Inhalt

Einführung

Voraussetzungen

Konfigurieren einer Alias und Aktivieren des Dropdown-Menüs

ASDM

CLI

Konfigurieren einer URL und Aktivieren des Dropdown-Menüs

ASDM

CLI

Fragen und Antworten

Überprüfen

Fehlerbehebung

Zugehörige Informationen

Einführung

SSL-VPN-Benutzer (AnyConnect/SVC und Clientless) können die Tunnelgruppe [Connection Profile in Adaptive Security Device Manager (ASDM) lingo] auswählen, auf die über folgende Methoden zugegriffen werden kann:

- Gruppenurl

- group-Alias (Dropdown-Liste Tunnelgruppe auf der Anmeldeseite)

- Zertifikatszuordnungen bei Verwendung von Zertifikaten

In diesem Dokument wird veranschaulicht, wie die Adaptive Security Appliance (ASA) so konfiguriert wird, dass Benutzer bei der Anmeldung beim WebVPN-Dienst über ein Dropdown-Menü eine Gruppe auswählen können. Die Gruppen, die im Menü angezeigt werden, sind entweder Aliase oder URLs von echten Verbindungsprofilen (Tunnelgruppen), die auf der ASA konfiguriert sind. In diesem Dokument wird veranschaulicht, wie Aliase und URLs für Verbindungsprofile (Tunnelgruppen) erstellt und dann das Dropdown-Menü so konfiguriert werden, dass es angezeigt wird. Diese Konfiguration wird mit ASDM 6.0(2) auf einer ASA mit Software Version 8.0(2) durchgeführt.

Hinweis: ASA Version 7.2.x unterstützt zwei Methoden: group-url und group-alias list.

Hinweis: ASA Version 8.0.x unterstützt drei Methoden: group-url, group-alias und certificate-maps.

Voraussetzungen

Grundlegende WebVPN-Konfiguration

Konfigurieren einer Alias und Aktivieren des Dropdown-Menüs

In diesem Abschnitt werden die Informationen zum Konfigurieren eines Alias für ein Verbindungsprofil (Tunnelgruppe) angezeigt. Konfigurieren Sie diese Aliase anschließend, um sie auf der WebVPN-Anmeldeseite im Dropdown-Menü Gruppe anzuzeigen.

ASDM

Führen Sie diese Schritte aus, um einen Alias für ein Verbindungsprofil (Tunnelgruppe) im ASDM zu konfigurieren. Wiederholen Sie diese Schritte bei Bedarf für jede Gruppe, für die Sie einen Alias konfigurieren möchten.

1. Wählen Sie Configuration > Clientless SSL VPN Access > Connection Profiles aus.

2. Wählen Sie ein Verbindungsprofil aus, und klicken Sie auf Bearbeiten.

3. Geben Sie im Feld Aliase einen Alias ein.

4. Klicken Sie auf OK und Übernehmen der Änderung.

5. Aktivieren Sie im Fenster Verbindungsprofile die Option Benutzer zum Auswählen der Verbindung zulassen, die durch Alias in der Tabelle oben identifiziert wurde, auf der Anmeldeseite.

CLI

Verwenden Sie diese Befehle in der Befehlszeile, um einen Alias für ein Verbindungsprofil (Tunnelgruppe) zu konfigurieren und das Dropdown-Menü Tunnelgruppe zu aktivieren. Wiederholen Sie diese Schritte bei Bedarf für jede Gruppe, für die Sie einen Alias konfigurieren möchten.

ciscoasa#configure terminal

ciscoasa(config)#tunnel-group ExampleGroup1 webvpn-att

ciscoasa(config-tunnel-webvpn)#group-alias Group1 enable

ciscoasa(config-tunnel-webvpn)#exit

ciscoasa(config)#webvpn

ciscoasa(config-webvpn)#tunnel-group-list enable

Konfigurieren einer URL und Aktivieren des Dropdown-Menüs

In diesem Abschnitt werden Ihnen die Informationen zum Konfigurieren eines URLs für ein Verbindungsprofil (Tunnelgruppe) angezeigt. Konfigurieren Sie diese URLs anschließend, um sie auf der WebVPN-Anmeldeseite im Dropdown-Menü Gruppe anzuzeigen. Ein Vorteil von group-url gegenüber group-alias (Group-Dropdown) besteht darin, dass Sie die Gruppennamen nicht verfügbar machen, wie dies bei der letztgenannten Methode der Fall ist.

ASDM

Es gibt zwei Methoden, um die Gruppen-URL im ASDM anzugeben:

- Profilmethode - vollständig betriebsbereit

Bearbeiten Sie das AC-Profil, und ändern Sie das Feld <HostAddress>.

Unter Windows 2000/XP befindet sich die Standardprofildatei (z. B. CiscoAnyConnectProfile.xml) im Verzeichnis: C:\Documents and Settings\All Users\Application Data\Cisco\Cisco AnyConnect VPN Client\Profile

Der Speicherort für Vista ist leicht unterschiedlich: C:\ProgramData\Cisco\Cisco AnyConnect VPN Client\Profile

- Geben Sie die URL-Zeichenfolge der Gruppe in das Feld Verbinden mit ein.

Es werden drei Formate von Gruppen-URL-Zeichenfolgen unterstützt:

- https://asa-vpn1.companyA.com/Employees

- asa-vpn1.companyA.com/Employees

- asa-vpn1.companyA.com (nur Domäne, kein Pfad)

Gehen Sie wie folgt vor, um eine URL für ein Verbindungsprofil (Tunnelgruppe) im ASDM zu konfigurieren. Wiederholen Sie diese Schritte bei Bedarf für jede Gruppe, für die Sie eine URL konfigurieren möchten.

1. Wählen Sie Configuration > Clientless SSL VPN Access > Connection Profiles>Advanced>Clientless SSL VPN panel aus.

2. Wählen Sie ein Verbindungsprofil aus, und klicken Sie auf Bearbeiten.

3. Geben Sie eine URL in das Feld Gruppen-URLs ein.

4. Klicken Sie auf OK und Übernehmen der Änderung.

CLI

Verwenden Sie diese Befehle in der Befehlszeile, um einen URL für ein Verbindungsprofil (Tunnelgruppe) zu konfigurieren und das Dropdown-Menü Tunnelgruppe zu aktivieren. Wiederholen Sie diese Schritte bei Bedarf für jede Gruppe, für die Sie eine URL konfigurieren möchten.

ciscoasa#configure terminal

ciscoasa(config)#tunnel-group Trusted-Employees type remote-access

ciscoasa(config)#tunnel-group Trusted-Employees general-attributes

ciscoasa(config)#authentication-server-group (inside) LDAP-AD11

ciscoasa(config)#accounting-server-group RadiusACS12

ciscoasa(config)#default-group-policy Employees

ciscoasa(config)#tunnel-group Trusted-Employees webvpn-attributes

ciscoasa(config)#group-url https://asa-vpn1.companyA.com/Employees enable

ciscoasa(config)#webvpn

ciscoasa(config-webvpn)#tunnel-group-list enable

Fragen und Antworten

Frage:

Wie konfigurieren Sie die Gruppen-URL, wenn sich das ASA VPN-Gateway hinter einem NAT-Gerät befindet?

Antwort:

Der vom Benutzer eingegebene Host/URL wird für die Gruppenzuordnung verwendet. Daher müssen Sie die NAT-d-Adresse verwenden, nicht die tatsächliche Adresse der externen ASA-Schnittstelle. Die beste Alternative ist die Verwendung von FQDN anstelle der IP-Adresse für die Zuordnung von Gruppen-URLs.

Alle Zuordnungen werden auf der HTTP-Protokollebene implementiert (basierend auf Informationen, die der Browser sendet), und eine URL wird zusammengesetzt, um Informationen in eingehenden HTTP-Headern zuzuordnen. Der Hostname oder die IP-Adresse wird aus dem Host-Header und der Rest der URL aus der HTTP-Anforderungszeile übernommen. Das bedeutet, dass der vom Benutzer eingegebene Host/URL für die Gruppenzuordnung verwendet wird.

Überprüfen

Navigieren Sie zur WebVPN-Anmeldeseite der ASA, um zu überprüfen, ob das Dropdown-Menü aktiviert ist und die Aliase angezeigt werden.

Navigieren Sie zur WebVPN-Anmeldeseite der ASA, um zu überprüfen, ob das Dropdown-Menü aktiviert ist und die URL angezeigt wird.

Fehlerbehebung

- Wenn die Dropdown-Liste nicht angezeigt wird, stellen Sie sicher, dass Sie sie aktiviert haben und dass Aliase konfiguriert sind. Benutzer machen häufig eines dieser Dinge, aber nicht das andere.

- Stellen Sie sicher, dass Sie eine Verbindung zur Basis-URL der ASA herstellen. Die Dropdown-Liste wird nicht angezeigt, wenn Sie eine Verbindung mit der ASA über eine Gruppen-URL herstellen, da der Zweck der Gruppen-URL darin besteht, die Gruppenauswahl durchzuführen.

Zugehörige Informationen

- Cisco Adaptive Security Appliances der Serie ASA 5500

- Technischer Support und Dokumentation - Cisco Systems