Cisco Secure Client Always-On: triển khai sẵn hồ sơ trước

Các thiết lập phía thiết bị không thể khiến một laptop chưa đăng ký hoạt động như một thiết bị đầu cuối được quản lý, và phần lớn các đợt triển khai Always-On đều tắc đúng ở khoảng trống đó. Cisco Secure Client áp đặt chính sách thông qua hồ sơ nằm trên máy, nên việc phân phối hồ sơ đó là một phần của kế hoạch áp đặt chứ không phải chi tiết của nó. Hãy làm lần lượt năm bước dưới đây và dừng ở bước đầu tiên không đứng vững, vì bước sau không thể bù đắp khoảng trống trước đó.

Bước một: quyết định xem quy tắc có bắt đầu trước khi đăng nhập hay không

Always-On thiết lập đường hầm sau khi người dùng đăng nhập, và tài liệu của nhà cung cấp nói rõ rằng nó không thiết lập kết nối khi không có ai đăng nhập. Nếu yêu cầu của bạn là một đường hầm tồn tại trước màn hình đăng nhập Windows, đây là tính năng sai và không mức tinh chỉnh hồ sơ nào thay đổi được điều đó. Triển khai sẵn hồ sơ không biến hành vi sau đăng nhập thành hành vi trước đăng nhập.

Hãy ghi yêu cầu thành một trong bốn hành vi khác biệt, rồi kiểm tra riêng từng hành vi. Một kết nối thành công chỉ chứng minh trường hợp thông thường, còn ba trường hợp còn lại mới là nơi phát sinh phiếu hỗ trợ. Đánh dấu dòng mà yêu cầu của bạn thực sự cần, vì nhóm chỉ cần hành vi sau đăng nhập có thể bỏ qua lập luận về trước đăng nhập. Bảng này là danh sách chấp nhận, không phải danh sách mong muốn.

Nếu yêu cầu chỉ là dòng thứ hai, phần còn lại của trang này vẫn áp dụng, nhưng bài kiểm tra chấp nhận rẻ hơn.

Bước hai: xác nhận hồ sơ đã có trên thiết bị đầu cuối

Việc áp đặt đọc một hồ sơ cục bộ, nên câu hỏi đầu tiên là liệu tệp đó có tồn tại trước khi người dùng kết nối hay không. Một hồ sơ được tải xuống trong lần kết nối thành công đầu tiên là quá muộn đối với máy phải được bảo vệ ngay từ lần đăng nhập đầu. Hãy gửi kèm bộ cài hoặc kèm công cụ quản lý thiết bị đầu cuối và coi sự hiện diện của tệp là một bước kiểm tra khi dựng, không phải một niềm hy vọng.

Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn

Các bản cài AnyConnect cũ giữ cùng tệp đó trong thư mục có tên khác, vì vậy hãy xác nhận đường dẫn cho phiên bản ứng dụng khách bạn triển khai thay vì sao chép đường dẫn từ một sổ tay cũ. Dịch vụ phải đang chạy và được đặt khởi động tự động, vì một tác nhân bị dừng là thiết bị đầu cuối không được áp đặt dù hồ sơ nói gì.

Nếu thiếu hồ sơ, hãy dừng ở đây. Sửa chính sách khi lỗi hay danh sách mạng tin cậy cho một máy không có hồ sơ là làm việc trên con đường không bao giờ chạy.

Bước ba: chọn hành vi khi lỗi một cách có chủ đích

Điều gì xảy ra khi đường hầm không lên được là một quyết định riêng, tách khỏi việc đường hầm có tự khởi động hay không. Chính sách khi kết nối lỗi quyết định liệu thiết bị đầu cuối có được dùng internet trong khi việc thiết lập tiếp tục thất bại, và hai thiết lập này thường bị lẫn vì cả hai đều nằm gần các tùy chọn Always-On. Hãy chọn một cách có chủ đích và ghi lại lý do.

Chặn toàn bộ kết nối nghe có vẻ nghiêm ngặt và tạo ra một loại sự cố riêng: người dùng trên mạng không tới được cổng vào không thể tải bản sửa để khôi phục dịch vụ. Cho phép truy cập internet giữ máy dùng được và làm yếu đi bảo đảm rằng lưu lượng được bảo vệ. Cả hai câu trả lời đều có thể đúng, nhưng không câu nào là mặc định mà bạn nên phát hiện giữa một sự cố.

Hành vi thử lại thuộc cùng một quyết định. Một ứng dụng khách thử mãi sẽ che giấu cổng vào hỏng khỏi giám sát, trong khi ứng dụng khách bỏ cuộc sau một lần thử lại trông như hỏng với người dùng. Hãy quyết định thiết bị đầu cuối nên thử trong bao lâu trước khi chính sách khi lỗi tiếp quản, và kiểm tra khoảng thời gian đó thay vì giả định.

Bước bốn: định nghĩa thế nào là tin cậy

Việc phát hiện mạng tin cậy dùng các tiêu chí trong hồ sơ ứng dụng khách, chẳng hạn miền DNS đã cấu hình hoặc máy chủ DNS tin cậy, để xác định rằng thiết bị đầu cuối đã ở trên mạng nơi không cần đường hầm. Danh sách đó chính là toàn bộ chính sách, nên một danh sách trống hoặc được kế thừa khiến tính năng này hoặc vô hiệu hoặc không thể đoán trước.

Đừng thay thế bằng một giả định về hạng mục mạng của tường lửa Windows. Một máy có thể ở trên mạng được gắn thẻ miền mà vẫn nằm ở nơi bạn không tin, và một máy có hồ sơ công cộng có thể ở trong chính tòa nhà của bạn. Các tiêu chí phát hiện nên mô tả trực tiếp mạng của bạn, không phải một thứ thay thế cho chúng.

Hãy kiểm tra việc chuyển đổi theo cả hai chiều, kể cả trường hợp thiết bị đầu cuối chuyển từ mạng tin cậy sang mạng không tin cậy khi phiên đang mở. Việc ngắt kết nối và kết nối lại là hai sự kiện riêng, và một chính sách chỉ xử lý sự kiện đầu tiên sẽ để lại một khoảng không có đường hầm.

Bước năm: làm cho chính sách trên thiết bị đầu cuối khó bị vô hiệu

Việc áp đặt trên thiết bị đầu cuối chỉ mạnh bằng chính các biện pháp kiểm soát của thiết bị. Quyền quản trị cục bộ cho phép người dùng dừng dịch vụ tác nhân, thay hồ sơ hoặc gỡ ứng dụng khách, và một thư mục hồ sơ mà người dùng thường có thể ghi vào là chính sách mà ai cũng sửa được. Cả hai đều là vấn đề quản lý thiết bị đầu cuối mà VPN headend không thể giải quyết thay bạn. Hãy hỏi nhóm máy tính để bàn xem điều kiện nào trong hai điều kiện đó đang áp dụng trước khi bạn hứa về việc áp đặt, và ghi câu trả lời vào kế hoạch triển khai.

Hãy quyết định mức khóa với con đường khôi phục trong tầm mắt. Một hồ sơ chặn người dùng truy cập internet và cũng ngăn họ sửa ứng dụng khách biến một cuộc gọi hỗ trợ thành một chuyến đến tận nơi, vì vậy hãy giữ một con đường khôi phục được ghi lại không phụ thuộc vào việc đường hầm có hoạt động hay không.

Hãy để việc xác thực chứng chỉ cổng vào luôn bật và chỉ phân phối hồ sơ qua một kênh bạn tin cậy. Một ứng dụng khách bị khóa mà chấp nhận hồ sơ từ nguồn không mong đợi đã dịch chuyển ranh giới tin cậy thay vì áp đặt nó.