Чи підтримує ваш Meraki MX Cisco Secure Client?

Дві гілки підтримки розходяться в тому, чи вміє Meraki працювати з AnyConnect, і обидві однаково впевнено помиляються. Питання не в тому, чи говорить MX за IKEv2, бо AnyConnect на пристрої — це служба TLS, а не IPsec. Відповідь визначають дві окремі перевірки, і жодна з них не є порівнянням брендів. Пройдіть їх по порядку, і ви отримаєте запис про сумісність замість думки.

Спочатку модель і версія

Почніть із точного пристрою та програмного забезпечення, яке він виконує, бо функція обмежена обома. Meraki публікує матрицю з підтримуваними моделями та мінімальною прошивкою, і ця матриця — єдине джерело, яке варто цитувати. Модель зі списку не обов'язково працює на версії, що підтримує функцію, а версія, яка її підтримує, може бути не тією, що у вас. Запишіть модель і встановлену прошивку як два окремі факти. Потім прочитайте матрицю для цієї пари.

Не робіть висновків за схожою моделлю з того самого сімейства. Список ведеться за моделями, і відмінності реальні.

AnyConnect — це служба SSL, а не IPsec

Meraki описує AnyConnect на MX як прикладний VPN через TLS і DTLS і документує його поруч з окремою службою клієнтського VPN через L2TP/IPsec. Це два продукти, які випадково ділять одну панель. Порівняння IKEv1 з IKEv2 говорить про службу IPsec і нічого про те, чи існує служба TLS на вашому пристрої. Якщо ваш доказ — таблиця версій IKE, ви відповідали на інше питання.

Визначте, яку службу надає пристрій, перш ніж порівнювати клієнтів. Робочий профіль L2TP/IPsec не стає профілем AnyConnect через те, що досягає тієї самої організації, і обом потрібне різне налаштування клієнта.

Які функції MX насправді пропонує

Список функцій ASA від Cisco — це не список функцій MX, і клієнт, який підтримує дванадцять речей, не змушує шлюз їх підтримувати. Порівняйте функції, які справді потрібні: спосіб автентифікації, поведінка розділеного тунелю, робота з DNS і право, якого вимагає пристрій. Кожну беріть із документації Meraki для розгорнутої версії.

Автентифікація — це місце, де зазвичай болить. Спосіб, який клієнт пропонує, а пристрій не може налаштувати, — це звернення до підтримки, що чекає свого часу.

Версія клієнта і право

Cisco Secure Client — поточна назва того самого сімейства клієнтів, тому документ, який згадує AnyConnect, не обов'язково застарілий. Важлива версія, яку розгортає ваша організація, і чи перевірена проти неї версія пристрою.

Перевірте вимогу ліцензії в тому самому посібнику, а не припускайте її з іншої платформи. Потім тримайте ім'я кінцевої точки, перевірку сертифіката і затверджений потік автентифікації разом в одному службовому записі, бо ці три відмовляють незалежно. Попередження про сертифікат, яке користувачі просто переклацують, не є результатом сумісності, це неперевірена конфігурація. Віддалений доступ — лише половина роботи, бо користувачеві все ще потрібні маршрути й дозволи, щоб дістатися призначення.

Запишіть запис із п'ятьма полями

Модель, прошивка, режим віддаленого доступу, версія клієнта і функції, які вимагає розгортання. П'ять полів, і відповідь на питання, чи можемо ми використовувати AnyConnect, лежить у поєднанні, а не в якомусь одному з них. Цей запис також каже наступному інженеру, що перевірити після оновлення прошивки.

Потім перевірте шлях від початку до кінця: пройдіть автентифікацію, розв'яжіть внутрішнє ім'я, досягніть дозволеного ресурсу й підтвердьте, що ресурс, до якого доходити не можна, відхиляється. Вхід, який вдається, але ресурс так і не завантажується, — це частковий результат, і відсутня половина зазвичай маршрутизація або авторизація, а не клієнт. Збережіть перевірене поєднання разом зі зміною, щоб наступна людина успадкувала докази, а не гасло.