Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Konfigurieren

AnyConnect WebSecurity-Bereitstellung durch ASA

Überprüfen

Upgrade/Downgrade der AnyConnect-Version

Fehlerbehebung

Einführung

In diesem Dokument wird die Bereitstellung von AnyConnect-Websicherheitsmodul für Client-basierte VPN-Terminierung auf Cisco Adaptive Security Appliances (ASA) beschrieben.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine speziellen Anforderungen.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardwareversionen beschränkt.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Hintergrundinformationen

- Laden Sie das AnyConnect-Image (Empfohlen v4.1+) auf ASA hoch.

- Aktivieren Sie das VPN-Profil auf ASA, wie im Bild gezeigt

Konfigurieren

AnyConnect WebSecurity-Bereitstellung durch ASA

Die Konfiguration umfasst folgende Schritte:

- Konfigurieren des AnyConnect-Websicherheits-Clientprofils

- AnyConnect VPN-Gruppenrichtlinie bearbeiten

- Legen Sie einen geteilten Ausschluss für Web Security fest, und wählen Sie Web Security-Client-Modul herunterladen aus.

- Bearbeiten der AnyConnect VPN-Gruppenrichtlinie und Auswählen des Websicherheits-Clientprofils

Schritt 1: Konfigurieren des AnyConnect Websecurity Client-Profils

Navigieren Sie zu Konfiguration >Access VPN entfernen >Network (Client) Access >AnyConnect Client Profile, klicken Sie auf

Fügen Sie das AnyConnect Web Security Client-Profil hinzu, und wählen Sie es aus.

Hinweis: Der Profilname ist auf Clientseite fest codiert. Unabhängig vom konfigurierten Namen leitet die ASA daher immer Websecurity_serviceprofile.wso an den Client weiter.

Hinweis: Dies ist ein Standardprofil ohne Authentifizierungslizenzschlüssel.

Schritt 2: Bearbeiten Sie das neu erstellte Profil, um den Authentifizierungslizenzschlüssel hinzuzufügen und die Konfiguration anzupassen.

Schritt 3: Legen Sie einen geteilten Ausschluss für Web Security fest, und wählen Sie Web Security Client-Modul herunterladen aus.

Bearbeiten Sie die AnyConnect VPN-Gruppenrichtlinie, wie im Bild gezeigt.

Richten Sie, wie im Bild gezeigt, eine getrennte Ausgrenzung für Web Security ein.

Wählen Sie Web Security-Clientmodul herunterladen aus, wie im Bild gezeigt.

Schritt 4: Websicherheits-Clientprofil herunterladen

AnyConnect-VPN-Gruppenrichtlinie bearbeiten > Zu Download bereitzustellende Clientprofile > Hinzufügen, wählen Sie jetzt das erstellte Profil aus (wie in Schritt 1)

Klicken Sie auf OK, und übernehmen Sie die Änderungen.

Überprüfen

Wenn Sie eine Verbindung mit AnyConnect VPN herstellen, leitet ASA das AnyConnect-Websicherheitsmodul über VPN weiter, wie im Bild gezeigt.

Wenn Sie bereits angemeldet sind, empfiehlt es sich, sich abzumelden und sich dann wieder anzumelden, damit die Funktion aktiviert werden kann.

Upgrade/Downgrade der AnyConnect-Version

Die Bereitstellungsfunktionalität bleibt unverändert, wenn die Version aktualisiert wird. Ein Downgrade ist jedoch nicht möglich. So kann mit dem aktuellen Beispiel von 4.1.x ein Upgrade auf Version 4.2 durchgeführt werden.

Es handelt sich um folgende Schritte:

Schritt 1: Laden Sie das neueste AnyConnect-Paket 4.2 zum Flash-Speicher hoch, und ersetzen Sie 4.1 durch die neueste Datei.

Wählen Sie unter AnyConnect Client Software > Replace die aktuelle Bilddatei aus.

Schritt 2: Wenn Sie erneut eine Verbindung mit AnyConnect VPN herstellen, leitet ASA das neueste AnyConnect-Modul über VPN weiter, ohne dass Änderungen am Web-Sicherheitsprofil erforderlich sind.

Hinweis: Downgrade wird nicht unterstützt.

Fehlerbehebung

Dieser Abschnitt enthält Informationen, die Sie zur Fehlerbehebung bei Ihrer Konfiguration verwenden können.

Verwenden von DART zum Sammeln von Informationen zur Fehlerbehebung:

DART ist das AnyConnect Diagnostics and Reporting Tool, mit dem Sie Daten sammeln können, die zur Behebung von Installations- und Verbindungsproblemen bei AnyConnect nützlich sind. DART unterstützt Windows 7, Windows Vista, Windows XP, Mac Version 10.5 und 10.6 sowie Linux Redhat. Der DART-Assistent wird auf dem Computer ausgeführt, auf dem AnyConnect ausgeführt wird. Die Protokolle, der Status und die Diagnoseinformationen für die Analyse des Cisco Technical Assistance Center (TAC) werden zusammengestellt. Administratorberechtigungen sind nicht erforderlich.

DART verwendet zwar keine Komponente der AnyConnect-Software, kann jedoch über AnyConnect gestartet werden, doch die Protokolldatei von AnyConnect wird erfasst, sofern sie verfügbar ist. Derzeit ist DART als eigenständige Installation erhältlich. Alternativ kann der Administrator diese Anwendung als Teil der dynamischen Download-Infrastruktur von AnyConnect auf den Client-PC übertragen. Nach der Installation kann der Endbenutzer den Assistenten im Cisco Ordner starten, der über die Start-Schaltfläche verfügbar ist.