المحتويات

مسألة

عند إستخدام ملف تعريف VPN باستخدام ميزة "اكتشاف الشبكة الموثوق بها (TND)" التي تم تكوينها باستخدام إعداد الشبكة الموثوق بها الذي تم تعيينه على قطع الاتصال، لا تزال نقاط النهاية الموجودة داخل الشبكة الموثوق بها قادرة على إنشاء اتصال VPN بنجاح عندما يبدأ المستخدمون الاتصالات يدويا باستخدام عميل Cisco الآمن.

يحدث هذا السلوك بالرغم من تعيين تكوين TND على قطع اتصال جلسات عمل VPN عند اكتشاف نقطة النهاية على شبكة موثوق بها.

وتشمل الشواغل المحددة التي تم تحديدها ما يلي:

- لا يمكن التحكم في إتصالات VPN اليدوية من نقاط نهاية الشبكة الموثوق بها أو حظرها من خلال تكوين TND القياسي

- عدم اليقين حول ما إذا كانت إعدادات الوصول الآمن (CSA) من Cisco يمكنها حظر إتصالات VPN اليدوية من نقاط النهاية للشبكة الموثوق بها

- أسئلة حول إستقرار عنوان URL لاتصال ملف تعريف الشبكة الخاصة الظاهرية (VPN) (xxxx.vpn.sse.cisco.com) وما إذا كان يتغير بشكل دوري، مما قد يؤثر على إستراتيجيات الحظر المستندة إلى جدار الحماية

البيئة

- نشر الوصول الآمن (CSA) من Cisco

- Cisco Secure Client مع تكوين ملف تعريف VPN

- تم تمكين ميزة "اكتشاف الشبكة الموثوق بها (TND)"

- إعداد الشبكة الموثوق بها ل TND الذي تم تكوينه كقطع اتصال

- نقاط النهاية الموجودة ضمن شبكة موثوق بها تم تكوينها

- البنية الأساسية لجدار الحماية للتحكم في الوصول إلى الشبكة

قرار

فهم سلوك TND باستخدام إتصالات VPN اليدوية

يتوافق السلوك الملاحظ مع وظائف Cisco Secure Client الموثقة. طبقا لوثائق Cisco، لا يقوم TND بفصل أو منع جلسة VPN التي يبدأها المستخدم يدويا أثناء وجوده على شبكة موثوق بها. هذا هو السلوك المتوقع بغض النظر عن إعدادات تكوين TND.

الحقائق الفنية الرئيسية هي:

- لا تنطبق وظيفة قطع الاتصال التلقائي ل TND إلا على إتصالات VPN المنشأة تلقائيا.

- تتجاوز إتصالات VPN اليدوية التي بدأها المستخدمون سلوك قطع اتصال TND.

- لا يوجد إعداد تكوين CSA لحظر إتصالات VPN اليدوية من نقاط نهاية الشبكة الموثوق بها.

إستراتيجية تخفيف العمليات

الطريقة الأساسية للتحكم في إتصالات VPN اليدوية من نقاط نهاية الشبكة الموثوق بها هي من خلال عناصر التحكم على مستوى الشبكة:

الخطوة 1: تنفيذ حظر عنوان URL لجدار الحماية: قم بتكوين جدار حماية الشبكة الموثوق به لحظر الوصول إلى عنوان URL لاتصال ملف تعريف VPN (xxxx.vpn.sse.cisco.com). وهذا يؤدي إلى منع نقاط النهاية على الشبكة الموثوق بها من الوصول إلى نقطة نهاية خدمة VPN.

الخطوة 2: التحقق من إستقرار عنوان URL: معرف عنوان URL لملف تعريف VPN (جزء xxxx) خاص بالمستأجر ولا يتوقع تغييره بشكل دوري. يوفر ذلك هدفا مستقرا لقواعد حظر جدار الحماية.

التحقق من الصحة والاختبار

أكد الاختبار أن حظر عنوان URL لاتصال ملف تعريف VPN في جدار حماية الشبكة الموثوق به يمنع نقاط النهاية من إنشاء إتصالات VPN بنجاح، حتى عند محاولة المستخدمين إجراء إتصالات يدوية من خلال Cisco Secure Client.

السبب

هذا السلوك هو من خلال التصميم في تنفيذ Cisco Secure Client TND. تم تصميم ميزة النطاق الترددي العريض (TND) خصيصا لإدارة إتصالات VPN التلقائية استنادا إلى حالة الثقة في الشبكة، ولكنها لا تتدخل عمدا في إتصالات VPN اليدوية التي بدأها المستخدم. يسمح هذا التصميم للمستخدمين بتجاوز السلوك التلقائي عند الضرورة مع الاستمرار في توفير اكتشاف الشبكة التلقائي وإدارة الاتصال لحالات الاستخدام النموذجية.

المحتوى ذي الصلة

- دليل مسؤول Cisco Secure Client - تكوين TND

- الدعم الفني والتنزيلات من Cisco