Cisco Secure Client Always-On: پہلے پروفائل تعینات کریں
Cisco Secure Client Always-On کے لیے ضروری ہے کہ نافذ کرنے سے پہلے اینڈ پوائنٹ کا پروفائل موجود ہو: لاگ اِن سے پہلے دائرہ، ترسیل، ناکامی کی پالیسی اور قابلِ اعتماد نیٹ ورکس جانچیں۔
آلے کی طرف کی ترتیبات کسی غیر رجسٹرڈ لیپ ٹاپ کو منظم اینڈ پوائنٹ کی طرح برت نہیں سکتیں، اور Always-On کی زیادہ تر تعیناتیاں اسی خلا میں رک جاتی ہیں۔ Cisco Secure Client پالیسی کو اسی پروفائل کے ذریعے نافذ کرتا ہے جو مشین پر موجود ہوتا ہے، اس لیے اس پروفائل کی ترسیل نافذ کرنے کے منصوبے کا حصہ ہے، اس کی تفصیل نہیں۔ نیچے دیے گئے پانچ مراحل ترتیب سے کریں اور پہلے ایسے مرحلے پر رک جائیں جو پورا نہ اترے، کیونکہ بعد کا مرحلہ پہلے کی خلا کی تلافی نہیں کر سکتا۔
پہلا مرحلہ: فیصلہ کریں کہ قاعدہ لاگ اِن سے پہلے شروع ہوتا ہے یا نہیں
Always-On سرنگ صارف کے لاگ اِن کرنے کے بعد قائم کرتا ہے، اور فروش کی دستاویزات صاف کہتی ہیں کہ جب کوئی لاگ اِن نہ کرے تو یہ کوئی رابطہ قائم نہیں کرتا۔ اگر آپ کی ضرورت ایسی سرنگ ہے جو Windows کی لاگ اِن اسکرین سے پہلے موجود ہو، تو یہ غلط خصوصیت ہے اور پروفائل کی کوئی بھی درستی اسے نہیں بدلتی۔ پروفائل پہلے سے تعینات کرنا لاگ اِن کے بعد کے رویے کو لاگ اِن سے پہلے کے رویے میں تبدیل نہیں کرتا۔
ضرورت کو چار مختلف رویوں میں سے ایک کے طور پر لکھیں اور پھر ہر ایک کو الگ الگ جانچیں۔ ایک کامیاب رابطہ صرف عام صورت ہی ثابت کرتا ہے، اور باقی تین وہی ہیں جہاں سے سپورٹ ٹکٹ آتے ہیں۔ نشان زد کریں کہ آپ کی ضرورت کو درحقیقت کون سی سطر چاہیے، کیونکہ صرف لاگ اِن کے بعد کے رویے کی ضرورت رکھنے والی ٹیم لاگ اِن سے پہلے کی بحث چھوڑ سکتی ہے۔ جدول قبولیت کی فہرست ہے، خواہشات کی فہرست نہیں۔
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
اگر ضرورت صرف دوسری سطر ہے تو اس صفحے کا باقی حصہ پھر بھی لاگو ہوتا ہے، مگر قبولیت کی جانچ سستی ہے۔
دوسرا مرحلہ: تصدیق کریں کہ پروفائل پہلے ہی اینڈ پوائنٹ پر موجود ہے
نفاذ مقامی پروفائل پڑھتا ہے، اس لیے پہلا سوال یہ ہے کہ وہ فائل صارف کے رابطہ کرنے سے پہلے موجود ہے یا نہیں۔ پہلے کامیاب رابطے کے دوران ڈاؤن لوڈ ہونے والا پروفائل ایسی مشین کے لیے بہت دیر سے پہنچتا ہے جسے پہلے لاگ اِن ہی سے محفوظ رکھنا ہو۔ اسے انسٹالر کے ساتھ یا اینڈ پوائنٹ نظم کے ساتھ بھیجیں اور فائل کی موجودگی کو امید نہیں بلکہ تعمیر کی جانچ سمجھیں۔
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnپرانی AnyConnect تنصیبات وہی فائل مختلف نام کے فولڈر میں رکھتی ہیں، اس لیے پرانی رن بک سے راستہ نقل کرنے کے بجائے اسی کلائنٹ ورژن کا راستہ تصدیق کریں جو آپ تعینات کرتے ہیں. سروس چل رہی ہو اور خودکار آغاز پر مقرر ہو، کیونکہ بند ایجنٹ بلا ناغہ غیر نافذ شدہ اینڈ پوائنٹ ہے، پروفائل کچھ بھی کہے۔
اگر پروفائل موجود نہ ہو تو یہیں رک جائیں۔ بغیر پروفائل مشین کے لیے ناکامی کی پالیسی یا قابلِ اعتماد نیٹ ورک کی فہرست درست کرنا ایسے راستے پر کام ہے جو کبھی چلتا ہی نہیں۔
تیسرا مرحلہ: ناکامی کا رویہ دانستہ منتخب کریں
سرنگ نہ اٹھ سکنے پر کیا ہوگا، یہ اس سے الگ فیصلہ ہے کہ سرنگ خودکار آغاز ہوتی ہے یا نہیں۔ رابطے کی ناکامی کی پالیسی طے کرتی ہے کہ قیام ناکام رہنے کے دوران اینڈ پوائنٹ انٹرنیٹ استعمال کر سکتا ہے یا نہیں، اور یہ دو ترتیبات اکثر خلط ملط ہوتی ہیں کیونکہ دونوں Always-On کے اختیارات کے قریب ہیں۔ ایک کو دانستہ چنیں اور وجہ لکھیں۔
تمام رابطہ بند کرنا سخت لگتا ہے اور اپنی الگ قسم کے واقعات پیدا کرتا ہے: ایسے نیٹ ورک پر صارف جہاں گیٹ وے تک رسائی نہ ہو، وہ اس مرمت کو ڈاؤن لوڈ نہیں کر سکتا جو سروس بحال کرتی۔ انٹرنیٹ رسائی کی اجازت مشین کو قابلِ استعمال رکھتی ہے اور اس یقین کو کمزور کرتی ہے کہ ٹریفک محفوظ ہے۔ دونوں جواب درست ہو سکتے ہیں، مگر کوئی بھی ایسی طے شدہ قدر نہیں جسے آپ خلل کے دوران دریافت کریں۔
دوبارہ کوشش کا رویہ اسی فیصلے کا حصہ ہے۔ ہمیشہ کوشش کرنے والا کلائنٹ خراب گیٹ وے کو نگرانی سے چھپاتا ہے، جبکہ ایک کوشش کے بعد ہار ماننے والا کلائنٹ صارف کو خراب لگتا ہے۔ طے کریں کہ ناکامی کی پالیسی سنبھالنے سے پہلے اینڈ پوائنٹ کتنی دیر کوشش کرے، اور اس وقت کو مفروضہ ماننے کے بجائے جانچیں۔
چوتھا مرحلہ: واضح کریں کہ کیا قابلِ اعتماد شمار ہوتا ہے
قابلِ اعتماد نیٹ ورک کی شناخت کلائنٹ پروفائل کے معیار استعمال کرتی ہے، مثلاً مقرر کردہ DNS ڈومینز یا قابلِ اعتماد DNS سرورز، تاکہ طے کرے کہ اینڈ پوائنٹ پہلے ہی ایسے نیٹ ورک پر ہے جہاں سرنگ غیر ضروری ہے۔ وہ فہرست ہی پوری پالیسی ہے، اس لیے خالی یا وراثت میں ملی فہرست اس خصوصیت کو یا بے اثر یا غیر متوقع بنا دیتی ہے۔
اسے Windows فائر وال کی نیٹ ورک قسم کے بارے میں مفروضے سے مت بدلیں۔ مشین ڈومین ٹیگ والے نیٹ ورک پر ہو کر بھی ایسی جگہ ہو سکتی ہے جس پر آپ اعتماد نہیں کرتے، اور عوامی پروفائل والی مشین آپ کی اپنی عمارت میں ہو سکتی ہے۔ شناخت کے معیار کو آپ کے نیٹ ورکس کو براہِ راست بیان کرنا چاہیے، ان کا متبادل نہیں۔
منتقلی کو دونوں سمتوں میں جانچیں، بشمول وہ صورت جب سیشن کھلا ہو اور اینڈ پوائنٹ قابلِ اعتماد نیٹ ورک سے غیر قابلِ اعتماد کی طرف منتقل ہو۔ منقطع ہونا اور دوبارہ جڑنا الگ واقعات ہیں، اور صرف پہلے کو سنبھالنے والی پالیسی ایسی کھڑکی چھوڑتی ہے جہاں سرنگ موجود نہیں ہوتی۔
پانچواں مرحلہ: اینڈ پوائنٹ کی پالیسی کو واپس کرنا مشکل بنائیں
اینڈ پوائنٹ پر نفاذ اتنا ہی مضبوط ہے جتنا خود اینڈ پوائنٹ کے کنٹرول۔ مقامی منتظم کے حقوق صارف کو ایجنٹ سروس روکنے، پروفائل بدلنے یا کلائنٹ ہٹانے کی اجازت دیتے ہیں، اور ایسا پروفائل فولڈر جس میں عام صارفین لکھ سکیں، ایسی پالیسی ہے جسے کوئی بھی تبدیل کر سکتا ہے۔ دونوں اینڈ پوائنٹ نظم کے مسائل ہیں جو VPN headend آپ کے لیے حل نہیں کر سکتا۔ نفاذ کا وعدہ کرنے سے پہلے ڈیسک ٹاپ ٹیم سے پوچھیں کہ ان دو شرائط میں سے کون سی لاگو ہے، اور جواب تعیناتی منصوبے میں لکھیں۔
لاک ڈاؤن کی سطح بحالی کے راستے کو سامنے رکھ کر طے کریں۔ ایسا پروفائل جو صارف کو انٹرنیٹ تک رسائی سے روکے اور ساتھ ہی کلائنٹ کی مرمت سے بھی روکے، سپورٹ کال کو موقع پر وزٹ میں بدل دیتا ہے، اس لیے ایسا دستاویزی بحالی راستہ رکھیں جو سرنگ کے قائم ہونے پر منحصر نہ ہو۔
گیٹ وے سرٹیفکیٹ کی توثیق آن رکھیں اور پروفائل صرف ایسے ذریعے سے تقسیم کریں جس پر آپ اعتماد کریں۔ غیر متوقع ماخذ سے پروفائل قبول کرنے والا مقفل کلائنٹ اعتماد کی حد کو نافذ کرنے کے بجائے سرکا دیا ہے۔