Cisco Secure Client Always-On: önce profili dağıtın

Cihaz tarafındaki ayarlar, kaydedilmemiş bir dizüstü bilgisayarı yönetilen bir uç nokta gibi davranmaya zorlayamaz ve Always-On kullanıma alma işlemlerinin çoğu tam bu boşlukta tıkanır. Cisco Secure Client ilkeyi makinede duran profil aracılığıyla uygular, dolayısıyla o profilin dağıtımı uygulama planının bir parçasıdır, ayrıntısı değil. Aşağıdaki beş adımı sırayla işleyin ve tutmayan ilk adımda durun, çünkü sonraki bir adım önceki boşluğu telafi edemez.

Birinci adım: kuralın oturum açmadan önce başlayıp başlamadığına karar verin

Always-On tüneli kullanıcı oturum açtıktan sonra kurar ve üretici belgeleri kimse oturum açmadığında bağlantı kurmadığını açıkça belirtir. Gereksiniminiz Windows oturum açma ekranından önce var olan bir tünel ise bu yanlış özelliktir ve hiçbir profil ayarı bunu değiştirmez. Profili önceden dağıtmak, oturum açma sonrası davranışı oturum açma öncesi davranışa dönüştürmez.

Gereksinimi dört farklı davranıştan biri olarak yazın ve ardından her birini ayrı ayrı test edin. Tek bir başarılı bağlantı yalnızca olağan durumu kanıtlar ve destek kayıtları diğer üç durumdan çıkar. Gereksiniminizin gerçekten hangi satıra ihtiyaç duyduğunu işaretleyin, çünkü yalnızca oturum açma sonrası davranışa ihtiyaç duyan bir ekip oturum açma öncesi tartışmasını atlayabilir. Tablo bir kabul listesidir, istek listesi değil.

Gereksinim yalnızca ikinci satırsa bu sayfanın geri kalanı yine geçerlidir, ancak kabul testi daha ucuzdur.

İkinci adım: profilin zaten uç noktada olduğunu doğrulayın

Uygulama yerel bir profili okur, dolayısıyla ilk soru bu dosyanın kullanıcı hiç bağlanmadan önce var olup olmadığıdır. İlk başarılı bağlantı sırasında indirilen bir profil, ilk oturum açmadan itibaren korunması gereken bir makine için çok geç teslim edilir. Onu yükleyiciyle veya uç nokta yönetimiyle birlikte gönderin ve dosyanın varlığını bir umut değil, derleme kontrolü olarak değerlendirin.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Eski AnyConnect kurulumları aynı dosyayı farklı adlandırılmış bir klasörde tutar, bu nedenle eski bir çalışma kitabından yolu kopyalamak yerine dağıttığınız istemci sürümünün yolunu doğrulayın. Hizmet çalışıyor ve otomatik başlayacak şekilde ayarlanmış olmalıdır, çünkü durdurulmuş bir aracı, profil ne söylerse söylesin uygulanmamış bir uç noktadır.

Profil yoksa burada durun. Profili olmayan bir makine için hata ilkesini veya güvenilen ağ listesini düzeltmek, hiç çalışmayan bir yol üzerinde çalışmaktır.

Üçüncü adım: hata davranışını bilinçli olarak seçin

Tünel ayağa kalkamadığında ne olacağı, tünelin otomatik başlayıp başlamamasından ayrı bir karardır. Bağlantı hatası ilkesi, kurulum başarısız olmaya devam ederken uç noktanın interneti kullanıp kullanamayacağına karar verir ve bu iki ayar sık sık karıştırılır çünkü ikisi de Always-On seçeneklerinin yakınında bulunur. Birini bilerek seçin ve gerekçesini yazın.

Tüm bağlantıyı engellemek katı görünür ve kendi olay sınıfını üretir: ağ geçidine ulaşılamayan bir ağdaki kullanıcı, hizmeti geri getirecek düzeltmeyi indiremez. İnternet erişimine izin vermek makineyi kullanılabilir tutar ve trafiğin korunduğu garantisini zayıflatır. İki yanıt da doğru olabilir, ancak hiçbiri bir kesinti sırasında keşfetmeniz gereken varsayılan değildir.

Yeniden deneme davranışı aynı karara aittir. Sonsuza kadar deneyen bir istemci bozuk bir ağ geçidini izlemeden saklar, tek denemeden sonra vazgeçen bir istemci ise kullanıcıya bozuk görünür. Hata ilkesi devralmadan önce uç noktanın ne kadar süre denemesi gerektiğine karar verin ve bu süreyi varsaymak yerine test edin.

Dördüncü adım: neyin güvenilir sayıldığını tanımlayın

Güvenilen ağ algılama, uç noktanın tünelin gereksiz olduğu bir ağda bulunduğuna karar vermek için istemci profilindeki ölçütleri, örneğin yapılandırılmış DNS etki alanlarını veya güvenilen DNS sunucularını kullanır. Bu liste ilkenin tamamıdır, dolayısıyla boş veya devralınmış bir liste özelliği ya etkisiz ya da öngörülemez kılar.

Bunu Windows güvenlik duvarının ağ kategorisine ilişkin bir varsayımla değiştirmeyin. Bir makine etki alanı etiketli bir ağda olup yine de güvenmediğiniz bir yerde bulunabilir ve genel profilli bir makine kendi binanızın içinde olabilir. Algılama ölçütleri ağlarınızı doğrudan tanımlamalıdır, onların yerine geçen bir şeyi değil.

Geçişi her iki yönde test edin, oturum açıkken uç noktanın güvenilen bir ağdan güvenilmeyen bir ağa taşındığı durum dahil. Bağlantının kesilmesi ve yeniden kurulması ayrı olaylardır ve yalnızca ilkini ele alan bir ilke, tünelin bulunmadığı bir pencere bırakır.

Beşinci adım: uç nokta ilkesini geri alınması zor hale getirin

Uç noktadaki uygulama ancak uç noktanın kendi kontrolleri kadar güçlüdür. Yerel yönetici hakları bir kullanıcının aracı hizmetini durdurmasına, profili değiştirmesine veya istemciyi kaldırmasına izin verir ve sıradan kullanıcıların yazabildiği bir profil dizini herkesin düzenleyebileceği bir ilkedir. İkisi de VPN headend'in sizin yerinize çözemeyeceği uç nokta yönetimi sorunlarıdır. Uygulama sözü vermeden önce masaüstü ekibine bu iki koşuldan hangisinin geçerli olduğunu sorun ve yanıtı kullanıma alma planına yazın.

Kilitleme düzeyine kurtarma yolunu göz önünde tutarak karar verin. Kullanıcının internete erişmesini engelleyen ve aynı zamanda istemciyi onarmasını da önleyen bir profil, bir destek çağrısını yerinde ziyarete dönüştürür, bu nedenle tünelin ayakta olmasına bağlı olmayan belgelenmiş bir kurtarma yolu bulundurun.

Ağ geçidi sertifika doğrulamasını açık tutun ve profili yalnızca güvendiğiniz bir kanaldan dağıtın. Beklenmeyen bir kaynaktan profil kabul eden kilitli bir istemci, güven sınırını uygulamak yerine onu kaydırmıştır.