Fehler bei der Signaturüberprüfung des AnyConnect-Hostscans unter Linux

Einleitung

In diesem Dokument wird beschrieben, wie Sie einen Verbindungsfehler des Cisco AnyConnect Secure Mobility Client beheben, wenn Sie Hostscan unter Linux bereitstellen.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Cisco AnyConnect
• Cisco Secure Desktop (CSD)
• Linux 

Verwendete Komponenten

Die Informationen in diesem Dokument betreffen Linux-Benutzer, die einen CSD-Hostscan ausführen.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Problem

Wenn ein Linux-Benutzer Cisco AnyConnect in Verbindung mit dem CSD-Hostscan ausführt, wird eine Fehlermeldung angezeigt, die darauf hinweist, dass die Statusüberprüfung mit dem Hostscan-Initialisierungsfehler fehlgeschlagen ist:

In der Datei libcsd.log gibt eine Fehlermeldung an, dass das Zertifikat, das zum Signieren der CSD-Hostscan-Binärdatei verwendet wird, abgelaufen ist:

[Thu Feb 07 18:52:15.774 2013][libcsd][all][csd_init]
  hello
[Thu Feb 07 18:52:15.774 2013][libcsd][all][csd_init]
  libcsd.so version 3.1.02040
[Thu Feb 07 18:52:15.774 2013][libcsd][debug]
  [hs_transport_init] initialization
[Thu Feb 07 18:52:15.774 2013][libcsd][debug]
  [hs_file_verify_with_killdate] verifying file
  signature: file = [/opt/cisco/anyconnect/lib/libaccurl.so.4.2.0],
  signer = [Cisco Systems, Inc.], type = [2]
[Thu Feb 07 18:52:15.963 2013][libcsd][error][verify_cb]
  Error 10, certificate has expired
[Thu Feb 07 18:52:15.963 2013][libcsd][error][verify_cert]
  Certificate is not trusted
[Thu Feb 07 18:52:15.964 2013][libcsd][error]
  [hs_file_verify_with_killdate] unable to verify
  the certificate trust.
[Thu Feb 07 18:52:15.964 2013][libcsd][error][hs_dl_load_global]
  file signature invalid, not
  loading library (/opt/cisco/anyconnect/lib/libaccurl.so.4.2.0).

Hinweis: Mac- und Windows-Benutzer sind von diesem Problem nicht betroffen. Dies liegt daran, dass der Mac- und Windows-Clientcode überprüft, ob das zum Signieren verwendete Zertifikat zum Zeitpunkt der Codesignatur gültig ist, während der Linux-Clientcode überprüft, ob das zum Signieren verwendete Zertifikat aktuell gültig ist.

Lösung

Da das Problem durch das Datum verursacht wird, an dem das Zertifikat signiert wurde, können Sie die Systemuhr ändern, damit der Benutzer eine Verbindung herstellen kann. Dies ist jedoch keine Lösung.

Cisco Bug-ID CSCue4963 (nur für registrierte Kunden) wurde zur Behebung dieses Problems abgelegt. Um das Problem zu beheben, aktualisieren Sie auf AnyConnect Version 3.1.02043, oder aktualisieren Sie nur das Hostscan Engine-Paket auf Version 3.0.11046, wie hier gezeigt:

webvpn 
enable outside 
csd hostscan image disk0:/hostscan_3.1.02043-k9.pkg
csd enable 
anyconnect image disk0:/anyconnect-win-3.1.02040-k9.pkg 1 regex "Windows NT" 
anyconnect image disk0:/anyconnect-macosx-i386-3.1.02040-k9.pkg 2 regex "Mac OS" 
anyconnect image disk0:/anyconnect-linux-3.1.02043-k9.pkg* 3 regex "Linux"

Hinweis: Diese Links stellen eine Verbindung zu den korrekten Versionen der Software-Downloads her (nur registrierte Kunden).