تكوين نفق إدارة VPN العميل الآمن على جدار الحماية الآمن

خيارات التنزيل

  • PDF     (2.3 MB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
تم التحديث:١٤ يوليو ٢٠٢٦
معرّف المستند:217040

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يصف هذا المستند كيفية تكوين نفق إدارة VPN آمن للعميل على حماية تهديد جدار الحماية الآمنة المدارة بواسطة Cisco FMC.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

  • مصادقة شهادة العميل
  • محرر ملف تعريف AnyConnect من Cisco
  • تكوين SSL AnyConnect من خلال مركز إدارة الجدار الناري (FMC)

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

  • Cisco FMC، الإصدار 6.7.0 (بنية 65)
  • برنامج الدفاع ضد تهديد جدار الحماية (FTD) من Cisco، الإصدار 6.7.0 (Build 65)
  • تم تثبيت Cisco AnyConnect 4.9.01095 على الجهاز الذي يعمل بنظام التشغيل Windows 10

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

في هذا المثال، يتم إستخدام طبقة مآخذ التوصيل الآمنة (SSL) لإنشاء شبكة خاصة ظاهرية (VPN) بين FTD وعميل Windows 10.

من الإصدار 6.7، يدعم بروتوكول FTD من Cisco تكوين أنفاق إدارة AnyConnect. هذا مفتاح فتح سابقا تحسين طلب cisco بق id CSCvs78215.

تتيح لك ميزة "إدارة AnyConnect" إنشاء نفق VPN فورا بعد أن تنتهي نقطة النهاية من بدء تشغيله. لا حاجة إلى قيام المستخدمين بتشغيل تطبيق AnyConnect يدويا. بمجرد تشغيل نظامهم، تكتشف خدمة وكيل AnyConnect VPN ميزة Management VPN وتبدأ جلسة عمل AnyConnect باستخدام إدخال المضيف (المعرف في قائمة الخوادم الخاصة بملف تعريف AnyConnect Management VPN.)

القيود

  • مصادقة شهادة العميل هي فقط المعتمدة.
  • يتم دعم مخزن شهادات الجهاز فقط لعملاء Windows.
  • لا يساند على cisco Firepower أداة مدير (FDM) cisco بق id CSCvx90058.
  • غير مدعومة لعملاء لينوكس.

القيود الكاملة الموضحة في دليل مسؤول Cisco Secure Client، الإصدار 5.

التكوين

التكوينات

الخطوة 1. إنشاء ملف تعريف AnyConnect Management VPN

افتح محرر ملف تعريف AnyConnect لإنشاء ملف تعريف VPN لإدارة AnyConnect. يحتوي ملف تعريف الإدارة على جميع الإعدادات المستخدمة لإنشاء نفق VPN بعد تمهيد نقطة النهاية.

1. في هذا المثال، يتم تحديد نقاط الدخول إلى قائمة الخوادم إلى اسم المجال المؤهل بالكامل (FQDN) dperezve.jyoungta-labdomain.cisco.com، ويتم تحديد SSL كبروتوكول أساسي. لإضافة قائمة خوادم، انتقل إلى قائمة الخوادم وحدد الزر إضافة . قم بتعبئة الحقول المطلوبة وحفظ التغييرات.

AnyConnect Management Profile

2. بالإضافة إلى قائمة الخوادم، يجب أن يحتوي ملف تعريف إدارة VPN على بعض التفضيلات الإلزامية:

  • يجب تعيين AutomaticCertSelection إلى true.
  • يجب تعيين AutoReconnect إلى true.
  • يجب تكوين AutoReconnectBehavior ل ReconnectAfterResume.
  • يجب تعيين AutoUpdate إلى false.
  • يجب تعيين BlockUntrustedServers إلى true.
  • يجب تكوين CertificateStore ل MachineStore.
  • يجب تعيين CertificateStoreOverride إلى true.
  • يجب تعيين EnableAutomaticServerSelection إلى false.
  • يجب تعيين EnableScripting إلى false.
  • يجب تعيين RetainVPNOnLogoff إلى true.

3. في محرر ملف تعريف AnyConnect، انتقل إلى التفضيلات (الجزء 1) وقم بضبط الإعدادات كما هو موضح في الصورة:

Preferences 1

4. انتقل إلى التفضيلات (الجزء 2) وألغي تحديد خيار تعطيل تحديد الشهادة التلقائي.

Preferences 2

الخطوة 2. إنشاء ملف تعريف AnyConnect VPN

كإضافة إلى ملف تعريف الشبكة الخاصة الظاهرية (VPN) للإدارة، يجب تكوين ملف تعريف AnyConnect VPN العادي. يتم إستخدام ملف تعريف AnyConnect VPN في محاولة الاتصال الأولى. أثناء جلسة العمل هذه، يتم تنزيل ملف تعريف Management VPN من FTD.

أستخدم محرر ملف تعريف AnyConnect لإنشاء ملف تعريف AnyConnect VPN. في هذه الحالة، يحتوي كلا الملفين على نفس الإعدادات، بحيث يمكن إستخدام نفس الإجراء.

الخطوة 3. تحميل ملف تعريف AnyConnect Management VPN وملف تعريف AnyConnect VPN إلى FMC

1. بمجرد إنشاء التوصيفات، قم بتحميلها إلى FMC على هيئة كائنات ملف AnyConnect.

2. لتحميل ملف تعريف AnyConnect Management VPN الجديد إلى FMC، انتقل إلى كائنات > إدارة الكائن واختر خيار VPN من جدول المحتويات. حدد الزر إضافة ملف AnyConnect.

3. قم بتوفير اسم للملف. أختر ملف تعريف AnyConnect Management VPN كنوع ملف وقم بحفظ الكائن.

AnyConnect Management Profile Object

4. لتحميل ملف تعريف AnyConnect VPN، انتقل إلى كائنات > إدارة الكائنات واختر خيار VPN من جدول المحتويات. حدد الزر إضافة ملف AnyConnect.

5. قم بتوفير اسم للملف وهذه المرة، أختر ملف تعريف AnyConnect VPN كنوع الملف واحفظ الكائن الجديد.

AnyConnect VPN Profile Object

6. يجب إضافة التوصيفات إلى قائمة الكائنات ووضع علامة عليها كملف تعريف AnyConnect Management VPN وملف تعريف AnyConnect VPN على التوالي.

AnyConnect Objects

الخطوة 4. إنشاء نهج المجموعة

1. لإنشاء سياسة مجموعة جديدة، انتقل إلى الكائنات > إدارة الكائنات واختر خيار شبكة VPN من جدول المحتويات. حدد نهج المجموعة وانقر فوق الزر إضافة نهج المجموعة.

2. بمجرد فتح نافذة إضافة نهج مجموعة ، قم بتعيين اسم وحدد تجمع AnyConnect وافتح علامة التبويب AnyConnect.

3. انتقل إلى ملف التعريف وحدد الكائن الذي يمثل ملف تعريف AnyConnect VPN العادي في القائمة المنسدلة ملف تعريف العميل.

Upload AnyConnect Profile

4. انتقل إلى علامة التبويب ملف تعريف الإدارة وحدد الكائن الذي يحتوي على ملف تعريف VPN الخاص بالإدارة في القائمة المنسدلة لملف تعريف الإدارة.

Upload Management Tunnel

5. احفظ التغييرات لإضافة كائن جديد إلى نهج المجموعة الموجودة.

AnyConnect Group Policy

الخطوة 5. إنشاء تكوين AnyConnect جديد

1. يتكون تكوين SSL AnyConnect في FMC من 4 خطوات مختلفة. لتكوين AnyConnect، انتقل إلى الأجهزة > VPN > الوصول عن بعد وحدد الزر Add. يجب أن يؤدي هذا إلى فتح معالج نهج VPN للوصول عن بعد.

2. في علامة التبويب تعيين النهج، حدد جهاز FTD الموجود، وقم بتعريف اسم لملف تعريف الاتصال، وحدد خانة الاختيار SSL.

Policy Assignment - AnyConnect Management Tunnel

2. في ملف تعريف الاتصال، حدد شهادة العميل فقط، كطريقة مصادقة. هذه هي المصادقة الوحيدة المدعومة للميزة.

Connection Profile - Client Certificate Only

3. بعد ذلك، حدد كائن "نهج المجموعة" الذي تم إنشاؤه في الخطوة 3 في القائمة المنسدلة نهج المجموعة.

Connection Profile - Group Policy

4. على علامة التبويب AnyConnect، حدد كائن ملف AnyConnect وفقا لنظام التشغيل (OS) على نقطة النهاية.

AnyConnect for Windows

5. في Access & Certificate، حدد الشهادة التي يجب أن يستخدمها FTD للتحقق من هويتها إلى عميل Windows.

ملاحظة: بما أن المستخدمين لا يمكنهم التفاعل مع تطبيق AnyConnect عند إستخدام ميزة Management VPN، يجب أن تكون الشهادة موثوق بها بالكامل ويجب ألا تطبع أي رسالة تحذير.

ملاحظة: لمنع أخطاء التحقق من صحة الشهادة، يجب أن يطابق حقل الاسم الشائع (CN) المدرج في اسم موضوع الشهادة FQDN المحدد في قائمة ملقمات توصيفات XML (الخطوة 1 والخطوة 2).

Access and Certificate

6. أخيرا، حدد الزر إنهاء في علامة التبويب ملخص لإضافة تكوين AnyConnect الجديد.

Summary

الخطوة 6. إنشاء كائن عنوان URL

1. انتقل إلى الكائنات > إدارة الكائنات وحدد عنوان URL من جدول المحتويات. ثم حدد إضافة كائن في القائمة المنسدلة إضافة عنوان URL.

2. قم بتوفير اسم للكائن وحدد عنوان URL باستخدام نفس FQDN/مجموعة المستخدمين المحددة في قائمة خادم ملف تعريف VPN الخاص بالإدارة (الخطوة 2). في هذا المثال، يجب أن يكون عنوان URL هو dperezve.jyoungta-labdomain.cisco.com/AnyConnect_Management_Tunnel.

URL Object Config

3. احفظ التغييرات لإضافة الكائن إلى قائمة الكائنات.

الخطوة 7. قم بتعريف الاسم المستعار لعنوان URL

1. لتمكين الاسم المستعار لعنوان URL في تكوين AnyConnect، انتقل إلى الأجهزة > VPN > الوصول عن بعد وانقر فوق أيقونة القلم الرصاص لتحريرها.

2. في علامة التبويب ملف تعريف الاتصال، حدد التكوين الموجود، انتقل إلى الأسماء المستعارة، انقر على زر إضافة. بعد ذلك، حدد كائن عنوان URL في القائمة المنسدلة الاسم المستعار لعنوان URL. تأكد من تحديد خانة الاختيار تمكين.

Configure URL

3. احفظ التغييرات التي أجريتها ونشر التكوينات في FTD.

التحقق من الصحة

بعد انتهاء النشر، يلزم توفر أول اتصال يدوي ب AnyConnect مع ملف تعريف AnyConnect VPN. أثناء هذا الاتصال، يتم تنزيل ملف تعريف Management VPN من FTD ويتم تخزينه في C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\MgmtTun. من هذه النقطة، يجب بدء الاتصالات التالية من خلال ملف تعريف Management VPN بدون أي تفاعل من المستخدم.

استكشاف الأخطاء وإصلاحها

لأخطاء التحقق من صحة الشهادة:

  • تأكد من تثبيت الشهادة الجذر للمرجع المصدق (CA) على FTD.
  • تأكد من تثبيت شهادة هوية موقعة من نفس المرجع المصدق على "مخزن أجهزة Windows".
  • تأكد من تضمين حقل CN في الشهادة، وهو نفس حقل FQDN المحدد في قائمة الخوادم الخاصة بملف تعريف VPN الخاص بالإدارة ومعرف FQDN في الاسم المستعار لعنوان URL.

لم يتم بدء نفق الإدارة:

  • تأكد من تنزيل ملف تعريف VPN الخاص بالإدارة وتخزينه في C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\MgmtTun.
  • تأكد من أن اسم ملف تعريف إدارة VPN هو VpnMgmtTunProfile.xml.

بالنسبة لمشاكل الاتصال، قم بتجميع حزمة DART واتصل ب Cisco TAC للحصول على مزيد من البحث.

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
3.0
14-Jul-2026
مقدمة محدثة، التدقيق الإملائي، المسافات، الأسطر المدرجة للفصل بين الأقسام من أجل القراءة، ونص بديل محدث.
2.0
17-Jan-2024
تم تحديث الترجمة والتنسيق الآلية.
1.0
14-Apr-2021
الإصدار الأولي
TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • Daniel Perez Vertti Vazquez
    Cisco TAC Engineer

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا

ينطبق هذا المستند على هذه المنتجات