshmon vetëm rastin e zakonshëm, dhe tre të tjerat janë aty ku lindin biletat e mbështetjes. Shënoni cilën rresht kërkon në të vërtetë kërkesa juaj, sepse një ekip që ka nevojë vetëm për sjelljen pas hyrjes mund ta anashkalojë argumentin e hyrjes paraprake. Tabela është një listë pranimi, jo një listë dëshirash.

Nëse kërkesa është vetëm rreshti i dytë, pjesa tjetër e kësaj faqeje vlen gjithsesi, por testi i pranimit është më i lirë.

Hapi i dytë: konfirmoni që profili është tashmë në pajisjen fundore

Zbatimi lexon një profil lokal, prandaj pyetja e parë është nëse ai skedar ekziston përpara se përdoruesi të lidhet fare. Një profil i shkarkuar gjatë lidhjes së parë të suksesshme dorëzohet shumë vonë për një makinë që duhet të mbrohet që nga hyrja e parë. Dërgojeni me instaluesin ose me menaxhimin e pajisjeve fundore dhe praninë e skedarit trajtojeni si kontroll ndërtimi, jo si shpresë.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Instalimet më të vjetra të AnyConnect e mbajnë të njëjtin skedar në një dosje me emër tjetër, prandaj konfirmoni shtegun për versionin e klientit që vendosni në vend që të kopjoni një shteg nga një runbook i vjetër. Shërbimi duhet të jetë në punë dhe i vendosur të nisë automatikisht, sepse një agjent i ndalur është një pajisje fundore e pazbatuar, pavarësisht se çfarë thotë profili.

Nëse profili mungon, ndalu këtu. Rregullimi i politikës së dështimit ose i listës së rrjeteve të besuara për një makinë pa profil është punë në një shteg që nuk ekzekutohet kurrë.

Hapi i tretë: zgjidhni me qëllim sjelljen e dështimit

Çfarë ndodh kur tuneli nuk arrin të ngrihet është një vendim i veçantë nga fakti nëse tuneli nis automatikisht. Politika e dështimit të lidhjes vendos nëse pajisja fundore mund të përdorë internetin ndërsa vendosja vazhdon të dështojë, dhe këto dy cilësime shpesh ngatërrohen, sepse të dyja ndodhen pranë opsioneve të Always-On. Zgjidhni një me qëllim dhe shkruani arsyen.

Bllokimi i të gjithë lidhshmërisë tingëllon i rreptë dhe prodhon klasën e vet të incidenteve: një përdorues në një rrjet ku porta e hyrjes është e paarritshme nuk mund të shkarkojë rregullimin që do të rikthente shërbimin. Lejimi i aksesit në internet e mban makinën të përdorshme dhe dobëson garancinë se trafiku është i mbrojtur. Të dyja përgjigjet mund të jenë të sakta, por asnjëra nuk është një parazgjedhje që duhet ta zbuloni gjatë një ndërprerjeje.

Sjellja e përpjekjeve të përsëritura i takon të njëjtit vendim. Një klient që provon pafundësisht e fsheh një portë të prishur nga monitorimi, ndërsa një klient që dorëzohet pas një përpjekjeje i duket përdoruesit i prishur. Vendosni sa kohë duhet të vazhdojë të provojë pajisja fundore përpara se politika e dështimit të marrë kontrollin, dhe testojeni atë kohë në vend që ta supozoni.

Hapi i katërt: përcaktoni çfarë konsiderohet e besuar

Zbulimi i rrjeteve të besuara përdor kriteret në profilin e klientit, si domenet DNS të konfiguruara ose serverët DNS të besuar, për të vendosur që pajisja fundore është tashmë në një rrjet ku tuneli është i panevojshëm. Ajo listë është e gjithë politika, prandaj një listë e zbrazët ose e trashëguar e bën funksionin ose të pafuqishëm ose të paparashikueshëm.

Mos e zëvendësoni me një supozim për kategorinë e rrjetit të firewall-it të Windows. Një makinë mund të jetë në një rrjet të etiketuar si domen dhe gjithsesi të jetë diku që nuk e besoni, dhe një makinë me profil publik mund të jetë brenda ndërtesës tuaj. Kriteret e zbulimit duhet të përshkruajnë drejtpërdrejt rrjetet tuaja, jo një zëvendësues të tyre.

Testoni kalimin në të dy drejtimet, duke përfshirë rastin kur pajisja fundore kalon nga një rrjet i besuar në një të pabesuar ndërsa një sesion është i hapur. Shkëputja dhe rilidhja janë ngjarje të veçanta, dhe një politikë që trajton vetëm të parën lë një dritare ku tuneli mungon.

Hapi i pestë: bëjeni politikën e pajisjes fundore të vështirë për t'u zhbërë

Zbatimi në pajisjen fundore është vetëm aq i fortë sa kontrollet e vetë pajisjes. Të drejtat e administratorit lokal lejojnë një përdorues të ndalojë shërbimin e agjentit, të zëvendësojë profilin ose të çinstalojë klientin, dhe një dosje profili ku përdoruesit e zakonshëm mund të shkruajnë është një politikë që kushdo mund ta redaktojë. Të dyja janë probleme të menaxhimit të pajisjeve fundore që VPN headend nuk mund t'i zgjidhë për ju. Pyesni ekipin e desktopit se cila nga këto dy kushte zbatohet përpara se të premtoni zbatim, dhe shkruajeni përgjigjen në planin e vendosjes.

Vendosni nivelin e bllokimit duke pasur parasysh rrugën e rikuperimit. Një profil që e bllokon përdoruesin nga interneti dhe gjithashtu e pengon atë të riparojë klientin e kthen një telefonatë mbështetjeje në një vizitë në terren, prandaj mbani një rrugë rikuperimi të dokumentuar që nuk varet nga fakti që tuneli është ngritur.

Mbajeni të aktivizuar vërtetimin e certifikatës së portës së hyrjes dhe shpërndajeni profilin vetëm përmes një kanali që e besoni. Një klient i bllokuar që pranon një profil nga një burim i papritur e ka zhvendosur kufirin e besimit në vend që ta zbatojë atë.