Cisco Secure Client Always-On: прво унапред поставите профил

Подешавања на страни уређаја не могу од нерегистрованог лаптопа направити управљани крајњи уређај, и већина увођења Always-On застане управо у тој празнини. Cisco Secure Client примењује политику преко профила који се налази на рачунару, тако да је достава тог профила део плана примене, а не његов детаљ. Прођите кроз пет корака испод по реду и зауставите се на првом који не важи, јер каснији корак не може надокнадити ранију празнину.

Први корак: одлучите да ли правило почиње пре пријаве

Always-On успоставља тунел након што се корисник пријави, а документација добављача јасно наводи да не успоставља везу када се нико не пријави. Ако је ваш захтев тунел који постоји пре Windows екрана за пријаву, ово је погрешна функција и никакво подешавање профила то не мења. Унапред постављање профила не претвара понашање после пријаве у понашање пре пријаве.

Захтев запишите као једно од четири различита понашања, а затим свако тестирајте одвојено. Једна успешна веза доказује само уобичајен случај, а остала три су оно из чега настају тикети подршке. Означите који ред ваш захтев заиста захтева, јер тим коме је потребно само понашање после пријаве може да прескочи аргумент о пријави пре покретања. Табела је листа прихватања, а не листа жеља.

Ако је захтев само други ред, остатак ове стране и даље важи, али је тест прихватања јефтинији.

Други корак: потврдите да је профил већ на крајњем уређају

Примена чита локални профил, па је прво питање да ли та датотека постоји пре него што се корисник уопште повеже. Профил преузет током прве успешне везе доставља се прекасно за рачунар који мора бити заштићен од прве пријаве. Пошаљите га са инсталатером или са управљањем крајњих уређаја и присуство датотеке третирајте као проверу при изградњи, а не као наду.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Старије AnyConnect инсталације држе исту датотеку у другачије названом фолдеру, зато потврдите путању за верзију клијента коју постављате уместо да копирате путању из старог приручника. Услуга мора бити покренута и подешена да се покреће аутоматски, јер је заустављени агент непримењен крајњи уређај без обзира шта профил каже.

Ако профил недостаје, зауставите се овде. Поправљање политике неуспеха или листе поузданих мрежа за рачунар без профила је рад на путањи која се никада не извршава.

Трећи корак: свесно изаберите понашање при неуспеху

Шта се дешава када тунел не може да се подигне је одвојена одлука од тога да ли се тунел покреће аутоматски. Политика неуспеха везе одлучује да ли крајњи уређај сме да користи интернет док успостављање и даље не успева, и ове две поставке се често мешају јер се обе налазе близу Always-On опција. Изаберите једну намерно и запишите разлог.

Блокирање сваке повезаности звучи строго и ствара сопствену класу инцидената: корисник на мрежи где је гејтвеј недоступан не може да преузме исправку која би вратила услугу. Дозвољавање приступа интернету држи рачунар употребљивим и слаби гаранцију да је саобраћај заштићен. Оба одговора могу бити тачна, али ниједан није подразумевана вредност коју треба да откријете током прекида.

Понашање при поновним покушајима припада истој одлуци. Клијент који покушава унедоглед скрива покварен гејтвеј од надзора, док клијент који одустане после једног покушаја кориснику изгледа покварено. Одлучите колико дуго крајњи уређај треба да покушава пре него што политика неуспеха преузме контролу, и тестирајте то време уместо да претпостављате.

Четврти корак: дефинишите шта се рачуна као поуздано

Откривање поузданих мрежа користи критеријуме у профилу клијента, као што су конфигурисани DNS домени или поуздани DNS сервери, да одлучи да је крајњи уређај већ на мрежи где тунел није потребан. Та листа је цела политика, па празна или наслеђена листа чини функцију или неактивном или непредвидивом.

Не замењујте то претпоставком о категорији мреже Windows заштитног зида. Рачунар може бити на мрежи означеној као доменска и ипак бити негде чему не верујете, а рачунар са јавним профилом може бити у вашој сопственој згради. Критеријуми откривања треба директно да описују ваше мреже, а не њихову замену.

Тестирајте прелаз у оба смера, укључујући случај када крајњи уређај пређе са поуздане на непоуздану мрежу док је сесија отворена. Искључивање и поновно повезивање су одвојени догађаји, а политика која решава само први оставља прозор у ком тунела нема.

Пети корак: учините политику крајњег уређаја тешком за поништење

Примена на крајњем уређају јака је колико и саме контроле тог уређаја. Права локалног администратора омогућавају кориснику да заустави услугу агента, замени профил или уклони клијента, а директоријум профила у који обични корисници могу да пишу је политика коју било ко може да измени. Обе су проблеми управљања крајњим уређајима које VPN headend не може да реши уместо вас. Питајте десктоп тим која од ове две околности важи пре него што обећате примену, и одговор упишите у план увођења.

Ниво закључавања одредите имајући на уму пут опоравка. Профил који кориснику блокира приступ интернету и истовремено му онемогућава да поправи клијента претвара позив подршци у посету локацији, зато задржите документован пут опоравка који не зависи од тога да ли је тунел подигнут.

Оставите проверу сертификата гејтвеја укљученом и делите профил само преко канала коме верујете. Закључани клијент који прихвати профил из неочекиваног извора померио је границу поверења уместо да је применио.