Entender a implantação automatizada com o Umbrella Profile incluído (Windows)

Introdução

Este documento descreve o tutorial de implantação automatizada com o perfil Umbrella incluído no Cisco Secure Client (Windows).

Overview

A implantação do Cisco Secure Client (CSC) (antigo AnyConnect) com módulo Umbrella envolve estes componentes:

• Instalação do módulo VPN central do CSC 
• Instalação do módulo de segurança de roaming Umbrella
• Instalação do Umbrella Profile (OrgInfo.json)
• Instalação do módulo Ferramenta de diagnóstico e relatórios (DART) (opcional)

Este artigo fornece um tutorial sobre como instalar esses componentes programaticamente (no Windows).  O Umbrella Profile é incorporado ao pacote de instalação adequado para instalação a partir de pastas compartilhadas.

Criar o pacote de pré-implantação

Essas etapas implantam o módulo Umbrella. Observe que a funcionalidade do Cisco VPN está completamente desativada. No entanto, o módulo VPN principal ainda deve ser instalado, pois é usado para interceptação subjacente de tráfego DNS.

Criando o pacote de implantação

1. 1. Baixe o perfil do módulo de segurança de roaming Umbrella em seu Umbrella Dashboard. Implantações > Computadores em Roaming > Clientes em Roaming.
      • O nome do arquivo baixado do perfil do módulo é Orginfo.json
   2. Baixe o pacote "pré-implantação" do Umbrella Roaming Security Module para Windows de um destes locais:
      • :software.cisco.com
      • Notas de versão do Umbrella
   3. Extraia o AnyConnect Client baixado e localize o número da versão.  Anote os nomes de arquivo e os números de versão no pacote extraído
      
      27073502800788
      
      
   4. Adicione o arquivo OrgInfo.json dentro da pasta "Profiles\Umbrella"* no mesmo diretório do instalador.  Esta etapa é crucial para que o módulo Cisco Umbrella registre-se automaticamente após a instalação. A estrutura de pastas deve ser semelhante a esta:

      cisco-secure-client-win-X.X.XXXXX-core-vpn-predeploy-k9.msicisco-secure-client-win-win-X.X.XXXXX-umbrella-predeploy-k9.msicisco-secure-client-win-X.X.XXXXX-dart-predeploy-k9.msi\Profiles\umbrella\OrgInfo.json         

Crie a subpasta \Profiles\Umbrella ao lado de seus arquivos MSI, se ela ainda não existir.

Hospedagem do pacote

O pacote deve ser distribuído aos usuários finais com a subpasta 'Profiles\Umbrella'.  Isso pode ser feito das seguintes maneiras:

• Uma pasta de rede compartilhada
• Software de gerenciamento de endpoints que oferece suporte à composição de pacotes de instalação de vários arquivos

Implantar o pacote

Os arquivos MSI agora podem ser simplesmente implantados usando o software de gerenciamento de endpoint ou com 'msiexec'.

comandos MSI

msiexec /package cisco-secure-client-win-X.X.XXXXX-core-vpn-predeploy-k9.msi PRE_DEPLOY_DISABLE_VPN=1 /norestart /passive /lvx* vpninstall.log 
msiexec /package cisco-secure-client-win-X.X.XXXXX-umbrella-predeploy-k9.msi PRE_DEPLOY_DISABLE_VPN=1 /norestart /passive /lvx* umbrellainstall.log
msiexec /package cisco-secure-client-win-X.X.XXXXX-dart-predeploy-k9.msi /norestart /passive /lvx* dartinstall.log

IMPORTANTE:  Substitua X.X.XXXXX pelos números de versão corretos que correspondem aos seus nomes de arquivo MSI.

Certifique-se de que a opção PRE_DEPLOY_DISABLE_VPN=1 seja adicionada aos argumentos de instalação para desativar a funcionalidade de VPN. Como alternativa, omita esse argumento para ativar a funcionalidade de VPN.

Propriedades adicionais do MSI durante a instalação

Os pacotes de instalação da Cisco suportam várias propriedades MSI que podem ser alteradas durante a instalação.  As propriedades comumente usadas para o Cisco Umbrella são:

• LOCKDOWN = Como descrito, evita que o serviço seja desativado manualmente
• ARPSYSTEMCOMPONENT = Oculta o programa da lista "Programas e Recursos" do Windows
  

Para defini-las durante a instalação, use as mesmas etapas de instalação, mas passe as propriedades adicionais para o comando msiexec:

Habilitar Bloqueio

msiexec /package <MSI> /passive LOCKDOWN=1 /lvx* 

Ocultar de Programas e Recursos

msiexec /package <MSI> /passive ARPSYSTEMCOMPONENT=1 /lvx* 

Como alternativa, essas configurações do MSI podem ser configuradas fornecendo arquivos de transformação personalizados do instalador (arquivos .mst). Para obter mais informações, consulte Configurar o bloqueio do AnyConnect.

Implantação do Umbrella Profile (pós-instalação)

O erro comum "Profile is missing" indica que o módulo Cisco Umbrella está instalado, mas o perfil (OrgInfo.json) não está. Isso significa que o módulo Cisco Umbrella não pode se registrar no Cisco Umbrella ou ativar a proteção.

Observe que esse problema não ocorre se o perfil foi incorporado corretamente no pacote de instalação.

4435402655892

Se não for possível incorporar o perfil no pacote de instalação, ele poderá ser copiado separadamente para o endpoint usando uma tarefa ou script de instalação.  O perfil deve ser implantado neste local:

%PROGRAMDATA%\Cisco\Cisco Secure Client\Umbrella\OrgInfo.json

O script do PowerShell mostra um exemplo de como criar o OrgInfo.json programaticamente como uma tarefa pós-instalação.  Substitua os espaços reservados ORG_ID, FINGERPRINT e USER_ID pelos valores relevantes do seu perfil.

$org_file = "%PROGRAMDATA%\Cisco\Cisco Secure Client\Umbrella\OrgInfo.json" 
$data=@" 
{ 
    "organizationId" : "ORG_ID", 
    "fingerprint" : "FINGERPRINT", 
    "userId" : "USER_ID" 
} 
"@ 

if(-not(Test-Path -Path $org_file)) 
{ 

$data > $org_file 
} 

Desativação da funcionalidade VPN (pós-instalação)

Se a funcionalidade de VPN não foi desabilitada durante a implantação, é possível desabilitá-la posteriormente ao implantar um perfil de VPN especial no dispositivo.  Consulte https://support.umbrella.com/hc/en-us/articles/18211951038740-How-to-hide-the-VPN-module-in-Cisco-Secure-Client-Windows

Implantar a CA raiz da Cisco

Para páginas de bloqueio sem erros e navegação HTTPS, é necessário confiar na CA raiz do guarda-chuva Cisco para cada endpoint.  Consulte o software de gerenciamento de endpoint para obter detalhes sobre como implantar centralmente uma Autoridade de Certificação.