2013 年 8 月 5 日 - 机器翻译
其他版本: PDFpdf | 英语 (2009 年 8 月 28 日) | 反馈

内容

前言
前提条件
需求
使用的组件
惯例
网络图
配置前的任务
在 IOS 上配置 Anyconnect VPN
步骤 1. 在 IOS 路由器上安装并启用 Anyconnect VPN 软件
步骤 2. 使用 CCP 向导配置 SSLVPN 上下文和 SSLVPN 网关
步骤 3. 配置 Anyconnect VPN 用户的用户数据库
步骤 4. 配置 Anyconnect 全隧道
CLI 配置
建立 AnyConnect VPN 客户端连接
验证
命令
排除故障
SSL 连接问题
Error:SSLVPN Package SSL-VPN-Client :installed Error:磁盘
故障排除命令
相关的思科支持社区讨论
相关信息

前言

本文描述如何设置Cisco IOS路由器执行在忠心于的SSL VPN使用Cisco Configuration Professional (CCP)的Cisco AnyConnect VPN客户。此设置适用于路由器不允许分割隧道的特定情况，且用户必须先直接连接到路由器，然后才可以访问 Internet。

以下 IOS 路由器平台支持 SSL VPN 或 WebVPN 技术：

CCP 是基于 GUI 的设备管理工具，可以配置基于 Cisco IOS 的接入路由器，包括 Cisco 集成多业务路由器、Cisco 7200 系列路由器和 Cisco 7301 路由器。CCP 安装在 PC 上，可以通过基于 GUI 且简单易用的向导简化路由器、安全、统一通信、无线、WAN 和 LAN 基本配置。

如果路由器和 CCP 一起订购，装货时 Cisco Configuration Professional Express (CCP Express) 将会安装到路由器闪存中。CCP Express 是 CCP 的轻量版本。您可以使用 CCP Express 在路由器的 LAN 和 WAN 接口上配置基本的安全功能。CCP Express 安装在路由器闪存中。

前提条件

需求

尝试进行此配置之前，请确保满足以下要求：

使用的组件

本文档中的信息基于以下软件和硬件版本：

注意： 本文档中的信息在特定实验室环境设备上创建。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

惯例

有关文档规则的详细信息，请参阅 Cisco 技术提示规则。

网络图

本文档使用以下网络设置：

ssl-ios-01.gif

配置前的任务

  1. 您必须为 CCP 配置路由器。

    具有相应安全捆绑许可证的路由器的闪存中已加载了 CCP 应用程序。要获得并配置该软件，请参阅“Cisco Configuration Professional 快速入门指南”。

  2. 将 Anyconnect VPN .pkg 文件副本下载至管理 PC。

在 IOS 上配置 Anyconnect VPN

本部分提供有关配置本文档中所述功能的必要步骤。本配置示例使用 CCP 向导指导在 IOS 路由器上的 Anyconnect VPN 操作。

要在 Cisco IOS 路由器上配置 Anyconnect VPN，完成以下步骤：

  1. 在 Cisco IOS 路由器上安装并启用 Anyconnect VPN 软件

  2. 使用 CCP 向导配置 SSL VPN 上下文和 SSL VPN 网关

  3. 配置 Anyconnect VPN 用户的用户数据库

  4. 配置面向用户的资源

步骤 1. 在 IOS 路由器上安装并启用 Anyconnect VPN 软件

要在 IOS 路由器中安装并启用 Anyconnect VPN 软件，完成以下步骤：

  1. 打开 CCP 应用程序，选择 Configure > Security，然后单击 VPN。

  2. 展开 SSLVPN，并选择 Packages。

    /image/gif/paws/110608/ssl-ios-02.gif

  3. 在 Cisco SSL VPN 客户端软件中，单击 Browse。

    此时将出现 Install SSL VPN Client Package 对话框。

    /image/gif/paws/110608/ssl-ios-03.gif

  4. 指定 Cisco Anyconnect VPN 客户端镜像的位置。

    此时将出现 File Selection 对话框。

    ssl-ios-04.gif

  5. 选择需要安装的客户端镜像，并单击 OK。

    ssl-ios-05.gif

  6. 指定客户端镜像的位置后，单击 Install。

  7. 单击 Yes，然后单击 OK。

  8. 客户端镜像成功安装后，您将收到以下消息：

    /image/gif/paws/110608/ssl-ios-06.gif

  9. 单击 OK 继续。

步骤 2. 使用 CCP 向导配置 SSLVPN 上下文和 SSLVPN 网关

要配置 SSL VPN 上下文和 SSL VPN 网关，完成以下步骤：

  1. 选择 Configure > Security > VPN，然后单击 SSL VPN。

  2. 依次单击 SSL VPN Manager 和 Create SSL VPN 选项卡。

    /image/gif/paws/110608/ssl-ios-07.gif

  3. 选中 Create a New SSL VPN 单选按钮，然后单击 Launch the selected task。

    此时将出现 SSL VPN Wizard 对话框。

    /image/gif/paws/110608/ssl-ios-08.gif

  4. 单击 Next。

    /image/gif/paws/110608/ssl-ios-09.gif

  5. 输入新 SSL VPN 网关的 IP 地址，并为此 SSL VPN 上下文输入唯一名称。

    您可以为同一个 IP 地址（SSL VPN 网关）创建不同的 SSL VPN 上下文，但每个名称都必须唯一。本示例使用以下 IP 地址：https://172.16.1.1/

  6. 单击 Next，继续进行步骤 3。

步骤 3. 配置 Anyconnect VPN 用户的用户数据库

您可以使用 AAA 服务器、本地用户或同时使用两者进行身份验证。本配置示例使用本地创建的用户进行身份验证。

要配置 Anyconnect VPN 用户的用户数据库，完成以下步骤：

  1. 完成步骤 2 后，单击 SSL VPN Wizard User Authentication 对话框中的 Locally on this router 单选按钮。

    /image/gif/paws/110608/ssl-ios-10.gif

    可以使用此对话框向本地数据库添加用户。

  2. 单击 Add，然后输入用户信息。

    /image/gif/paws/110608/ssl-ios-11.gif

  3. 单击 OK，并根据需要添加其他用户。

  4. 添加所需用户后，单击 Next，继续进行步骤 4。

步骤 4. 配置 Anyconnect 全隧道

要配置用户的 Anyconnect 全隧道和 IP 地址池，完成以下步骤：

  1. 由于 Anyconnect 可直接访问企业 Intranet 资源，所以不需要配置 URL 列表。单击 Configure Intranet Websites 对话框中的 Next 按钮。

    /image/gif/paws/110608/ssl-ios-12.gif

  2. 确认 Enable Full Tunnel 复选框已勾选。

    ssl-ios-17.gif

  3. 创建此 SSL VPN 上下文客户端可使用的 IP 地址池。

    地址池必须与 Intranet 上可用且可路由的地址相对应。

  4. 点击椭圆(…)在IP地址旁边请缓冲字段，并且选择创建一个新的IP池。

  5. 在 Add IP Local Pool 对话框中，输入地址池的名称（例如，new），然后单击 Add。

    /image/gif/paws/110608/ssl-ios-18.gif

  6. 在 Add IP address range 对话框中，输入 Anyconnect VPN 客户端的地址池范围，然后单击 OK。

    注意： 在 12.4(20)T 之前的版本中，IP 地址池应包括直接连接至路由器的接口。如果要使用不同的池范围，可以创建与新池关联的环回地址，以满足该要求。

  7. 单击 Ok。

  8. 确保勾选 Install Full Tunnel Client 复选框。

    ssl-ios-19.gif

  9. 配置高级隧道选项，如分割隧道、分割 DNS、浏览器代理设置以及 DNS 和 WNS 服务器等。

    注意： Cisco 建议至少配置 DNS 和 WINS 服务器。

      要配置高级隧道选项，完成以下步骤：

    1. 单击 Advanced Tunnel Options 按钮。

    2. 单击 DNS and WINS Servers 选项卡，输入 DNS 和 WINS 的主 IP 地址。

      ssl-ios-19a.gif

    3. 要配置分割隧道，单击 Split Tunneling 选项卡。

      ssl-ios-19b.gif

      使用同一个接口同时传输安全数据流和非安全数据流的功能称为分割隧道。分割隧道要求明确指定哪个是安全数据流以及该数据流的目标是什么，这样只有指定的数据流进入隧道，而其余数据流则以未加密形式通过公共网络 (Internet) 进行传输。

      例如，请参阅“ASA 8.x：在 ASA 上允许 VPN 客户端分割隧道的配置示例”，其中分步说明了 Cisco AnyConnect VPN 客户端在通过隧道连接至 Cisco 自适应安全设备 (ASA) 8.0.2 时如何实现 Internet 访问。

  10. 完成必要选项配置后，单击 Next。

  11. 自定义 SSL VPN 门户页或选择默认值。

    通过 Customize SSL VPN Portal Page 可以自定义向客户显示 SSL VPN 门户页的方式。

    /image/gif/paws/110608/ssl-ios-20.gif

  12. 完成自定义 SSL VPN 门户页后，单击 Next。

  13. 单击 完成。

    ssl-ios-21.gif

  14. 单击 Deliver 保存配置，然后单击 OK。

    SSL VPN 向导将浏览命令提交至路由器。

    ssl-ios-22.gif

    注意： 如果收到错误消息，则可能是 SSL VPN 许可证错误。

    要解决许可证问题，完成以下步骤：

    1. 选择 Configure > Security > VPN，然后单击 SSL VPN。

    2. 单击 SSL VPN Manager，然后单击右侧 Edit SSL VPN 选项卡。

      /image/gif/paws/110608/ssl-ios-23.gif

    3. 突出显示新建的上下文，并单击 Edit button。

      /image/gif/paws/110608/ssl-ios-24.gif

    4. 在 Maximum Number of users 字段中，输入许可证允许的正确用户数。

    5. 单击 OK，然后单击 Deliver。

      您的命令已写入配置文件。

CLI 配置

CCP 创建以下命令行配置：

路由器 
Router#show run
Building configuration...

Current configuration : 4110 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Router
!
boot-start-marker
boot-end-marker
!
logging message-counter syslog
no logging buffered
enable password cisco
!
aaa new-model
!
!
aaa authentication login default local
aaa authentication login ciscocp_vpn_xauth_ml_1 local
aaa authorization exec default local
!
!
aaa session-id common
!
crypto pki trustpoint TP-self-signed-1951692551
 enrollment selfsigned
 subject-name cn=IOS-Self-Signed-Certificate-1951692551
 revocation-check none
 rsakeypair TP-self-signed-1951692551
!
!
crypto pki certificate chain TP-self-signed-1951692551
 certificate self-signed 02
  3082023E 308201A7 A0030201 02020102 300D0609 2A864886 F70D0101 04050030
  31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274
  69666963 6174652D 31393531 36393235 3531301E 170D3039 30383037 31303538
  33345A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649
  4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D31 39353136
  39323535 3130819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281
  8100CD40 156E21C4 4F84401A F5674319 CC05B708 72A79C69 90997D30 6F556A37
  75FC53DA AB0B43AF 70E7DBC2 C9416C4B 009C3695 67C20847 4F0BC7B0 715F0518
  5E558DFC 13A20167 5D169C47 3BC083C9 A2B66790 79B83814 5008EBF6 169FA897
  6D955F46 2BDADBB0 5275F07E C124CCF3 64DD9CE1 1B6F5744 282E4EA5 A0840385
  5FD90203 010001A3 66306430 0F060355 1D130101 FF040530 030101FF 30110603
  551D1104 0A300882 06526F75 74657230 1F060355 1D230418 30168014 05F279A9
  C556AF46 C5F7A1F0 2ADD2D22 F75BF7B7 301D0603 551D0E04 16041405 F279A9C5
  56AF46C5 F7A1F02A DD2D22F7 5BF7B730 0D06092A 864886F7 0D010104 05000381
  81004886 D666121E 42862509 CA7FDACC 9C57C8BE EB6745FC 533A8C08 FEF2C007
  274374EE 803823FB 79CFD135 2B116544 88B5CFB1 B7BB03E2 F3D65A62 B0EE050A
  924D3168 98357A5B E1F15449 5C9C22D0 577FB036 A3D8BB08 5507C574 18F2F48F
  0694F21C 0983F254 6620FCD7 8E460D29 B09B87E8 ADC3D589 F4D74659 A5CEA30F 1A9C
        quit
dot11 syslog
ip source-route
!
!
!
!
ip cef
!
multilink bundle-name authenticated
!
!
!
username test privilege 15 password 0 test
username tsweb privilege 15 password 0 tsweb
!
!
!
archive
 log config
  hidekeys
!
!
!
!
!
!
interface FastEthernet0/0
 ip address 10.77.241.111 255.255.255.192
 duplex auto
 speed auto
!
interface FastEthernet0/1
 description $ES_LAN$
 ip address 172.16.1.1 255.255.255.0
 ip virtual-reassembly
 duplex auto
 speed auto
!
interface FastEthernet0/1/0
!
interface FastEthernet0/1/1
!
interface FastEthernet0/1/2
!
interface FastEthernet0/1/3
!
interface ATM0/0/0
 no ip address
 shutdown
 no atm ilmi-keepalive
!
interface Vlan1
 no ip address
!
ip local pool new 192.168.10.1 192.168.10.10
ip forward-protocol nd
ip route 10.20.10.0 255.255.255.0 172.16.1.2
ip route 10.77.233.0 255.255.255.0 10.77.241.65
ip http server
ip http authentication local
ip http secure-server
!
!
!
!
!
!
!
!
control-plane
!
!
line con 0
line aux 0
line vty 0 4
 password cisco
 transport input telnet ssh
 transport output telnet
!
scheduler allocate 20000 1000
!
webvpn gateway gateway_1
 ip address 172.16.1.1 port 443
 http-redirect port 80
 ssl trustpoint TP-self-signed-1951692551
 inservice
 !
webvpn install svc flash:/webvpn/svc_1.pkg sequence 1
 !
webvpn context sales
 secondary-color white
 title-color #CCCC66
 text-color black
 ssl authenticate verify all

 !
 !
 policy group policy_1
   
   functions svc-enabled
   
   svc address-pool "new"
   svc dns-server primary 10.1.1.1
   svc wins-server primary 10.1.1.2
 default-group-policy policy_1
 aaa authentication list ciscocp_vpn_xauth_ml_1
 gateway gateway_1
 max-users 10
 inservice
!
end

建立 AnyConnect VPN 客户端连接

要与路由器建立 AnyConnect VPN 连接，完成以下步骤。

注意： 在 Internet Explorer 中，将路由器添加至受信任的站点列表。有关详细信息，请参考“将安全设备/路由器添加至受信任的站点列表 (IE)”。

  1. 按如下格式在 Web 浏览器中输入路由器 WebVPN 接口的 URL 或 IP 地址。

    https://<url>

    或者

    https://<IP address of the Router WebVPN interface>

    ssl-ios-25.gif

  2. 输入您的用户名和密码。

    ssl-ios-26.gif

  3. 单击 Start 按钮启动 Anyconnect VPN 隧道连接。

    ssl-ios-27.gif

  4. 在 SSL VPN 连接建立之前，将会出现以下窗口。

    ssl-ios-28.gif

    注意： 下载 Anyconnect 前，计算机上必须已安装 ActiveX 软件。

    客户端成功连接后，会显示 Connection Established 消息。

    ssl-ios-29.gif

  5. 成功建立连接后，单击 Statistics 选项卡。

    Statistics 选项卡将显示关于 SSL 连接的信息。

    ssl-ios-30.gif

  6. 单击 Details。

    此时将出现 Cisco AnyConnect VPN Client:Statistics Detail 对话框。

    ssl-ios-31.gif

    Statistics Details 对话框显示详细的连接统计信息，包括隧道状态和模式、连接持续时间、发送和接收的字节数和帧数、地址信息、传输信息以及 Cisco Secure Desktop 状态评估状态。通过该选项卡上的 Reset 按钮可重置传输统计数据。使用 Export 按钮可将当前的统计数据、接口和路由表导出至文本文件。AnyConnect 客户端将提示您输入文本文件的名称和位置。默认名称是 AnyConnect-ExportedStats.txt，默认位置是桌面。

  7. 在 Cisco AnyConnect VPN Client 对话框中，单击 About 选项卡。

    该选项卡显示了 Cisco AnyConnect VPN 客户端的版本信息。

    ssl-ios-32.gif

验证

使用本部分可确认配置能否正常运行。

命令

有若干 show 命令与 WebVPN 关联。可以在命令行界面 (CLI) 上执行这些命令以显示统计信息和其他信息。有关 show 命令的详细信息，请参阅验证 WebVPN 配置。

注意： 命令输出解释程序（仅限注册用户）(OIT) 支持某些 show 命令。使用 OIT 可查看对 show 命令输出的分析。

排除故障

使用本部分可排除配置故障。

SSL 连接问题

问题：SSL VPN 客户端无法连接路由器。

解决方案：导致该问题的原因可能是 IP 地址池中的地址不足。可增加路由器 IP 地址池中的地址数，以解决该问题。

有关 AnyConnect VPN 客户端问题故障排除的详细信息，请参阅“AnyConnect VPN 客户端常见问题解答”。

Error:SSLVPN Package SSL-VPN-Client :installed Error:磁盘

问题：在路由器上安装 SVC 程序包时，可能会收到以下错误消息：SSLVPN Package SSL-VPN-Client :installed Error:磁盘。

解决方案：该错误可通过重新格式化闪存解决。

故障排除命令

有若干 clear 命令与 WebVPN 关联。有关这些命令的详细信息，请参阅“使用 WebVPN Clear 命令”。

有若干 debug 命令与 WebVPN 关联。有关这些命令的详细信息，请参阅使用 WebVPN Debug 命令。

注意： 使用 debug 命令可能会对 Cisco 设备造成负面影响。使用 debug 命令之前，请参阅有关 Debug 命令的重要信息。

相关的思科支持社区讨论

思科支持社区是您提问、解答问题、分享建议以及与工作伙伴协作的论坛。

相关信息

Document ID: 110608