Cisco Secure Client Always-On: avval profilni joylashtiring
Cisco Secure Client Always-On qo'llashdan oldin endpoint profili joyida bo'lishini talab qiladi: kirishdan oldingi qamrov, yetkazib berish, muvaffaqiyatsizlik siyosati va ishonchli tarmoqlarni tekshiring.
Qurilma tomonidagi sozlamalar ro'yxatdan o'tmagan noutbukni boshqariladigan endpoint kabi tuta olmaydi va Always-On joriy etishlarining ko'pchiligi aynan shu bo'shliqda to'xtaydi. Cisco Secure Client siyosatni mashinada turgan profil orqali qo'llaydi, shuning uchun bu profilni yetkazib berish joriy etish rejasining bir qismi, uning tafsiloti emas. Quyidagi besh qadamni tartib bilan bajaring va to'g'ri kelmaydigan birinchi qadamda to'xtang, chunki keyingi qadam oldingi bo'shliqni qoplay olmaydi.
Birinchi qadam: qoida kirishdan oldin boshlanishini hal qiling
Always-On tunnelni foydalanuvchi tizimga kirgandan keyin o'rnatadi va sotuvchi hujjatlari hech kim kirmasa ulanish o'rnatilmasligini aniq aytadi. Agar talabingiz Windows kirish ekranidan oldin mavjud tunnel bo'lsa, bu noto'g'ri funksiya va profilni qanday sozlash ham buni o'zgartirmaydi. Profilni oldindan joylashtirish kirishdan keyingi xatti-harakatni kirishdan oldingi xatti-harakatga aylantirmaydi.
Talabni to'rt xil xatti-harakatdan biri sifatida yozing, so'ngra har birini alohida sinab ko'ring. Bitta muvaffaqiyatli ulanish faqat oddiy holatni isbotlaydi, qolgan uchtasi esa qo'llab-quvvatlash murojaatlari keladigan joydir. Talabingizga qaysi satr chindan kerakligini belgilang, chunki faqat kirishdan keyingi xatti-harakat kerak bo'lgan jamoa kirishdan oldingi bahsni o'tkazib yuborishi mumkin. Jadval qabul ro'yxati, istaklar ro'yxati emas.
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
Agar talab faqat ikkinchi satr bo'lsa, bu sahifaning qolgan qismi ham amal qiladi, lekin qabul sinovi arzonroq.
Ikkinchi qadam: profil allaqachon endpointda ekanini tasdiqlang
Qo'llash mahalliy profilni o'qiydi, shuning uchun birinchi savol bu fayl foydalanuvchi ulanishidan oldin mavjudmi. Birinchi muvaffaqiyatli ulanish vaqtida yuklab olingan profil birinchi kirishdan boshlab himoyalanishi kerak bo'lgan mashina uchun juda kech yetkaziladi. Uni o'rnatuvchi bilan yoki endpoint boshqaruvi bilan birga yuboring va faylning mavjudligini umid emas, qurish tekshiruvi deb biling.
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnEski AnyConnect o'rnatishlari o'sha faylni boshqa nomdagi papkada saqlaydi, shuning uchun eski qo'llanmadan yo'lni ko'chirish o'rniga siz joylashtiradigan klient versiyasining yo'lini tasdiqlang. Xizmat ishlab turishi va avtomatik boshlanishga sozlangan bo'lishi kerak, chunki to'xtatilgan agent profil nima desa ham qo'llanmagan endpointdir.
Profil bo'lmasa, shu yerda to'xtang. Profil yo'q mashina uchun muvaffaqiyatsizlik siyosatini yoki ishonchli tarmoqlar ro'yxatini tuzatish hech qachon ishlamaydigan yo'ldagi ishdir.
Uchinchi qadam: muvaffaqiyatsizlik xatti-harakatini ataylab tanlang
Tunnel ko'tarilmasa nima bo'lishi tunnelning avtomatik boshlanishidan alohida qaror. Ulanish muvaffaqiyatsizligi siyosati o'rnatish davom etib muvaffaqiyatsiz bo'layotganda endpoint internetdan foydalana olishini hal qiladi va bu ikki sozlama tez-tez chalkashtiriladi, chunki ikkisi ham Always-On variantlari yonida turadi. Birini ataylab tanlang va sababini yozing.
Butun ulanishni bloklash qat'iy tuyuladi va o'z hodisalar sinfini yaratadi: shlyuz yetib bo'lmaydigan tarmoqdagi foydalanuvchi xizmatni tiklaydigan tuzatishni yuklab olmaydi. Internetga ruxsat berish mashinani ishlatishga yaroqli saqlaydi va trafik himoyalanganligi haqidagi kafolatni zaiflashtiradi. Ikkala javob ham to'g'ri bo'lishi mumkin, lekin hech biri uzilish vaqtida topishingiz kerak bo'lgan standart qiymat emas.
Qayta urinish xatti-harakati ham shu qarorga tegishli. Cheksiz urinadigan klient buzilgan shlyuzni monitoringdan yashiradi, bir urinishdan keyin taslim bo'ladigan klient esa foydalanuvchiga buzilgandek ko'rinadi. Muvaffaqiyatsizlik siyosati o'z qo'liga olishidan oldin endpoint qancha vaqt urinishi kerakligini hal qiling va bu vaqtni taxmin qilmasdan sinab ko'ring.
To'rtinchi qadam: nima ishonchli hisoblanishini aniqlang
Ishonchli tarmoqlarni aniqlash endpoint allaqachon tunnel kerak bo'lmagan tarmoqda ekanini hal qilish uchun klient profilidagi mezonlardan, masalan sozlangan DNS domenlari yoki ishonchli DNS serverlaridan foydalanadi. O'sha ro'yxat butun siyosatdir, shuning uchun bo'sh yoki meros qolgan ro'yxat bu funksiyani yo ishlamaydigan yo oldindan aytib bo'lmaydigan qilib qo'yadi.
Buni Windows xavfsizlik devorining tarmoq toifasi haqidagi taxmin bilan almashtirmang. Mashina domen belgisi qo'yilgan tarmoqda bo'lib ham ishonmaydigan joyingizda turishi mumkin va ommaviy profilli mashina o'z binongiz ichida bo'lishi mumkin. Aniqlash mezonlari tarmoqlaringizni bevosita tasvirlashi kerak, ularning o'rnini bosuvchini emas.
O'tishni ikkala yo'nalishda ham sinab ko'ring, jumladan seans ochiq turganda endpoint ishonchli tarmoqdan ishonchsiz tarmoqqa o'tgan holatni. Uzilish va qayta ulanish alohida hodisalar va faqat birinchisini hal qiladigan siyosat tunnel yo'q bo'lgan oraliqni qoldiradi.
Beshinchi qadam: endpoint siyosatini bekor qilishni qiyinlashtiring
Endpointdagi qo'llash faqat qurilmaning o'z nazorati darajasida kuchli. Mahalliy administrator huquqlari foydalanuvchiga agent xizmatini to'xtatish, profilni almashtirish yoki klientni o'chirish imkonini beradi va oddiy foydalanuvchilar yozadigan profil papkasi har kim tahrirlay oladigan siyosatdir. Ikkisi ham VPN headend siz uchun hal qila olmaydigan endpoint boshqaruvi muammolari. Qo'llashni va'da qilishdan oldin ish stoli jamoasidan shu ikki shartdan qaysi biri amal qilishini so'rang va javobni joriy etish rejasiga yozing.
Qulflash darajasini tiklash yo'lini ko'zda tutib hal qiling. Foydalanuvchini internetga kiritmaydigan va shu bilan birga klientni tuzatishga yo'l qo'ymaydigan profil qo'llab-quvvatlash qo'ng'irog'ini joyiga tashrifga aylantiradi, shuning uchun tunnel ishlashiga bog'liq bo'lmagan hujjatlashtirilgan tiklash yo'lini saqlang.
Shlyuz sertifikatini tekshirishni yoqilgan holda saqlang va profilni faqat ishonadigan kanalingiz orqali tarqating. Kutilmagan manbadan profil qabul qiladigan qulflangan klient ishonch chegarasini qo'llash o'rniga uni surib qo'ygan.