Meraki MX ของคุณรองรับ Cisco Secure Client หรือไม่

กระทู้สนับสนุนสองกระทู้ไม่ตรงกันว่า Meraki ทำ AnyConnect ได้หรือไม่ และทั้งคู่ก็ผิดอย่างมั่นใจในแบบเดียวกัน คำถามไม่ใช่ว่า MX พูด IKEv2 ได้หรือไม่ เพราะ AnyConnect บนอุปกรณ์เป็นบริการ TLS ไม่ใช่ IPsec การตรวจสอบสองอย่างแยกกันเป็นตัวตัดสินคำตอบ และไม่มีอย่างใดเป็นการเปรียบเทียบแบรนด์ ทำตามลำดับแล้วคุณจะได้บันทึกความเข้ากันได้แทนความคิดเห็น

รุ่นและเวอร์ชันมาก่อน

เริ่มจากอุปกรณ์ที่แน่นอนและซอฟต์แวร์ที่มันเรียกใช้ เพราะฟีเจอร์ถูกจำกัดด้วยทั้งสองอย่าง Meraki เผยแพร่เมทริกซ์ที่ระบุรุ่นที่รองรับและเฟิร์มแวร์ขั้นต่ำ และเมทริกซ์นั้นเป็นแหล่งอ้างอิงเดียวที่ควรค่าแก่การอ้าง รุ่นที่อยู่ในรายการไม่ได้อยู่บนเวอร์ชันที่รองรับฟีเจอร์โดยอัตโนมัติ และเวอร์ชันที่รองรับอาจไม่ใช่เวอร์ชันที่คุณใช้งาน บันทึกรุ่นและเฟิร์มแวร์ที่ติดตั้งเป็นข้อเท็จจริงสองข้อแยกกัน จากนั้นอ่านเมทริกซ์สำหรับคู่นั้น

อย่าให้เหตุผลจากรุ่นที่คล้ายกันในตระกูลเดียวกัน รายการเป็นรายรุ่น และความแตกต่างเป็นของจริง

AnyConnect เป็นบริการ SSL ไม่ใช่ IPsec

Meraki อธิบาย AnyConnect บน MX ว่าเป็น VPN แบบอิงแอปพลิเคชันผ่าน TLS และ DTLS และจัดทำเอกสารไว้ข้างบริการ VPN ไคลเอนต์ L2TP/IPsec ที่แยกต่างหาก นี่คือผลิตภัณฑ์สองอย่างที่บังเอิญใช้แดชบอร์ดเดียวกัน การเปรียบเทียบ IKEv1 กับ IKEv2 บอกคุณเกี่ยวกับบริการ IPsec และไม่ได้บอกอะไรเกี่ยวกับการมีอยู่ของบริการ TLS บนอุปกรณ์ของคุณ หากหลักฐานของคุณคือตารางเวอร์ชัน IKE คุณกำลังตอบคำถามอื่น

ระบุว่าอุปกรณ์เปิดให้บริการใดก่อนเปรียบเทียบไคลเอนต์ โปรไฟล์ L2TP/IPsec ที่ใช้งานได้ไม่กลายเป็นโปรไฟล์ AnyConnect เพราะเข้าถึงองค์กรเดียวกัน และทั้งสองต้องมีการกำหนดค่าไคลเอนต์ที่ต่างกัน

ฟังก์ชันที่ MX ให้บริการจริง

รายการฟีเจอร์ของ ASA จาก Cisco ไม่ใช่รายการฟีเจอร์ของ MX และไคลเอนต์ที่รองรับสิบสองอย่างไม่ได้ทำให้เกตเวย์รองรับสิ่งเหล่านั้น เปรียบเทียบฟังก์ชันที่คุณต้องการจริง: วิธีการพิสูจน์ตัวตน พฤติกรรมของอุโมงค์แยก การจัดการ DNS และสิทธิ์ที่อุปกรณ์ต้องการ นำแต่ละอย่างจากเอกสาร Meraki สำหรับเวอร์ชันที่ติดตั้งใช้

การพิสูจน์ตัวตนคือจุดที่มักกัด วิธีการที่ไคลเอนต์เสนอแต่อุปกรณ์กำหนดค่าไม่ได้คือเคสสนับสนุนที่รอเกิดขึ้น

เวอร์ชันไคลเอนต์และสิทธิ์

Cisco Secure Client เป็นชื่อปัจจุบันของตระกูลไคลเอนต์เดียวกัน เอกสารที่กล่าวถึง AnyConnect จึงไม่จำเป็นว่าล้าสมัย สิ่งที่สำคัญคือเวอร์ชันที่องค์กรของคุณติดตั้งใช้ และเวอร์ชันของอุปกรณ์ได้รับการตรวจสอบเทียบกับเวอร์ชันนั้นหรือไม่

ตรวจสอบข้อกำหนดสิทธิ์การใช้งานในคู่มือเดียวกันแทนการสันนิษฐานจากแพลตฟอร์มอื่น จากนั้นเก็บชื่อปลายทาง การตรวจสอบใบรับรอง และขั้นตอนพิสูจน์ตัวตนที่อนุมัติไว้ด้วยกันในบันทึกบริการเดียว เพราะทั้งสามอย่างล้มเหลวแยกจากกัน คำเตือนใบรับรองที่ผู้ใช้คลิกผ่านไม่ใช่ผลลัพธ์ความเข้ากันได้ แต่เป็นการกำหนดค่าที่ยังไม่ได้ตรวจสอบ การเข้าถึงระยะไกลเป็นเพียงครึ่งเดียวของงาน เพราะผู้ใช้ ยังต้องมีเส้นทางและสิทธิ์เพื่อไปถึงปลายทาง

เขียนบันทึกด้วยห้าช่อง

รุ่น เฟิร์มแวร์ โหมดเข้าถึงระยะไกล เวอร์ชันไคลเอนต์ และฟังก์ชันที่การติดตั้งต้องการ ห้าช่อง และคำตอบว่าเราใช้ AnyConnect ได้หรือไม่นั้นอยู่ในชุดค่าเหล่านั้น ไม่ใช่ในช่องใดช่องหนึ่ง บันทึกนั้นยังบอกวิศวกรคนต่อไปว่าต้องตรวจสอบอะไรอีกครั้งหลังอัปเกรดเฟิร์มแวร์

จากนั้นทดสอบเส้นทางตั้งแต่ต้นจนจบ: พิสูจน์ตัวตน แปลงชื่อภายใน เข้าถึงทรัพยากรที่ได้รับอนุญาต และยืนยันว่าทรัพยากรที่ไม่ควรเข้าถึงถูกปฏิเสธ การลงชื่อเข้าใช้ที่สำเร็จแต่ทรัพยากรไม่โหลดเลยเป็นผลลัพธ์เพียงบางส่วน และครึ่งที่หายไปมักเป็นการกำหนดเส้นทางหรือการอนุญาต ไม่ใช่ไคลเอนต์ เก็บชุดค่าที่ทดสอบแล้วพร้อมกับการเปลี่ยนแปลง เพื่อให้คนถัดไปได้รับหลักฐานแทนสโลแกน