تكوين شبكة VPN للوصول عن بعد على FTD المدارة بواسطة FDM

خيارات التنزيل

  • PDF     (1.3 MB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (1.1 MB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (860.6 KB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:١٨ مايو ٢٠٢٠
معرّف المستند:215532

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

    المقدمة

    يصف هذا المستند كيفية تكوين نشر شبكة RA VPN على FTD تتم إدارتها بواسطة مدير FDM الموجود في المربع الذي يشغل الإصدار 6.5.0 والإصدارات الأحدث.

    المتطلبات الأساسية

    المتطلبات

    توصي Cisco بأن تكون لديك معرفة بتكوين شبكة الوصول عن بعد الخاصة الظاهرية (RA VPN) على FirePOWER Device Manager (FDM).

    الترخيص

    • تم تسجيل خدمة الدفاع عن تهديد Firepower (FTD) مع بوابة الترخيص الذكي مع تمكين الميزات التي يتم التحكم فيها في التصدير (للسماح بتمكين علامة التبويب "تكوين RA VPN")
    • أي من تراخيص AnyConnect التي تم تمكينها (APEX، Plus، أو VPN فقط)

    المكونات المستخدمة

    تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

    • برنامج FTD من Cisco الذي يشغل الإصدار 6.5.0-115
    • Cisco AnyConnect Secure Mobility Client، الإصدار 4.7.01076

    تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

    معلومات أساسية

    يواجه تكوين بروتوكول FTD من خلال FDM صعوبات عند محاولة إنشاء إتصالات لعملاء AnyConnect من خلال الواجهة الخارجية أثناء الوصول إلى الإدارة من خلال الواجهة نفسها. هذا قيد معروف على إدارة fdm. تم تصنيف طلب التعزيز CSCvm76499 لهذه المشكلة.

    التكوين

    الرسم التخطيطي للشبكة

    مصادقة AnyConnect Client باستخدام المحلية.

    Network Diagram

    التحقق من الترخيص على FTD

    الخطوة 1. تحقق من تسجيل الجهاز في "الترخيص الذكي" كما هو موضح في الصورة:

    Verification of Device Registration in Smart Licensing

    الخطوة 2. تحقق من تمكين تراخيص AnyConnect على الجهاز كما هو موضح في الصورة.

    Verification of AnyConnect License Enablement on the Device

    الخطوة 3. تحقق من تمكين الميزات التي تتحكم في التصدير في الرمز المميز كما هو موضح في الصورة:

    Verify Export-Controlled Feature Enablement in Token

    تعريف الشبكات المحمية

    انتقل إلى Objects > Networks > Add new Network. تكوين تجمع VPN وشبكات LAN من واجهة المستخدم الرسومية (GUI) ل FDM. قم بإنشاء تجمع VPN لكي يتم إستخدامه لتعيين العنوان المحلي لمستخدمي AnyConnect كما هو موضح في الصورة:

    Create VPN Pool for Local Address Assignment in FDM GUI

    قم بإنشاء كائن للشبكة المحلية خلف جهاز FDM كما هو موضح في الصورة:

    Create Object for Local Network in FDM GUI

    إنشاء مستخدمين محليين

    انتقل إلى Objects > Users > Add User. إضافة المستخدمين المحليين لشبكة VPN الذين يقومون بالاتصال ب FTD من خلال AnyConnect. قم بإنشاء مستخدمين محليين كما هو موضح في الصورة:

    Create VPN Local Users for AnyConnect Connection in FDM GUI

    إضافة شهادة

    انتقل إلى Objects > Certificates > Add Internal Certificate. قم بتكوين شهادة كما هو موضح في الصورة:

    Configure Internal Certificate in FDM GUI

    قم بتحميل كل من الشهادة والمفتاح الخاص كما هو موضح في الصورة:

    Upload Certificate and Private Key in FDM GUI

    يمكن تحميل الشهادة والمفتاح عن طريق النسخ واللصق أو زر التحميل لكل ملف كما هو موضح في الصورة:

    Upload Certificate and Key via Copy-Paste or Upload Button in FDM GUI

    تكوين شبكة VPN للوصول عن بعد

    انتقل إلى Remote Access VPN > Create Connection Profile. انتقل عبر معالج RA VPN على FDM كما هو موضح في الصورة:

    Create Remote Access VPN Connection Profile with RA VPN Wizard in FDM GUI

    Remote Access VPN Connection Profiles

    إنشاء توصيف توصيل وبدء التكوين كما هو موضح في الصورة:

    Configure Connection Profile in FDM GUI

    أختر طرق المصادقة كما هو موضح في الصورة. يستخدم هذا الدليل المصادقة المحلية.

    Choose Authentication Methods for Remote Access VPN in FDM GUI

    أختر Anyconnect_Pool كائن كما هو موضح في الصورة:

    Choose AnyConnect Pool Object in FDM GUI

    يتم عرض ملخص لنهج المجموعة الافتراضي في الصفحة التالية. يمكن إنشاء نهج مجموعة جديد عند الضغط على القائمة المنسدلة واختيار الخيار إلى Create a new Group Policy. لهذا الدليل، يتم إستخدام "نهج المجموعة" الافتراضي. أختر خيار التحرير في أعلى السياسة كما هو موضح في الصورة:

    Edit Default Group Policy in FDM GUI

    في نهج المجموعة، أضف تقسيم الاتصال النفقي حتى يقوم المستخدمون المتصلون ب AnyConnect بإرسال حركة مرور البيانات الموجهة إلى شبكة FTD الداخلية عبر عميل AnyConnect فقط بينما تخرج جميع حركة مرور البيانات الأخرى من اتصال ISP للمستخدم كما هو موضح في الصورة:

    Configure Split Tunneling in Group Policy for AnyConnect Users in FDM GUI

    في الصفحة التالية، أختر Anyconnect_Certificate تمت إضافتها في قسم الشهادات. بعد ذلك، أختر الواجهة التي يسمع FTD عليها إتصالات AnyConnect. أختر نهج التحكم في الوصول الالتفافي لحركة المرور التي تم فك تشفيرها (sysopt permit-vpn). هذا أمر إختياري إذا sysopt permit-vpn غير مختار. يجب إنشاء سياسة التحكم في الوصول التي تسمح لحركة المرور من عملاء AnyConnect بالوصول إلى الشبكة الداخلية كما هو موضح في الصورة:

    Configure AnyConnect Certificate, Interface, and Access Control Policy in FDM GUI

    يمكن تكوين إستثناء NAT يدويا تحت Policies > NAT أو يمكن تكوينه تلقائيا بواسطة المعالج. أختر الواجهة الداخلية والشبكات التي يحتاج إليها عملاء AnyConnect للوصول كما هو موضح في الصورة.

    Configure NAT Exemption for AnyConnect Clients in FDM GUI

    أختر حزمة AnyConnect لكل نظام تشغيل (Windows/Mac/Linux) يمكن للمستخدمين الاتصال به، كما هو موضح في الصورة.

    Choose AnyConnect Packages for Different Operating Systems in FDM GUI

    تعطي الصفحة الأخيرة ملخصا للتكوين بأكمله. تأكد من تعيين المعلمات الصحيحة واضغط على الزر "إنهاء" ونشر التكوين الجديد.

    التحقق من الصحة

    استخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح.

    بمجرد نشر التكوين، حاول الاتصال. إذا كانت لديك شبكة FQDN تقوم بالحل إلى IP الخارجي الخاص ب FTD، فأدخل الشبكة في مربع اتصال AnyConnect. في هذا المثال، يتم إستخدام عنوان IP الخارجي ل FTD. أستخدم اسم المستخدم/كلمة المرور التي تم إنشاؤها في قسم الكائنات في FDM كما هو موضح في الصورة.

    Verify Connection to AnyConnect with FQDN and User Credentials in FDM GUI

    اعتبارا من FDM 6.5.0، لا توجد طريقة لمراقبة مستخدمي AnyConnect من خلال واجهة المستخدم الرسومية (GUI) ل FDM. الخيار الوحيد هو مراقبة مستخدمي AnyConnect عبر CLI (واجهة سطر الأوامر). يمكن إستخدام وحدة تحكم واجهة سطر الأوامر (CLI) الخاصة بواجهة المستخدم الرسومية (GUI) ل FDM كذلك للتحقق من اتصال المستخدمين. أستخدم هذا الأمر، Show vpn-sessiondb anyconnect.

    Monitor AnyConnect Users via CLI in FDM GUI

    يمكن تشغيل الأمر نفسه مباشرة من واجهة سطر الأوامر (CLI).

    > show vpn-sessiondb anyconnect

    Session Type: AnyConnect

    Username     : Anyconnect_User        Index        : 15
    Assigned IP  : 192.168.19.1           Public IP    : 172.16.100.15
    Protocol     : AnyConnect-Parent SSL-Tunnel
    License      : AnyConnect Premium
    Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES-GCM-256
    Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA384
    Bytes Tx     : 38830                  Bytes Rx     : 172
    Group Policy : DfltGrpPolicy          Tunnel Group : Anyconnect
    Login Time   : 01:08:10 UTC Thu Apr 9 2020
    Duration     : 0h:00m:53s
    Inactivity   : 0h:00m:00s
    VLAN Mapping : N/A                    VLAN         : none
    Audt Sess ID : 000000000000f0005e8e757a
    Security Grp : none                   Tunnel Zone  : 0

    استكشاف الأخطاء وإصلاحها

    يوفر هذا القسم المعلومات التي يمكنك إستخدامها لاستكشاف أخطاء التكوين وإصلاحها.

    إذا تعذر على المستخدم الاتصال ب FTD باستخدام SSL، فقم بتنفيذ الخطوات التالية لعزل مشاكل تفاوض SSL:

    1. تحقق من إمكانية إدخال عنوان IP الموجود خارج FTD من خلال كمبيوتر المستخدم.
    2. أستخدم sniffer خارجي للتحقق مما إذا كانت مصافحة TCP الثلاثية ناجحة.

    مشاكل عميل AnyConnect

    يوفر هذا القسم إرشادات لاستكشاف أخطاء AnyConnect VPN العميلة الأكثر شيوعا وإصلاحها. يمكن العثور على دليل أستكشاف الأخطاء وإصلاحها لعميل AnyConnect هنا: دليل أستكشاف أخطاء عميل AnyConnect VPN وإصلاحها.

    مشكلات الاتصال الأولية

    إذا كان لدى مستخدم مشاكل اتصال أولية، قم بتمكين تصحيح الأخطاء webvpn AnyConnect على FTD وتحليل رسائل تصحيح الأخطاء. يجب تشغيل تصحيح الأخطاء على CLI (واجهة سطر الأوامر) الخاصة ب FTD. استخدم الأمر debug webvpn anyconnect 255.

    قم بتجميع حزمة DART من جهاز العميل للحصول على السجلات من AnyConnect. يمكن الاطلاع على تعليمات حول كيفية تجميع حزمة DART هنا: تجميع حزم DART.

    المشاكل الخاصة بحركة المرور

    إذا نجح اتصال ولكن فشل حركة مرور البيانات عبر نفق SSL VPN، فراجع إحصائيات حركة مرور البيانات على العميل للتحقق من تلقي حركة مرور البيانات ونقلها بواسطة العميل. تتوفر إحصائيات تفصيلية حول العملاء في جميع إصدارات AnyConnect. إذا أظهر العميل أنه يتم إرسال حركة المرور واستقبالها، فتحقق من FTD بحثا عن حركة المرور المستلمة والمحولة. إذا كان FTD يطبق عامل تصفية، يتم عرض اسم المرشح ويمكنك مراجعة إدخالات قائمة التحكم في الوصول للتحقق مما إذا كانت حركة المرور الخاصة بك يتم إسقاطها. المشاكل الشائعة لحركة المرور التي يواجهها المستخدمون هي:

    • مشاكل التوجيه خلف FTD - يتعذر على الشبكة الداخلية توجيه الحزم مرة أخرى إلى عناوين IP المخصصة وعملاء VPN
    • قوائم التحكم في الوصول التي تمنع حركة المرور
    • لا يتم تجاوز ترجمة عنوان الشبكة لحركة مرور VPN

    للحصول على مزيد من المعلومات حول شبكات VPN للوصول عن بعد على FTD الذي تتم إدارته بواسطة FDM، ابحث عن دليل التكوين الكامل هنا: برنامج FTD للوصول عن بعد الذي تتم إدارته بواسطة FDM.

    محفوظات المراجعة

    المراجعة تاريخ النشر التعليقات
    1.0
    18-May-2020
    الإصدار الأولي
    TAC Authored

    تمت المساهمة بواسطة مهندسو Cisco

    • Cameron Schaeffer
      Cisco TAC Engineer

    هل كان هذا المستند مفيدًا؟

    Feedbackالتعليقات

    اتصل بنا

    ينطبق هذا المستند على هذه المنتجات