تكوين مصادقة شهادة العميل الآمنة على FTD التي تتم إدارتها بواسطة FMC

خيارات التنزيل

  • PDF     (2.5 MB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (2.4 MB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (2.7 MB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:١٤ أغسطس ٢٠٢٦
معرّف المستند:221839

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يصف هذا المستند تكوين شبكة VPN للوصول عن بعد على FTD تتم إدارتها بواسطة FMC بمصادقة الشهادة.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

  • FMC
  • معرفة المصادقة الأساسية لشبكة VPN للوصول عن بعد
  • التسجيل اليدوي للشهادة والمعرفة الأساسية لطبقة مآخذ التوصيل الآمنة (SSL)
  • المرجع المصدق التابع لجهة خارجية (CA) مثل Trust و Geotrust و GoDaddy و Thawte و VeriSign

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج التالية:

  • FMC، الإصدار 7.4.1
  • Secure Client الإصدار 5.0.05040
  • الدفاع الآمن ضد تهديد FirePOWER، الإصدار 7.4.1
  • Microsoft Windows Server 2019 كخادم CA

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

التكوين

الرسم التخطيطي للشبكة

Network Diagramالرسم التخطيطي للشبكة

التكوينات

 إنشاء/إستيراد شهادة تستخدم لمصادقة الخادم

note-icon

ملاحظة: في FMC، يلزم وجود المرجع المصدق (CA) قبل أن تتمكن من إنشاء CSR. إذا تم إنشاء CSR من مصدر خارجي (OpenSSL أو جهة خارجية)، فسيفشل الأسلوب اليدوي ويجب إستخدام تنسيق شهادة PKCS12.

1. انتقل إلى الأجهزة > الشهادات وانقر فوق إضافة. أختر الجهاز وانقر فوق علامة الجمع (+) ضمن تسجيل الاقتران.

Add Cert Enrollmentإضافة تسجيل الشهادة

2. تحت معلومات CA، أختر نوع التسجيل يدويا وألصق شهادة CA المستخدمة لتوقيع CSR.

Add CA Informationإضافة معلومات المرجع المصدق

3. أختر تخطي التحقق من علامة CA في القيود الأساسية لشهادة CA as shown in the prior image.

4. تحت معلمات الشهادة، أكمل تفاصيل اسم الموضوع.

Add Certificate Parametersإضافة معلمات شهادة

5. تحت المفتاح، أختر نوع المفتاح ك RSA مع اسم وحجم مفتاح. انقرSave.

note-icon

ملاحظة: بالنسبة لنوع مفتاح RSA، يكون الحد الأدنى لحجم المفتاح 2048 بت.

Add RSA keyإضافة مفتاح RSA

6. تحت تسجيل CERT، أختر نقطة الثقة من القائمة المنسدلة، والتي تم إنشاؤها للتو وانقر فوق إضافة.

Add New Certificateإضافة شهادة جديدة

7. انقر فوق المعرف، ثم انقر فوق نعم، لإنشاء CSR.

Generate CSRإنشاء CSR

8. انسخ CSR وضمان توقيعه من قبل CA. بمجرد إصدار شهادة الهوية من قبل المرجع المصدق، قم باستيرادها بالنقر على إستعراض شهادة الهوية وانقر على إستيراد.

Import ID Certificateإستيراد شهادة المعرف

note-icon

ملاحظة: إذا استغرق إصدار شهادة المعرف وقتا، يمكنك تكرار الخطوة 7. فيما بعد. هذا يولد ال CSR نفسه ويمكنك إستيراد شهادة المعرف.

إضافة شهادة مرجع مصدق ثقة/داخلية

1. انتقل إلى الأجهزة > الشهادات وانقر فوق إضافة.

2. أختر الجهاز وانقر فوق علامة الجمع (+) ضمن تسجيل CERT.

3. في هذا المثال، تستخدم Auth-risaggar-ca لإصدار شهادات الهوية/المستخدم.

auth-risaggar-caنادي أوث ريساغار-كا

4. أدخل اسم TrustPoint واختر Manual كنوع التسجيل ضمن معلومات CA.

5. راجع CA فقط وألصق شهادة CA الداخلية/الموثوقة بتنسيق PEM.

6. تحقق من تخطي التحقق من علامة CA في القيود الأساسية لشهادة CA وانقرSave.

Add Trustpointإضافة TrustPoint

7. تحت تسجيل CERT، أختر نقطة الثقة من القائمة المنسدلة، والتي تم إنشاؤها للتو وانقر فوقAdd.

Add Internal CAإضافة مرجع مصدق داخلي

8. يتم عرض الشهادة التي تمت إضافتها مسبقا على النحو التالي:

Added Certificateالشهادة المضافة

تكوين تجمع العناوين لمستخدمي VPN

1. انتقل إلى الكائنات > إدارة الكائنات > تجمعات العناوين > تجمعات IPv4.

2. أدخل نطاق الاسم وعنوان IPv4 بقناع.

Add IPv4 Poolإضافة تجمع IPv4

تحميل صور العميل الآمنة

1. قم بتنزيل صور عميل آمنة على الويب لكل نظام تشغيل من موقع برامج Cisco.

2. انتقل إلى كائنات > إدارة الكائن > VPN > ملف عميل آمن > إضافة ملف عميل آمن.

3. أدخل الاسم واختر ملف العميل الآمن من القرص.

4. أختر نوع الملف على هيئة صورة عميل آمنة وانقر فوق حفظ.

Add Secure Client Imageإضافة صورة عميل آمنة

إنشاء ملف تعريف XML وتحميله

1. تنزيل محرر ملف تعريف العميل الآمن وتثبيته من موقع برامج Cisco.

2. قم بإنشاء ملف تعريف جديد واختر الكل من القائمة المنسدلة تحديد شهادة العميل. يتحكم هذا بشكل أساسي في الشهادة التي يتم تخزينها والشهادة التي يمكن ل "العميل الآمن" إستخدامها بناء على ما تم تخزينه وقراءة الشهادات.

خياران آخران متاحان هما:

  • الجهاز: تم تقييد "العميل الآمن" للبحث عن الشهادات في مخزن شهادات الجهاز المحلي ل Windows.
  • المستخدم: تم تقييد العميل الآمن للبحث عن الشهادة في مخزن شهادات مستخدم Windows المحلي.

تعيين تجاوز مخزن الشهادات على أنه صحيح.

وهذا يسمح للمسؤول بتوجيه "العميل الآمن" لاستخدام الشهادات الموجودة في مخزن الشهادات الخاص بجهاز Windows (النظام المحلي) لمصادقة شهادة العميل. ينطبق "تجاوز مخزن الشهادات" على SSL فقط، حيث يتم بدء الاتصال، بشكل افتراضي في عملية واجهة المستخدم. عند إستخدام IPSec/IKEv2، لا تنطبق هذه الميزة الموجودة في ملف تعريف العميل الآمن.

Add Preferences - Part 1إضافة تفضيلات (الجزء 1)

3. (إختياري) قم بإلغاء تحديد تعطيل تحديد الشهادة التلقائي، حيث أنه يتجنب المطالبة باختيار شهادة المصادقة.

Add Preferences - Part 2إضافة تفضيلات (الجزء 2)

4. قم بإنشاءServer List Entryملف تعريف لإعداد ملف تعريف في شبكة VPN الخاصة بالعميل الآمن من خلال توفير اسم مستعار للمجموعة وعنوان URL للمجموعة ضمن قائمة الخوادم وحفظ ملف تعريف XML.

Add Server Listإضافة قائمة الخوادم

5. ملف تعريف XML جاهز للاستخدام.

XML Profileملف تعريف XML

موقع ملفات تعريف XML لأنظمة التشغيل المختلفة:

  • Linux - /opt/cisco/anyconnect/profile
  • نظام التشغيل MacOS - /opt/cisco/anyconnect/profile
  • Windows - C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile

6. انتقل إلى كائنات > إدارة الكائن > VPN > ملف عميل آمن > إضافة ملف تعريف عميل آمن.

7. أدخل اسم الملف وانقر إستعراض لاختيار ملف تعريف XML. انقر.Save

Add Secure Client VPN Profileإضافة ملف تعريف Secure Client VPN

تكوين VPN للوصول عن بعد

1. إنشاء قائمة تحكم في الوصول (ACL) للسماح بالوصول إلى الموارد الداخلية.

2. انتقل إلى الكائنات > إدارة الكائنات > قائمة الوصول > قياسي وانقر فوق إضافة قائمة الوصول القياسية.

Add Standard ACLإضافة قائمة تحكم في الوصول (ACL) قياسية

note-icon

ملاحظة: يتم إستخدام قائمة التحكم في الوصول (ACL) هذه من قبل "العميل الآمن" لإضافة مسارات آمنة إلى الموارد الداخلية.

3. انتقل إلى الأجهزة > VPN > الوصول عن بعد وانقر فوق إضافة.

4. أدخل اسم ملف التعريف، ثم أختر جهاز FTD وانقر على التالي.

Add Profile Nameإضافة اسم ملف التعريف

5. أدخل اسم ملف تعريف الاتصال واختر طريقة المصادقة كشهادة عميل فقط تحت المصادقة والتفويض والمحاسبة (AAA).

Select Authentication Methodتحديد أسلوب المصادقة

6. انقر فوق إستخدام تجمعات عناوين IP ضمن تعيين عنوان العميل، واختر تجمع عناوين IPv4 الذي تم إنشاؤه مسبقا.

Select Client Address Assignmentتحديد تعيين عنوان العميل

7. تحرير نهج المجموعة.

Edit Group Policyتحرير نهج المجموعة

8. انتقل إلى عام > تقسيم الاتصال النفقي، واختر شبكات النفق المحددة أدناه ثم قائمة الوصول القياسية ضمن نوع قائمة شبكات النفق المقسم.

9. أختر قائمة التحكم في الوصول (ACL) التي تم إنشاؤها سابقا.

Add Split Tunnelingإضافة تقسيم الاتصال النفقي

10. انتقل إلى عميل آمن > ملف تعريف، واختر ملف تعريف العميل وانقر على حفظ.

Add Secure Client Profileإضافة ملف تعريف عميل آمن

11. انقر فوقNext، ثم حدد صورة العميل الآمنة وانقر فوقNext.

Add Secure Client Imageإضافة صورة عميل آمنة

12. أخترت الشبكة قارن ل VPN منفذ، الDevice Certificatesوفحصت sysopt يسمح-vpn وطقطقةNext.

Add Access Control for VPN Trafficإضافة التحكم في الوصول لحركة مرور VPN

13. راجع جميع التكوينات وانقر فوق إنهاء.

Remote Access VPN Policy Configurationتكوين سياسة VPN للوصول عن بعد

14. بمجرد اكتمال الإعداد الأولي لشبكة VPN الخاصة بالوصول عن بعد، قم بتحرير ملف تعريف الاتصال الذي تم إنشاؤه وانتقل إلى الأسماء المستعارة.

15. قم بتكوين الاسم المستعار للمجموعة بالنقر فوق أيقونة الجمع (+).

Edit Group Aliasتحرير الاسم المستعار للمجموعة

16. قم بتكوينgroup-urlالرمز plus (+) بالنقر عليه. أستخدم نفس عنوان URL للمجموعة الذي تم تكوينه مسبقا في ملف تعريف العميل.

Edit Group URLتحرير عنوان URL للمجموعة

الخطوة 17. انتقل إلى واجهات الوصول. أختر Interface TrustPoint وشهادة الهوية العامة SSL ضمن إعدادات SSL.

Edit Access Interfacesتحرير واجهات الوصول

18. انقر فوق حفظ التغييرات ونشرها.

التحقق من الصحة

أستخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح.

1. يجب تثبيت الشهادة على كمبيوتر العميل الآمن بتاريخ صحيح وموضوع إستخدام مفتاح محسن (EKU) على الكمبيوتر الشخصي للمستخدم. يجب أن تكون هذه الشهادة صادرة عن المرجع المصدق الذي تم تثبيت شهادته على FTD كما هو موضح مسبقا. في المثال التالي، يتم إصدار هوية أو شهادة مستخدم من قبل auth-risaggar-ca.

Certificate Highlightsميزات الشهادة

note-icon

ملاحظة: يجب أن تحتوي شهادة العميل على EKU لمصادقة العميل.

2. يجب على "العميل الآمن" إنشاء الاتصال.

Successful Secure Client Connectionاتصال عميل آمن ناجح

3. قم بتشغيل الأمر show vpn-sessiondb AnyConnect لتأكيد تفاصيل الاتصال للمستخدم النشط ضمن مجموعة النفق المستخدمة.

firepower# show vpn-sessiondb anyconnect

Session Type: AnyConnect

Username     : dolljain.cisco.com     Index        : 8
Assigned IP  : 10.20.20.1             Public IP    : 72.163.X.X
Protocol     : AnyConnect-Parent SSL-Tunnel
License      : AnyConnect Premium
Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES-GCM-128
Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA256
Bytes Tx     : 14402                  Bytes Rx     : 9652
Group Policy : DfltGrpPolicy          Tunnel Group : RAVPN-CertAuth
Login Time   : 08:32:22 UTC Mon Mar 18 2024
Duration     : 0h:03m:59s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                    VLAN         : none
Audt Sess ID : 0ac5de050000800065f7fc16
Security Grp : none                   Tunnel Zone  : 0

استكشاف الأخطاء وإصلاحها

يوفر هذا القسم معلومات لاستكشاف أخطاء التكوين وإصلاحها.

1. يمكن تشغيل تصحيح الأخطاء من واجهة سطر الأوامر التشخيصية ل FTD:

debug crypto ca 14
debug webvpn anyconnect 255
debug crypto ike-common 255

2. راجع دليل أستكشاف أخطاء Cisco Secure Client VPN الشائعة وإصلاحها للحصول على مساعدة إضافية.

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
4.0
14-Aug-2026
تم تحديث العنوان والمقدمة والتصحيح الإملائي والنحوي وأدرج أسطر أفقية لفصل الأقسام من أجل إمكانية القراءة.
3.0
26-Mar-2025
تم تحديث الصورة ل ID
2.0
24-Jun-2024
خطوات التكوين المحدثة لضمان الوضوح.
1.0
01-Apr-2024
الإصدار الأولي
TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • Dolly Jain
    Cisco TAC Engineer
  • Rishabh Aggarwal
    Cisco TAC Engineer

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا

ينطبق هذا المستند على هذه المنتجات