Dieses Dokument beschreibt, wie die Cisco Adaptive Security Appliance (ASA) der Serie 5500-X so konfiguriert wird, dass der DHCP-Server mithilfe des ASDM (Adaptive Security Device Manager) oder der CLI allen AnyConnect-Clients die Client-IP-Adresse bereitstellt.
In diesem Dokument wird davon ausgegangen, dass die ASA voll betriebsbereit und konfiguriert ist, damit der Cisco ASDM oder die CLI Konfigurationsänderungen vornehmen können.
Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:
Cisco Firewall der nächsten Generation der Serie ASA 5500-X Version 9.2(1)
Adaptive Security Device Manager Version 7.1(6)
Cisco AnyConnect Secure Mobility Client 3.1.05152
Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.
Diese Konfiguration kann auch mit Cisco ASA Security Appliance der Serie 5500, Version 7.x und höher, verwendet werden.
VPNs für Remote-Zugriff erfüllen die Anforderung mobiler Mitarbeiter, eine sichere Verbindung zum Netzwerk des Unternehmens herzustellen. Mobile Benutzer können mithilfe der Cisco AnyConnect Secure Mobility Client-Software eine sichere Verbindung herstellen. Der Cisco AnyConnect Secure Mobility Client stellt eine Verbindung zu einem Gerät an einem zentralen Standort her, das für die Annahme dieser Anfragen konfiguriert ist. In diesem Beispiel ist das Gerät des zentralen Standorts eine Adaptive Security Appliance der Serie ASA 5500-X, die dynamische Crypto Maps verwendet.
Bei der Adressverwaltung der Sicherheitsappliance müssen Sie IP-Adressen konfigurieren, die einen Client mit einer Ressource im privaten Netzwerk über den Tunnel verbinden und den Client so funktionieren lassen, als ob er direkt mit dem privaten Netzwerk verbunden wäre.
Darüber hinaus handelt es sich nur um private IP-Adressen, die Clients zugewiesen sind. Die IP-Adressen, die anderen Ressourcen in Ihrem privaten Netzwerk zugewiesen werden, sind Teil Ihrer Netzwerkadministrationsaufgaben und nicht Teil des VPN-Managements. Wenn hier also IP-Adressen besprochen werden, bezieht sich Cisco auf die IP-Adressen, die in Ihrem privaten Netzwerkadressierungsschema verfügbar sind, sodass der Client als Tunnelendpunkt fungieren kann.
In diesem Abschnitt erhalten Sie Informationen zum Konfigurieren der in diesem Dokument beschriebenen Funktionen.
In diesem Dokument wird die folgende Netzwerkeinrichtung verwendet:
ASDM-Verfahren
Gehen Sie wie folgt vor, um das VPN für den Remote-Zugriff zu konfigurieren:
ciscoasa(config)#webvpn
ciscoasa(config-webvpn)#enable outside
ciscoasa(config-webvpn)#anyconnect image disk0:/anyconnect-win-3.1.05152-k9.pkg 1
ciscoasa(config-webvpn)#tunnel-group-list enable
ciscoasa(config-webvpn)#anyconnect enable
ciscoasa(config)#group-policy clientgroup internal
ciscoasa(config)#group-policy clientgroup attributes
ciscoasa(config-group-policy)#vpn-tunnel-protocol ssl-client
ciscoasa(config-group-policy)#
Entsprechende CLI-Konfiguration:
ciscoasa(config)#username ssluser1 password asdmASA
ciscoasa(config)#tunnel-group sslgroup type remote-access
ciscoasa(config)#tunnel-group sslgroup general-attributes
ciscoasa(config-tunnel-general)#dhcp-server 192.168.10.1
ciscoasa(config-tunnel-general)#default-group-policy clientgroup
ciscoasa(config-tunnel-general)#exit
ciscoasa(config)#tunnel-group sslgroup webvpn-attributes
ciscoasa(config-tunnel-webvpn)#group-alias sslgroup_users enable
Subnetzauswahl oder Verbindungsauswahl
Die DHCP-Proxy-Unterstützung für RFC 3011 und RFC 3527 ist eine Funktion, die in den Versionen 8.0.5 und 8.2.2 eingeführt wurde und in späteren Versionen unterstützt wurde.
In Bezug auf die ASA ermöglichen diese RFCs einem Benutzer, einen DHCP-Netzwerkbereich für die DHCP-Adressenzuweisung anzugeben, der nicht lokal für die ASA ist, und der DHCP-Server kann weiterhin direkt auf die ASA-Schnittstelle antworten. Die folgenden Diagramme sollen helfen, das neue Verhalten zu veranschaulichen. Dadurch können nicht lokale Bereiche verwendet werden, ohne dass eine statische Route für diesen Bereich im Netzwerk erstellt werden muss.
Wenn RFC 3011 oder RFC 3527 nicht aktiviert ist, sieht der DHCP-Proxy-Austausch ähnlich aus wie folgt:
Wenn eine dieser RFCs aktiviert ist, sieht der Austausch ähnlich wie diese aus, und dem VPN-Client wird immer noch eine Adresse im richtigen Subnetz zugewiesen:
Führen Sie diese Schritte aus, um den DHCP-Server so zu konfigurieren, dass den VPN-Clients über die Befehlszeile IP-Adressen bereitgestellt werden. Weitere Informationen zu den jeweils verwendeten Befehlen finden Sie unter Cisco Adaptive Security Appliances - Command References der Serie ASA 5500.
ASA# show run
ASA Version 9.2(1)
!
!--- Specify the hostname for the Security Appliance.
hostname ASA
enable password 8Ry2YjIyt7RRXU24 encrypted
names
!
!--- Configure the outside and inside interfaces.
interface GigabitEthernet0/0
nameif inside
security-level 100
ip address 10.1.1.1 255.255.255.0
!
interface GigabitEthernet0/1
nameif outside
security-level 0
ip address 192.168.1.1 255.255.255.0
!
interface GigabitEthernet0/2
nameif DMZ
security-level 50
ip address 192.168.10.2 255.255.255.0
!--- Output is suppressed.
passwd 2KFQnbNIdI.2KYOU encrypted
boot system disk0:/asa802-k8.bin
ftp mode passive
object network obj-10.1.1.0
subnet 10.1.1.0 255.255.255.0
object network obj-192.168.5.0
subnet 192.168.5.0 255.255.255.0
pager lines 24
logging enable
logging asdm informational
mtu inside 1500
mtu outside 1500
mtu dmz 1500
no failover
icmp unreachable rate-limit 1 burst-size 1
!--- Specify the location of the ASDM image for ASA to fetch the image
for ASDM access.
asdm image disk0:/asdm-716.bin
no asdm history enable
arp timeout 14400
nat (inside,outside) source static obj-10.1.1.0 obj-10.1.1.0 destination static
obj-192.168.5.0 obj-192.168.5.0
!
object network obj-10.1.1.0
nat (inside,outside) dynamic interface
route outside 0.0.0.0 0.0.0.0 192.168.1.2 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
dynamic-access-policy-record DfltAccessPolicy
http server enable
http 0.0.0.0 0.0.0.0 inside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
telnet timeout 5
ssh timeout 5
console timeout 0
threat-detection basic-threat
threat-detection statistics access-list
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect netbios
inspect rsh
inspect rtsp
inspect skinny
inspect esmtp
inspect sqlnet
inspect sunrpc
inspect tftp
inspect sip
inspect xdmcp
!
service-policy global_policy global
!
!--- Enable webvpn and specify an Anyconnect image
webvpn
enable outside
anyconnect image disk0:/anyconnect-win-3.1.05152-k9.pkg 1
anyconnect enable
tunnel-group-list enable
group-policy clientgroup internal
group-policy clientgroup attributes
!--- define the DHCP network scope in the group policy.This configuration is Optional
dhcp-network-scope 192.168.5.0
!--- In order to identify remote access users to the Security Appliance,
!--- you can also configure usernames and passwords on the device.
username ssluser1 password ffIRPGpDSOJh9YLq encrypted
!--- Create a new tunnel group and set the connection
!--- type to remote-access.
tunnel-group sslgroup type remote-access
!--- Define the DHCP server address to the tunnel group.
tunnel-group sslgroup general-attributes
default-group-policy clientgroup
dhcp-server 192.168.10.1
!--- If the use of RFC 3011 or RFC 3527 is required then the following command will
enable support for them
tunnel-group sslgroup general-attributes
dhcp-server subnet-selection (server ip) (3011)
hcp-server link-selection (server ip) (3527)
!--- Configure a group-alias for the tunnel-group
tunnel-group sslgroup webvpn-attributes
group-alias sslgroup_users enable
prompt hostname context
Cryptochecksum:e0725ca9ccc28af488ded9ee36b7822d
: end
ASA#
Überarbeitung | Veröffentlichungsdatum | Kommentare |
---|---|---|
1.0 |
12-Mar-2015 |
Erstveröffentlichung |