المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

تكوين Cisco AnyConnect على FTD

الرسم التخطيطي للشبكة

إضافة شهادة إلى FTD

تكوين Cisco AnyConnect

إنشاء شهادة لمستخدمي الأجهزة المحمولة

التثبيت على الجهاز المحمول

التحقق من الصحة

استكشاف الأخطاء وإصلاحها

تصحيح الأخطاء

المقدمة

يوضح هذا المستند مثالا لتنفيذ المصادقة المستندة إلى الشهادة على الأجهزة المحمولة.

المتطلبات الأساسية

الأدوات والأجهزة المستخدمة في الدليل هي:

- الدفاع ضد تهديد FirePOWER (FTD) من Cisco

- مركز إدارة Firepower ‏(FMC)

- جهاز Apple iOS (iPhone، iPad)

- جهة منح الشهادة (CA)

- برنامج AnyConnect Client من Cisco

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- شبكة VPN أساسية

- SSL/TLS

- البنية الأساسية للمفتاح العام

- تجربة مع FMC

- OpenSSL

- Cisco AnyConnect

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- Cisco FTD

- Cisco FMC

- خادم Microsoft CA

- XCA

- Cisco AnyConnect

- آبل آي باد

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

تكوين Cisco AnyConnect على FTD

يصف هذا القسم خطوات تكوين AnyConnect عبر FMC. قبل البدء، تأكد من نشر جميع التكوينات.

الرسم التخطيطي للشبكة

إضافة شهادة إلى FTD

الخطوة 1. قم بإنشاء شهادة ل FTD على جهاز FMC. انتقل إلى الأجهزة > الترخيص واختر إضافة، كما هو موضح في هذه الصورة:

أخترت خطوة 2. ال FTD ب رغب ل ال VPN توصيل. أختر جهاز FTD من القائمة المنسدلة للأجهزة. انقر على أيقونة + لإضافة أسلوب تسجيل شهادة جديد، كما هو موضح في هذه الصورة:

الخطوة 3. أضف الشهادات إلى الجهاز. أختر الخيار الذي هو الطريقة المفضلة للحصول على الشهادات في البيئة.

تلميح: الخيارات المتاحة هي: شهادة موقعة ذاتيا - إنشاء شهادة جديدة محليا، SCEP - إستخدام بروتوكول تسجيل الشهادة البسيط للحصول على شهادة من CA، تثبيت يدوي لشهادة الجذر والهوية، PKCS12 - تحميل حزمة الشهادة المشفرة بالجذر والهوية والمفتاح الخاص.

الخطوة 4. تحميل الشهادة إلى جهاز FTD. أدخل رمز المرور (PKCS12 فقط) وانقر حفظ، كما هو موضح في هذه الصورة:

ملاحظة: بمجرد أن تقوم بحفظ الملف، فإن عملية نشر الشهادات تحدث فورا. لمشاهدة تفاصيل الشهادة، أختر المعرف.

تكوين Cisco AnyConnect

قم بتكوين AnyConnect عبر FMC باستخدام معالج الوصول عن بعد.

الخطوة 1. بدء تشغيل معالج نهج Remote Access VPN لتكوين AnyConnect.

انتقل إلى الأجهزة > Remote Access (الوصول عن بعد) واختر Add.

الخطوة 2. تعيين النهج.

إكمال تعيين النهج:

أ. قم بتسمية النهج.

ب. أخترت ال VPN بروتوكول ب رغب.

c. أختر الجهاز المستهدف لتطبيق التكوين.

الخطوة 3. ملف تعريف الاتصال.

أ. قم بتسمية ملف تعريف الاتصال.

ب. تعيين أسلوب المصادقة على شهادة العميل فقط.

ج. قم بتعيين تجمع عناوين IP، وإذا لزم الأمر، قم بإنشاء نهج مجموعة جديد.

د. انقر فوق Next (التالي).

ملاحظة: أختر الحقل الأساسي المراد إستخدامه لإدخال اسم المستخدم لجلسات المصادقة. يستخدم CN للشهادة في هذا الدليل.

الخطوة 4. AnyConnect.

إضافة صورة AnyConnect إلى الجهاز. قم بتحميل الإصدار المفضل من AnyConnect وانقر فوق التالي.

ملاحظة: يمكن تنزيل حزم AnyConnect من Software.Cisco.com.

الخطوة 5. الوصول والشهادة.

قم بتطبيق الشهادة على واجهة وتمكين AnyConnect على مستوى الواجهة، كما هو موضح في هذه الصورة، وانقر فوق التالي.

الخطوة 6. ملخص.

راجع التكوينات. إذا تم سحب كافة عمليات السحب، انقر فوق إنهاء ثم النشر.

إنشاء شهادة لمستخدمي الأجهزة المحمولة

إنشاء شهادة لإضافتها إلى الجهاز المحمول المستخدم في التوصيل.

الخطوة 1. XCA.

أ. فتح XCA

ب. بدء قاعدة بيانات جديدة

الخطوة 2. إنشاء CSR.

أ. أختر طلب توقيع الشهادة (CSR)

ب. إختيار طلب جديد

ج. أدخل القيمة مع كل المعلومات اللازمة للشهادة

د. إنشاء مفتاح جديد

ه. عند الانتهاء، انقر فوق موافق

ملاحظة: يستخدم هذا المستند CN الخاص بالشهادة.

الخطوة 3. إرسال CSR.

أ. تصدير CSR

ب. إرسال CSR إلى CA للحصول على شهادة جديدة

ملاحظة: أستخدم تنسيق PEM الخاص ب CSR.

التثبيت على الجهاز المحمول

الخطوة 1. إضافة شهادة الجهاز إلى الجهاز المحمول.

الخطوة 2. شارك الشهادة مع تطبيق AnyConnect لإضافة تطبيق شهادة جديد.

تحذير: يتطلب التثبيت اليدوي أن يشارك المستخدم الشهادة مع التطبيق. لا ينطبق هذا على الشهادات التي يتم دفعها عبر MDMs.

يدخل خطوة 3. شهادة كلمة ل PKCS12 مبرد.

الخطوة 4. إنشاء اتصال جديد على AnyConnect.

الخطوة 5. انتقل إلى إتصالات جديدة؛ الاتصالات > إضافة اتصال VPN.

يدخل خطوة 6. المعلومة للاتصال الجديد.

الوصف: قم بتسمية الاتصال

عنوان الخادم: عنوان IP أو FQDN الخاص ب FTD

متقدم: تكوينات إضافية

الخطوة 7. أختر متقدم.

الخطوة 8. أختر شهادة واختر شهادتك التي تمت إضافتها حديثا.

الخطوة 9. انتقل مرة أخرى إلى الاتصالات والاختبار.

بمجرد نجاح التبديل، يبقى التبديل قيد التشغيل وتظهر التفاصيل متصلا في الحالة.

التحقق من الصحة

يعرض الأمر show vpn-sessionDB detail AnyConnect جميع المعلومات حول المضيف المتصل.

تلميح: الخيار أن يقوم بترشيح هذا الأمر أكثر هو الكلمات الأساسية 'filter' أو 'sort' التي تمت إضافتها إلى الأمر.

على سبيل المثال:

Tcoutrie-FTD3# show vpn-sessiondb detail Anyconnect

Username : Cisco_Test Index : 23

Assigned IP : 10.71.1.2 Public IP : 10.118.18.168

Protocol : Anyconnect-Parent SSL-Tunnel DTLS-Tunnel

License : Anyconnect Premium, Anyconnect for Mobile

Encryption : Anyconnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES-GCM-256

Hash : Anyconnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA384

Bytes Tx : 8627 Bytes Rx : 220

Pkts Tx : 4 Pkts Rx : 0

Pkts Tx Drop : 0 Pkts Rx Drop : 0

Group Policy : SSL Tunnel Group : SSL

Login Time : 13:03:28 UTC Mon Aug 2 2021

Duration : 0h:01m:49s

Inactivity : 0h:00m:00s

VLAN Mapping : N/A VLAN : none

Audt Sess ID : 0a7aa95d000170006107ed20

Security Grp : none Tunnel Zone : 0

Anyconnect-Parent Tunnels: 1

SSL-Tunnel Tunnels: 1

DTLS-Tunnel Tunnels: 1

Anyconnect-Parent:

Tunnel ID : 23.1

Public IP : 10.118.18.168

Encryption : none Hashing : none

TCP Src Port : 64983 TCP Dst Port : 443

Auth Mode : Certificate

Idle Time Out: 30 Minutes Idle TO Left : 28 Minutes

Client OS : apple-ios

Client OS Ver: 14.6

Client Type : Anyconnect

Client Ver : Cisco Anyconnect VPN Agent for Apple iPad 4.10.01099

Bytes Tx : 6299 Bytes Rx : 220

Pkts Tx : 2 Pkts Rx : 0

Pkts Tx Drop : 0 Pkts Rx Drop : 0

SSL-Tunnel:

Tunnel ID : 23.2

Assigned IP : 10.71.1.2 Public IP : 10.118.18.168

Encryption : AES-GCM-256 Hashing : SHA384

Ciphersuite : ECDHE-RSA-AES256-GCM-SHA384

Encapsulation: TLSv1.2 TCP Src Port : 64985

TCP Dst Port : 443 Auth Mode : Certificate

Idle Time Out: 30 Minutes Idle TO Left : 28 Minutes

Client OS : Apple iOS

Client Type : SSL VPN Client

Client Ver : Cisco Anyconnect VPN Agent for Apple iPad 4.10.01099

Bytes Tx : 2328 Bytes Rx : 0

Pkts Tx : 2 Pkts Rx : 0

Pkts Tx Drop : 0 Pkts Rx Drop : 0

DTLS-Tunnel:

Tunnel ID : 23.3

Assigned IP : 10.71.1.2 Public IP : 10.118.18.168

Encryption : AES-GCM-256 Hashing : SHA384

Ciphersuite : ECDHE-ECDSA-AES256-GCM-SHA384

Encapsulation: DTLSv1.2 UDP Src Port : 51003

UDP Dst Port : 443 Auth Mode : Certificate

Idle Time Out: 30 Minutes Idle TO Left : 28 Minutes

Client OS : Apple iOS

Client Type : DTLS VPN Client

Client Ver : Cisco Anyconnect VPN Agent for Apple iPad 4.10.01099

Bytes Tx : 0 Bytes Rx : 0

Pkts Tx : 0 Pkts Rx : 0

Pkts Tx Drop : 0 Pkts Rx Drop : 0

استكشاف الأخطاء وإصلاحها

تصحيح الأخطاء

التصحيح المطلوب لاستكشاف أخطاء هذه المشكلة وإصلاحها هو:

Debug crypto ca 14

Debug webvpn 255

Debug webvpn Anyconnect 255

إذا كان الاتصال هو IPsec وليس SSL:

Debug crypto ikev2 platform 255

Debug crypto ikev2 protocol 255

debug crypto CA 14

السجلات من تطبيق AnyConnect للأجهزة المحمولة:

انتقل إلى التشخيص > سجلات تصحيح أخطاء VPN > مشاركة السجلات.

أدخل المعلومات:

- المشكلة

- خطوات للتكاثر

ثم انتقل إلى إرسال > مشاركة مع.

وهذا يقدم خيار إستخدام عميل بريد إلكتروني لإرسال السجلات.