تكوين الوصول الآمن ل RA VPNa باستخدام معرف العقدة

المقدمة

يصف هذا وثيقة خطوة بخطوة كيف أن يشكل RA VPN على cisco يأمن منفذ أن يصادق مقابل معرف بطاقة.

المتطلبات الأساسية

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• المعرفة باستخدام معرف Azure/Entra.
• المعرفة باستخدام الوصول الآمن من Cisco.

المتطلبات

ويجب استيفاء هذه المتطلبات قبل المضي قدما:

• الوصول إلى لوحة معلومات الوصول الآمن من Cisco كمسؤول كامل.
• الوصول إلى Azure ك Admin.
• اكتمل توفير المستخدم بالفعل إلى Cisco Secure Access. 

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• لوحة معلومات الوصول الآمن من Cisco.
• مدخل Microsoft Azure.
• Cisco Secure Client AnyConnect VPN، الإصدار 5.1.8.105

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

التكوين

تكوين Azure

1. سجل الدخول إلى لوحة معلومات Cisco Secure Access ونسخ VPN Global FQDN. أنت تستخدم FQDN هذا في تكوين تطبيق Azure Enterprise. 

    اتصال > اتصال المستخدم النهائي > الشبكة الخاصة الظاهرية > FQDN > العامة

VPN Global FQDN

2. سجل الدخول إلى Azure وإنشاء تطبيق مؤسسي لمصادقة RA VPN. يمكنك إستخدام التطبيق المحدد مسبقا باسم جدار الحماية الآمن من Cisco - مصادقة العميل الآمن (المعروفة سابقا باسم AnyConnect).

    الصفحة الرئيسية > تطبيقات المؤسسات > تطبيق جديد > Cisco Secure Firewall - مصادقة العميل الآمن (المعروفة سابقا باسم AnyConnect) > إنشاء

إنشاء تطبيق في Azure

3. أعد تسمية التطبيق.
    خصائص > اسم

إعادة تسمية التطبيق

4. ضمن تطبيق المؤسسة، قم بتعيين المستخدمين للسماح بالمصادقة باستخدام شبكة VPN الخاصة ب AnyConnect.
    تعيين مستخدمين ومجموعات > + إضافة مستخدم/مجموعة > تعيين

المستخدمون/المجموعات المعينة

5. انقر فوق تسجيل الدخول الأحادي وقم بتكوين معلمات SAML. هنا تستخدم FQDN المنسوخ في الخطوة 1، وأيضا اسم ملف تعريف VPN الذي تقوم بتكوينه في تكوين Cisco Secure Access لاحقا في الخطوة 2.

على سبيل المثال، إذا كنت تستخدم VPN Global FQDN ك example1.vpn.sse.cisco.com وكان اسم ملف تعريف VPN للوصول الآمن من Cisco الخاص بك هو VPN_EntraID، فإن قيم (معرف الوحدة) وعنوان URL للرد (عنوان URL لتأكيد خدمة المستهلك) هي:

المعرف (معرف الكيان): https://example1.vpn.sse.cisco.com/saml/sp/metadata/VPN_EntraID
عنوان URL الخاص بالرد (عنوان URL الخاص بخدمة المستهلك للتأكيد): https://example1.vpn.sse.cisco.com/+CSCOE+/saml/sp/acs?tgname=VPN_EntraID

معلمات SAML في Azure

6. تنزيل XML لبيانات تعريف الاتحاد.

تكوين الوصول الآمن من Cisco

1. سجل الدخول إلى لوحة معلومات Cisco Secure Access، وأضفت تجمع IP.

    اتصال > اتصال المستخدم النهائي > الشبكة الخاصة الظاهرية > إضافة تجمع IP

    

المنطقة: حدد المنطقة التي سيتم فيها نشر شبكة VPN الخاصة بالرجوع.
اسم العرض: اسم تجمع VPN IP.
خادم DNS: إنشاء أو تعيين DNS Server الذي يستخدمه مستخدمو DNS لحل DNS بمجرد الاتصال.
تجمع IP للنظام: يستخدم بواسطة الوصول الآمن لميزات مثل مصادقة RADIUS، يتم توفير طلب المصادقة بواسطة IP ضمن هذا النطاق.
تجمع IP: أضفت جديد ip بركة وعينت ال IPs مستعمل يحصل مرة يربط إلى ال RA VPN.

إضافة ملف تعريف VPN

تكوين تجمع IP - الجزء 1

تكوين تجمع IP - الجزء 2

2. إضافة ملف تعريف شبكة VPN. 

    اتصال > اتصال المستخدم النهائي > الشبكة الخاصة الظاهرية > + ملف تعريف VPN

الإعدادات العامة

اسم ملف تعريف VPN: اسم ملف تعريف VPN هذا، مرئي في لوحة المعلومات فقط.

اسم العرض: اسم المستخدمين النهائيين الذين يرونهم في القائمة المنسدلة "العميل الآمن" - AnyConnect، راجع عند الاتصال بملف تعريف RA VPN هذا. 
المجال الافتراضي: يحصل مستخدمي المجال، ما إن يربط إلى ال VPN.
خوادم DNS: خادم DNS يتصل مستخدمو شبكة VPN مرة واحدة بشبكة VPN.
    المنطقة المحددة: يستخدم خادم DNS المقترن بتجمع IP لشبكة VPN.
    مخصص محدد: يمكنك تعيين DNS المطلوب يدويا.
تجمعات IP: IPs يتم تعيين المستخدمين بمجرد الاتصال ب VPN.
إعدادات التوصيف: لتضمين ملف تعريف شبكة VPN هذا ل Machine Tunnel أو لتضمين FQDN الإقليمي حتى يقوم المستخدم النهائي بتحديد المنطقة التي يريد الاتصال بها (تخضع لتجمعات IP التي يتم نشرها).
البروتوكولات: حدد البروتوكول الذي تريد أن يستخدمه مستخدمو VPN الخاص بك للاتصال النفقي لحركة المرور.
وضع وقت الاتصال (إختياري): إن يتطلب أن يتم VPN Posture (وضعية الشبكة الخاصة الظاهرية (VPN) في وقت الاتصال. المزيد من المعلومات هنا 

تكوين ملف تعريف VPN - الجزء 1

تكوين ملف تعريف VPN - الجزء 2

المصادقة والتخويل والمحاسبة

البروتوكولات: تحديد SAML.

المصادقة بشهادات المرجع المصدق: في حالة رغبتك في المصادقة باستخدام شهادة SSL والتخويل مقابل موفر IdP SAML.
فرض إعادة المصادقة: فرض إعادة المصادقة عند إجراء اتصال VPN. تستند إعادة المصادقة الإجبارية إلى مهلة الجلسة. يمكن أن يخضع هذا لإعدادات SAML IDp (Azure في هذه الحالة).

قم بتحميل ملف XML الخاص ببيانات تعريف إتحاد ملفات XML الذي تم تنزيله في تكوين Azure في الخطوة 6.

تكوين SAML

توجيه حركة المرور (نفق انقسام)

وضع النفق:
    الاتصال بالوصول الآمن: يتم إرسال جميع حركات المرور إلى النفق (نفق الكل).
    تجاوز الوصول الآمن: تم إنشاء قنوات لحركة مرور محددة فقط تم تعريف قسم في الاستثناءات (تقسيم النفق).
وضع DNS:
    DNS الافتراضي: تنتقل جميع استعلامات DNS من خلال خوادم DNS التي تم تعريفها بواسطة ملف تعريف VPN. في حالة الاستجابة السلبية، يمكن لاستعلامات DNS أيضا الانتقال إلى خوادم DNS التي تم تكوينها على المحول الفعلي.
    نفق كافة DNS: أنفاق كافة استعلامات DNS عبر شبكة VPN.
    تقسيم DNS: تتحرك استعلامات DNS المحددة فقط من خلال ملف تعريف VPN، حسب المجالات المحددة أدناه.

تكوين توجيه حركة المرور

تكوين عميل آمن من Cisco
لأغراض هذا الدليل، لا تقوم بتكوين أي من هذه الإعدادات المتقدمة. يمكن تكوين الميزات المتقدمة هنا. على سبيل المثال: TND، تشغيل دائم، مطابقة الشهادة، الوصول إلى شبكة LAN المحلية، وهكذا. احفظ الإعدادات هنا. 

إعدادات متقدمة

3. يجب أن يبدو ملف تعريف الشبكة الخاصة الظاهرية (VPN) بهذا الشكل. يمكنك تنزيل ملف تعريف XML ونشره مسبقا إلى المستخدمين النهائيين (ضمن C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile) لبدء إستخدام الشبكة الخاصة الظاهرية (VPN)، أو تزويدهم بعنوان URL الخاص بملف التعريف الذي سيتم إدخاله في واجهة مستخدم Cisco Secure Client - AnyConnect VPN.

FQDN العمومي وعنوان URL لملف التعريف

التحقق من الصحة

عند هذه النقطة، يجب أن يكون تكوين RA VPN لديك جاهزا للاختبار.
يرجى ملاحظة أنه في المرة الأولى التي يتصل فيها المستخدمون، يتعين إعطاؤهم عنوان URL لملف التعريف أو النشر المسبق لملف تعريف XML في أجهزة الكمبيوتر الخاصة بهم ضمن C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile، وإعادة تشغيل خدمة VPN ويجب أن يروا في القائمة المنسدلة خيار الاتصال بملف تعريف VPN هذا.

في هذا المثال، تعطي عنوان URL لملف التعريف للمستخدم لأول محاولة توصيل.

قبل التوصيل الأول:

اتصال VPN السابق

أدخل بيانات الاعتماد الخاصة بك ووصل بشبكة VPN:

متصل بشبكة VPN

بعد التوصيل أول مرة، من القائمة المنسدلة، يجب أن تكون قادرا على رؤية الخيار للاتصال بملف تعريف VPN - Lab VPN:

بعد اتصال VPN الأول

تحقق من سجلات الوصول عن بعد التي تمكن المستخدم من توصيلها:

شاشة > سجل الوصول عن بعد

تسجيل الدخول إلى Cisco Secure Access

استكشاف الأخطاء وإصلاحها

هذه هي الخطوات الأساسية لاستكشاف الأخطاء وإصلاحها التي يمكن إجراؤها لحل بعض المشكلات الشائعة:

لازوردي

في Azure، تأكد من تعيين المستخدمين لتطبيق المؤسسة الذي تم إنشاؤه للمصادقة في مقابل الوصول الآمن من Cisco:

    الصفحة الرئيسية > تطبيقات المؤسسات > Cisco Secure Access RA VPN > Manage (إدارة) > المستخدمون والمجموعات

التحقق من تعيين المستخدمين

Cisco Secure Access

في Cisco Secure Access، تأكد من توفير المستخدمين المسموح لهم بالاتصال عبر RA VPN، ومن مطابقة المستخدمين المزودين في Cisco Secure Access (أقل من المستخدمين والمجموعات وأجهزة نقاط النهاية) مع المستخدمين في Azure (المستخدمين المعينين في تطبيق المؤسسة).

    الاتصال > المستخدمين، المجموعات، وأجهزة نقاط النهاية

المستخدمون في الوصول الآمن من Cisco

تحقق من تزويد المستخدم إما بملف XML الصحيح على الكمبيوتر الشخصي أو من إعطاء المستخدم عنوان URL لملف التعريف كما هو موضح في خطوة التحقق.

    اتصال > اتصال المستخدم النهائي > الشبكة الخاصة الظاهرية 

عنوان URL لملف التعريف وملف تعريف .xml

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
3.0	18-Aug-2026	عنوان محدث ونص بديل وتنسيق.
1.0	24-Apr-2025	الإصدار الأولي