Cisco Secure Client Always-On: ติดตั้งโปรไฟล์ไว้ล่วงหน้าก่อน
Cisco Secure Client Always-On ต้องมีโปรไฟล์ของอุปกรณ์ปลายทางพร้อมก่อนการบังคับใช้: ตรวจสอบขอบเขตก่อนเข้าสู่ระบบ การส่งมอบ นโยบายเมื่อล้มเหลว และเครือข่ายที่เชื่อถือได้
การตั้งค่าฝั่งอุปกรณ์ไม่สามารถทำให้แล็ปท็อปที่ยังไม่ได้ลงทะเบียนทำงานเหมือนอุปกรณ์ปลายทางที่ถูกจัดการได้ และการติดตั้ง Always-On ส่วนใหญ่ก็ติดอยู่ที่ช่องว่างนี้ Cisco Secure Client บังคับใช้นโยบายผ่านโปรไฟล์ที่อยู่ในเครื่อง ดังนั้นการส่งมอบโปรไฟล์นั้นจึงเป็นส่วนหนึ่งของแผนการบังคับใช้ ไม่ใช่รายละเอียดของมัน ทำตามห้าขั้นตอนด้านล่างตามลำดับ และหยุดที่ขั้นตอนแรกที่ไม่เป็นจริง เพราะขั้นตอนถัดไปไม่อาจชดเชยช่องว่างก่อนหน้าได้
ขั้นตอนที่หนึ่ง: ตัดสินว่ากฎเริ่มก่อนการเข้าสู่ระบบหรือไม่
Always-On สร้างอุโมงค์หลังผู้ใช้เข้าสู่ระบบ และเอกสารของผู้ผลิตระบุชัดเจนว่าจะไม่สร้างการเชื่อมต่อเมื่อไม่มีใครเข้าสู่ระบบ หากความต้องการของคุณคืออุโมงค์ที่มีอยู่ก่อนหน้าจอเข้าสู่ระบบของ Windows นี่คือฟีเจอร์ที่ผิด และการปรับแต่งโปรไฟล์มากเท่าใดก็ไม่เปลี่ยนสิ่งนั้น การติดตั้งโปรไฟล์ล่วงหน้าจะไม่เปลี่ยนพฤติกรรมหลังการเข้าสู่ระบบให้เป็นพฤติกรรมก่อนการเข้าสู่ระบบ
เขียนความต้องการเป็นหนึ่งในสี่พฤติกรรมที่แตกต่างกัน แล้วทดสอบแต่ละอย่างแยกกัน การเชื่อมต่อที่สำเร็จเพียงครั้งเดียวพิสูจน์ได้เฉพาะกรณีปกติ และอีกสามกรณีคือที่มาของตั๋วสนับสนุน ทำเครื่องหมายว่าแถวใดที่ความต้องการของคุณต้องใช้จริง เพราะทีมที่ต้องการเพียงพฤติกรรมหลังการเข้าสู่ระบบสามารถข้ามข้อโต้แย้งเรื่องก่อนการเข้าสู่ระบบได้ ตารางนี้เป็นรายการยอมรับ ไม่ใช่รายการความปรารถนา
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
หากความต้องการเป็นเพียงแถวที่สอง ส่วนที่เหลือของหน้านี้ยังใช้ได้ แต่การทดสอบการยอมรับนั้นถูกกว่า
ขั้นตอนที่สอง: ยืนยันว่าโปรไฟล์อยู่ในอุปกรณ์ปลายทางแล้ว
การบังคับใช้อ่านโปรไฟล์ภายในเครื่อง คำถามแรกจึงเป็นว่าไฟล์นั้นมีอยู่ก่อนผู้ใช้เชื่อมต่อหรือไม่ โปรไฟล์ที่ดาวน์โหลดระหว่างการเชื่อมต่อสำเร็จครั้งแรกจะถูกส่งมาช้าเกินไปสำหรับเครื่องที่ต้องได้รับการปกป้องตั้งแต่การเข้าสู่ระบบครั้งแรก ส่งไปพร้อมตัวติดตั้งหรือพร้อมการจัดการอุปกรณ์ปลายทาง และถือว่าการมีอยู่ของไฟล์เป็นการตรวจสอบตอนสร้าง ไม่ใช่ความหวัง
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnการติดตั้ง AnyConnect รุ่นเก่าเก็บไฟล์เดียวกันไว้ในโฟลเดอร์ที่ตั้งชื่อต่างกัน ดังนั้น ยืนยันเส้นทางสำหรับไคลเอนต์เวอร์ชันที่คุณติดตั้ง แทนการคัดลอกเส้นทางจากคู่มือเก่า. บริการต้องทำงานอยู่และตั้งให้เริ่มอัตโนมัติ เพราะเอเจนต์ที่หยุดทำงานคืออุปกรณ์ปลายทางที่ไม่ถูกบังคับใช้ไม่ว่าโปรไฟล์จะระบุอะไร
หากไม่มีโปรไฟล์ ให้หยุดตรงนี้ การแก้ไขนโยบายเมื่อล้มเหลวหรือรายการเครือข่ายที่เชื่อถือได้สำหรับเครื่องที่ไม่มีโปรไฟล์คือการทำงานบนเส้นทางที่ไม่เคยทำงาน
ขั้นตอนที่สาม: เลือกพฤติกรรมเมื่อล้มเหลวอย่างตั้งใจ
สิ่งที่เกิดขึ้นเมื่ออุโมงค์ไม่สามารถขึ้นได้เป็นการตัดสินใจแยกจากการที่อุโมงค์จะเริ่มอัตโนมัติหรือไม่ นโยบายเมื่อการเชื่อมต่อล้มเหลวกำหนดว่าอุปกรณ์ปลายทางใช้อินเทอร์เน็ตได้หรือไม่ในระหว่างที่การสร้างยังล้มเหลวต่อเนื่อง และการตั้งค่าสองอย่างนี้มักสับสนกันเพราะทั้งคู่อยู่ใกล้ตัวเลือก Always-On จงเลือกอย่างหนึ่งโดยตั้งใจและเขียนเหตุผลไว้
การบล็อกการเชื่อมต่อทั้งหมดฟังดูเข้มงวดและสร้างประเภทเหตุการณ์ของตัวเอง: ผู้ใช้ในเครือข่ายที่เข้าถึงเกตเวย์ไม่ได้จะดาวน์โหลดการแก้ไขที่จะคืนบริการไม่ได้ การอนุญาตให้เข้าถึงอินเทอร์เน็ตทำให้เครื่องยังใช้งานได้และทำให้การรับประกันว่าทราฟฟิกได้รับการปกป้องอ่อนลง คำตอบทั้งสองอาจถูกต้อง แต่ไม่มีข้อใดเป็นค่าเริ่มต้นที่คุณควรค้นพบระหว่างเหตุขัดข้อง
พฤติกรรมการลองใหม่เป็นส่วนหนึ่งของการตัดสินใจเดียวกัน ไคลเอนต์ที่ลองไม่สิ้นสุดจะซ่อนเกตเวย์ที่เสียจากการตรวจวัด ขณะที่ไคลเอนต์ที่ยอมแพ้หลังลองครั้งเดียวดูเหมือนเสียสำหรับผู้ใช้ ตัดสินใจว่าอุปกรณ์ปลายทางควรลองนานเท่าใดก่อนที่นโยบายเมื่อล้มเหลวจะเข้าควบคุม และทดสอบเวลานั้นแทนการสันนิษฐาน
ขั้นตอนที่สี่: กำหนดว่าอะไรนับว่าเชื่อถือได้
การตรวจจับเครือข่ายที่เชื่อถือได้ใช้เกณฑ์ในโปรไฟล์ไคลเอนต์ เช่น โดเมน DNS ที่กำหนดไว้หรือเซิร์ฟเวอร์ DNS ที่เชื่อถือได้ เพื่อตัดสินว่าอุปกรณ์ปลายทางอยู่ในเครือข่ายที่อุโมงค์ไม่จำเป็นแล้ว รายการนั้นคือนโยบายทั้งหมด ดังนั้นรายการที่ว่างหรือสืบทอดมาจะทำให้ฟีเจอร์นี้ไม่ทำงานหรือคาดเดาไม่ได้
อย่าแทนที่ด้วยสมมติฐานเกี่ยวกับหมวดหมู่เครือข่ายของไฟร์วอลล์ Windows เครื่องหนึ่งอาจอยู่ในเครือข่ายที่ติดแท็กโดเมนและยังอยู่ที่ที่คุณไม่ไว้ใจ และเครื่องที่มีโปรไฟล์สาธารณะอาจอยู่ในอาคารของคุณเอง เกณฑ์การตรวจจับควรอธิบายเครือข่ายของคุณโดยตรง ไม่ใช่ตัวแทนของเครือข่ายเหล่านั้น
ทดสอบการเปลี่ยนผ่านทั้งสองทิศทาง รวมถึงกรณีที่อุปกรณ์ปลายทางย้ายจากเครือข่ายที่เชื่อถือได้ไปยังเครือข่ายที่ไม่เชื่อถือได้ขณะเปิดเซสชันอยู่ การตัดการเชื่อมต่อและการเชื่อมต่อใหม่เป็นเหตุการณ์แยกกัน และนโยบายที่จัดการเพียงเหตุการณ์แรกจะทิ้งช่วงที่ไม่มีอุโมงค์ไว้
ขั้นตอนที่ห้า: ทำให้้นโยบายของอุปกรณ์ปลายทางยกเลิกได้ยาก
การบังคับใช้บนอุปกรณ์ปลายทางแข็งแกร่งได้เท่ากับการควบคุมของอุปกรณ์เอง สิทธิ์ผู้ดูแลระบบภายในเครื่องทำให้ผู้ใช้หยุดบริการเอเจนต์ เปลี่ยนโปรไฟล์ หรือถอนการติดตั้งไคลเอนต์ได้ และโฟลเดอร์โปรไฟล์ที่ผู้ใช้ทั่วไปเขียนได้คือนโยบายที่ใครก็แก้ไขได้ ทั้งสองเป็นปัญหาการจัดการอุปกรณ์ปลายทางที่ VPN headend แก้ให้คุณไม่ได้ ถามทีมเดสก์ท็อปว่าเงื่อนไขใดในสองข้อนี้ใช้ก่อนที่คุณจะสัญญาว่าจะบังคับใช้ และเขียนคำตอบลงในแผนการติดตั้ง
กำหนดระดับการล็อกโดยคำนึงถึงเส้นทางการกู้คืน โปรไฟล์ที่บล็อกไม่ให้ผู้ใช้เข้าถึงอินเทอร์เน็ตและยังกันไม่ให้ซ่อมไคลเอนต์จะเปลี่ยนการโทรขอความช่วยเหลือเป็นการไปที่หน้างาน ดังนั้นควรมีเส้นทางการกู้คืนที่บันทึกไว้ซึ่งไม่ขึ้นกับว่าอุโมงค์จะทำงานอยู่
เปิดการตรวจสอบใบรับรองของเกตเวย์ไว้ และแจกจ่ายโปรไฟล์ผ่านช่องทางที่คุณเชื่อถือเท่านั้น ไคลเอนต์ที่ถูกล็อกแต่ยอมรับโปรไฟล์จากแหล่งที่ไม่คาดคิดได้ย้ายขอบเขตความเชื่อถือแทนที่จะบังคับใช้มัน