Cisco Secure Client Always-On: i-deploy muna ang profile

Hindi kayang gawin ng mga setting sa panig ng appliance na kumilos ang isang laptop na hindi rehistrado na parang pinamamahalaang endpoint, at karamihan sa mga rollout ng Always-On ay natigil sa puwang na iyon. Ipinapatupad ng Cisco Secure Client ang patakaran sa pamamagitan ng profile na nasa makina, kaya ang paghahatid ng profile na iyon ay bahagi ng plano sa pagpapatupad at hindi isang detalye nito. Sundan ang limang hakbang sa ibaba nang sunod-sunod, at huminto sa unang hindi tumatayo, dahil hindi kayang bawiin ng huling hakbang ang naunang puwang.

Unang hakbang: magpasya kung ang patakaran ay nagsisimula bago mag-login

Itinatag ng Always-On ang tunnel pagkatapos mag-login ng user, at malinaw na sinasabi ng dokumentasyon ng vendor na hindi ito nagtatag ng koneksyon kapag walang nag-login. Kung ang pangangailangan mo ay tunnel na umiiral bago ang logon screen ng Windows, maling feature ito at walang pagsasaayos ng profile ang makapagbabago nito. Ang paunang pag-deploy ng profile ay hindi nagpapalit ng pag-uugali pagkatapos ng logon tungo sa pag-uugali bago ang logon.

Isulat ang pangangailangan bilang isa sa apat na magkakaibang pag-uugali, at pagkatapos ay subukan ang bawat isa nang hiwalay. Ang isang matagumpay na koneksyon ay nagpapatunay lamang ng karaniwang kaso, at ang iba pang tatlo ang pinagmumulan ng mga ticket sa suporta. Markahan kung aling hilera ang talagang kailangan ng pangangailangan mo, dahil ang team na kailangan lamang ang pag-uugali pagkatapos ng logon ay maaaring laktawan ang argumento tungkol sa bago mag-login. Ang talahanayan ay listahan ng pagtanggap, hindi listahan ng hangarin.

Kung ang pangangailangan ay ang ikalawang hilera lamang, nalalapat pa rin ang natitirang bahagi ng pahinang ito, ngunit mas mura ang pagsubok sa pagtanggap.

Ikalawang hakbang: tiyakin na nasa endpoint na ang profile

Binabasa ng pagpapatupad ang lokal na profile, kaya ang unang tanong ay kung umiiral ang file na iyon bago pa man kumonekta ang user. Ang profile na na-download sa unang matagumpay na koneksyon ay huli nang naipadala para sa makinang dapat protektahan mula sa unang pag-login. Ipadala ito kasama ng installer o kasama ng pamamahala ng endpoint, at ituring ang pagkakaroon ng file bilang pagsusuri sa build, hindi bilang pag-asa.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Ang mas lumang mga installation ng AnyConnect ay nagtatago ng parehong file sa folder na may ibang pangalan, kaya tiyakin ang landas para sa bersyon ng client na ini-deploy mo sa halip na kopyahin ang landas mula sa lumang runbook. Dapat tumatakbo ang serbisyo at nakatakdang magsimula nang awtomatiko, dahil ang naka stop na agent ay endpoint na hindi napapatupad anuman ang sabihin ng profile.

Kung wala ang profile, huminto dito. Ang pagsasaayos ng patakaran sa pagkabigo o ng listahan ng pinagkakatiwalaang network para sa makinang walang profile ay trabaho sa landas na hindi kailanman tumatakbo.

Ikatlong hakbang: sadyang piliin ang pag-uugali sa pagkabigo

Ang nangyayari kapag hindi bumangon ang tunnel ay hiwalay na pasya sa kung awtomatikong nagsisimula ang tunnel. Ang patakaran sa pagkabigo ng koneksyon ang nagpapasya kung maaaring gumamit ng internet ang endpoint habang patuloy na nabibigo ang pagtatag, at madalas mapagkamalan ang dalawang setting dahil pareho silang malapit sa mga opsyon ng Always-On. Piliin ang isa nang sinasadya at isulat ang dahilan.

Ang pagharang sa lahat ng konektibidad ay parang mahigpit at gumagawa ng sarili nitong uri ng insidente: ang user sa network na hindi maabot ang gateway ay hindi makakapag-download ng pag-aayos na magbabalik ng serbisyo. Ang pagpayag sa access sa internet ay nagpapanatiling magagamit ang makina at nagpapahina sa garantiya na protektado ang trapiko. Maaaring tama ang alinman sa dalawang sagot, ngunit wala sa kanila ang default na dapat mong matuklasan sa gitna ng outage.

Ang pag-uugali sa muling pagsubok ay bahagi ng parehong pasya. Ang client na paulit-ulit na sumusubok ay nagtatago ng sirang gateway mula sa monitoring, samantalang ang client na sumusuko pagkatapos ng isang pagsubok ay mukhang sira sa user. Magpasya kung gaano katagal dapat magpatuloy ang endpoint sa pagsubok bago pumalit ang patakaran sa pagkabigo, at subukan ang timing na iyon sa halip na ipagpalagay.

Ikaapat na hakbang: tukuyin kung ano ang maituturing na pinagkakatiwalaan

Ginagamit ng pagtukoy ng pinagkakatiwalaang network ang mga pamantayan sa profile ng client, gaya ng naka-configure na DNS domain o pinagkakatiwalaang DNS server, upang mapagpasyahan na ang endpoint ay nasa network na hindi kailangan ang tunnel. Ang listahang iyon ang buong patakaran, kaya ang walang laman o namamana na listahan ay ginagawang walang bisa o hindi mahulaan ang feature.

Huwag itong palitan ng palagay tungkol sa kategorya ng network ng firewall ng Windows. Maaaring nasa network na may domain tag ang isang makina at nandoon pa rin sa lugar na hindi mo pinagkakatiwalaan, at ang makinang may public profile ay maaaring nasa loob ng sarili mong gusali. Dapat direktang ilarawan ng mga pamantayan sa pagtukoy ang iyong mga network, hindi isang kahalili ng mga ito.

Subukan ang paglipat sa parehong direksyon, kabilang ang kaso kung lumilipat ang endpoint mula sa pinagkakatiwalaang network patungo sa hindi pinagkakatiwalaan habang bukas ang session. Magkahiwalay na pangyayari ang pagdiskonekta at ang muling pagkonekta, at ang patakarang humahawak lamang sa una ay nag-iiwan ng puwang na wala ang tunnel.

Ikalimang hakbang: gawing mahirap bawiin ang patakaran ng endpoint

Ang pagpapatupad sa endpoint ay kasing lakas lamang ng sariling mga kontrol ng endpoint. Ang mga karapatan ng lokal na administrator ay nagpapahintulot sa user na ihinto ang serbisyo ng agent, palitan ang profile o i-uninstall ang client, at ang folder ng profile na kayang sulatan ng mga ordinaryong user ay patakarang kayang i-edit ninuman. Pareho silang problema sa pamamahala ng endpoint na hindi kayang lutasin ng VPN headend para sa iyo. Tanungin ang team ng desktop kung alin sa dalawang kundisyong ito ang nalalapat bago ka mangako ng pagpapatupad, at isulat ang sagot sa plano ng rollout.

Magpasya ng antas ng pag-lock na isinasaalang-alang ang landas ng pagbawi. Ang profile na humaharang sa user sa internet at pumipigil din sa kanya na ayusin ang client ay ginagawang pagbisita sa site ang isang tawag sa suporta, kaya panatilihin ang nakadokumentong landas ng pagbawi na hindi umaasa sa pagbangon ng tunnel.

Panatilihing bukas ang pagpapatunay ng certificate ng gateway, at ipamahagi ang profile lamang sa pamamagitan ng channel na pinagkakatiwalaan mo. Ang naka-lock na client na tumatanggap ng profile mula sa hindi inaasahang pinagmulan ay inilipat ang hangganan ng pagtitiwala sa halip na ipatupad ito.