Konfigurieren von Maschinentunnel auf Cisco Secure Access

Download-Optionen

  • PDF     (4.3 MB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (4.5 MB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (2.9 MB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:9. November 2026
Dokument-ID:223194

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Einleitung

In diesem Dokument wird beschrieben, wie Sie Secure Access als VPN-Gateway konfigurieren und Verbindungen von Secure Client über den VPN-Maschinentunnel akzeptieren.

Netzwerkdiagramm

Secure Access Network

Voraussetzungen

  • Vollständige Administratorrolle bei sicherem Zugriff
  • Benutzer-IP-Pool für Cisco Secure Access 
  • Mindestens ein in Cisco Secure Access konfiguriertes Benutzer-VPN-Profil 

Anforderungen

Es wird empfohlen, dass Sie über Kenntnisse in den folgenden Themen verfügen:

  • OpenSSL
  • 509 Zertifikate

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

  • Sicherer Zugriff von Cisco
  • Cisco Secure Client 5.1.10
  • Windows 11
  • Windows Server 2019 - CA

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Ein Secure Access VPN-Maschinentunnel stellt die Verbindung zum Unternehmensnetzwerk sicher, wenn das Client-System hochgefahren wird, nicht nur, wenn der Endbenutzer eine VPN-Verbindung herstellt. Sie können das Patch-Management auf Endgeräten außerhalb des Büros durchführen, insbesondere auf Geräten, die vom Benutzer nur selten über VPN mit dem Büronetzwerk verbunden werden. Auch Betriebssystem-Anmeldeskripts für Endgeräte, die eine Verbindung mit dem Unternehmensnetzwerk benötigen, profitieren von dieser Funktion. Damit dieser Tunnel ohne Benutzereingriff erstellt werden kann, wird eine zertifikatbasierte Authentifizierung verwendet.

Der Secure Access-Maschinentunnel ermöglicht es Administratoren, den Cisco Secure Client ohne Benutzereingriff anzuschließen, bevor sich der Benutzer anmeldet. Der Maschinentunnel für sicheren Zugriff wird ausgelöst, wenn sich das Endgerät außerhalb des Firmengeländes befindet und nicht mit einem benutzerinitiierten VPN verbunden ist. Der Secure Access VPN-Maschinentunnel ist für den Endbenutzer transparent und trennt die Verbindung automatisch, wenn der Benutzer das VPN initiiert.

Arbeiten am Maschinentunnel 

Der Secure Client VPN Agent-Dienst wird beim Systemstart automatisch gestartet. Der Secure Client VPN-Agent verwendet das VPN-Profil, um zu erkennen, dass die Maschinentunnel-Funktion aktiviert ist. Wenn die Maschinentunnel-Funktion aktiviert ist, startet der Agent die Verwaltungs-Client-Anwendung, um eine Maschinentunnel-Verbindung zu initiieren. Die Management-Client-Anwendung verwendet den Hosteintrag aus dem VPN-Profil, um die Verbindung zu initiieren. Dann wird der VPN-Tunnel wie üblich eingerichtet, mit einer Ausnahme: Während einer Maschinentunnelverbindung wird kein Software-Update durchgeführt, da der Maschinentunnel für den Benutzer transparent sein soll.

Der Benutzer initiiert über den Secure Client einen VPN-Tunnel, der die Terminierung des Maschinentunnels auslöst. Nach Abschluss des Maschinentunnels wird der Benutzertunnel wie gewohnt eingerichtet. Der Benutzer trennt den VPN-Tunnel, was die automatische Wiederherstellung des Maschinentunnels auslöst.

Traffic Flow

Einschränkungen

  • Es wird keine Benutzerinteraktion unterstützt.
  • Es wird nur die zertifikatbasierte Authentifizierung über den Machine Certificate Store (Windows) unterstützt.
  • Die strenge Überprüfung des Serverzertifikats wird erzwungen.
  • Ein privater Proxy wird nicht unterstützt.
  • Ein öffentlicher Proxy wird nicht unterstützt (ProxyNative-Wert wird auf Plattformen unterstützt, auf denen keine nativen Proxy-Einstellungen aus dem Browser abgerufen werden).
  • Skripts für die sichere Client-Anpassung werden nicht unterstützt

Konfigurieren

Methode 1 - Konfigurieren des Maschinentunnels mit dem Benutzer: machine@sse.com 

Schritt 1 - Allgemeine Einstellungen 

Konfigurieren Sie die allgemeinen Einstellungen, einschließlich der Domäne und der Protokolle, die der Maschinentunnel verwendet.

1. Navigieren Sie zu Verbinden > Endbenutzerverbindung > Virtuelles privates Netzwerk.

2. Navigieren Sie zu VPN Profiles (VPN-Profile), und konfigurieren Sie die Einstellungen für den Maschinentunnel.

antwort: Klicken Sie auf Einstellungen, und wählen Sie Maschinentunnel verwalten aus dem Dropdown-Menü aus.

Create New Machine Tunnel

3. Geben Sie die Standarddomäne ein.

4. Der DNS-Server, der über die Seite Regionen und IP-Pools verwalten zugeordnet ist, wird als Standardserver festgelegt. Sie können den Standard-DNS-Server akzeptieren, einen anderen DNS-Server aus dem Dropdown-Menü auswählen oder auf + Hinzufügen klicken, um ein neues DNS-Serverpaar hinzuzufügen. Wenn Sie einen anderen DNS-Server auswählen oder einen neuen DNS-Server hinzufügen, wird dieser Standardserver überschrieben.

5. Wählen Sie aus dem Dropdown-Menü "IP-Pools" einen IP-Pool pro Region aus. Den VPN-Profilen muss mindestens ein IP-Pool in jeder Region zugewiesen sein, damit eine gültige Konfiguration möglich ist.

6. Wählen Sie das Tunnelprotokoll, das dieser Maschinentunnel verwendet:

  • TLS/DTLS
  • IPSec (IKEv2)
    Es muss mindestens ein Protokoll ausgewählt werden.

7. Aktivieren Sie optional Include protocol, um das Client-Umgehungsprotokoll durchzusetzen.

1. Wenn das Client Bypass Protocol für ein IP-Protokoll aktiviert und kein Adresspool für dieses Protokoll konfiguriert ist (d. h., dass dem Client von der ASA keine IP-Adresse für dieses Protokoll zugewiesen wurde), wird kein IP-Datenverkehr, der dieses Protokoll verwendet, durch den VPN-Tunnel gesendet. Es wird aus dem Tunnel heraus geschickt.

2.  Wenn das Client Bypass Protocol deaktiviert und kein Adresspool für dieses Protokoll konfiguriert ist, verwirft der Client nach Einrichtung des VPN-Tunnels den gesamten Datenverkehr für dieses IP-Protokoll.

Machine Tunnel General Settings

3. Klicken Sie auf Weiter

Schritt 2 - Authentifizierung für Computerzertifikat 

Der Maschinentunnel ist für den Endbenutzer transparent und trennt die Verbindung automatisch, wenn der Benutzer eine VPN-Sitzung initiiert. Damit dieser Tunnel ohne Benutzereingriff erstellt werden kann, wird zertifikatbasierte Authentifizierung verwendet:

1.  Wählen Sie CA-Zertifikate aus der Liste aus, oder klicken Sie auf CA-Zertifikate hochladen.

2. Wählen Sie die zertifikatbasierten Authentifizierungsfelder aus. Weitere Informationen finden Sie unter Zertifikatbasierte Authentifizierungsfelder.

VPN Settings

3. Klicken Sie auf Weiter

Schritt 3 - Verkehrssteuerung (Split-Tunnel)

Für die Verkehrssteuerung (Split-Tunnel) können Sie einen Maschinentunnel so konfigurieren, dass eine vollständige Tunnelverbindung mit Secure Access aufrechterhalten wird, oder ihn so konfigurieren, dass er eine Split-Tunnelverbindung verwendet, um den Verkehr nur bei Bedarf durch das VPN zu leiten. Weitere Informationen finden Sie unter Machine Tunnel traffic steering.

1. Wählen Sie den Tunnelmodus aus.

2. Je nach Auswahl des Tunnelmodus können Sie Ausnahmen hinzufügen.

3. Wählen Sie DNS Mode (DNS-Modus).

Traffic Steering and Split Tunnel

4. Klicken Sie auf Weiter.

Schritt 4: Konfiguration des Cisco Secure Client

Sie können eine Teilmenge der Cisco Secure Client-Einstellungen je nach den Anforderungen eines bestimmten VPN-Maschinentunnels ändern. Weitere Informationen finden Sie unter Sichere Client-Konfiguration.

1. Überprüfen Sie die maximale Übertragungseinheit, die größte Paketgröße, die im VPN-Tunnel ohne Fragmentierung gesendet werden kann.

Client Settings

2. Client-Einstellungen finden Sie weitere Informationen in den Client-Einstellungen für den Maschinentunnel.

Client Settings

3. Wählen Sie die entsprechenden Optionen für die Client-Zertifikatseinstellungen aus:

a. Überschreiben des Windows-Zertifikatspeichers: Ermöglicht einem Administrator, Secure Client anzuweisen, Zertifikate im Zertifikatspeicher des Windows-Computers (lokales System) für die Clientzertifikatauthentifizierung zu verwenden. 

b. Automatische Zertifikatauswahl: Wenn auf dem sicheren Gateway mehrere Zertifikatauthentifizierungen konfiguriert sind.

c. Certificate Pinning: CA-Zertifikat, das vom Computertunnel als Computerzertifikat zur Authentifizierung von Geräten verwendet wird.

d. Zertifikatzuordnung: Wenn keine Kriterien für die Zertifikatzuordnung angegeben sind, wendet Cisco Secure Client die Regeln für die Zertifikatzuordnung an:

i. Schlüsselverwendung:  Digitale_Signatur

ii) Verwendung erweiterter Schlüssel: Client-Authentifizierung

        e. Distinguished Name: Gibt Distinguished Names (DNs) für exakte Übereinstimmungskriterien bei der Auswahl akzeptabler Client-Zertifikate an. Beim Hinzufügen mehrerer Distinguished Names wird jedes Zertifikat mit allen Einträgen abgeglichen, und alle müssen übereinstimmen.

Certificate Settings

4. Weisen Sie das Computertunnelprofil einem Benutzer-VPN-Profil zu, klicken Sie auf Speichern, und es gibt eine Option zum Auswählen der Benutzer-VPN-Profile.

Profile Selection

5. Klicken Sie auf Speichern.

6. Überprüfen Sie, ob das Maschinentunnelprofil mit einem Benutzer-VPN-Profil verbunden ist.

Profile Settings

Schritt 5: Überprüfen der Anwesenheit des Benutzers machine@sse.com in Cisco Secure Access 

1. Navigieren Sie zu Verbinden > Benutzer, Gruppen und Endgeräte > Benutzer.

uUers

2. Wenn der Benutzer machine@sse.com nicht vorhanden ist, importieren Sie manuell. Weitere Informationen finden Sie unter Manueller Import von Benutzern und Gruppen. 

Schritt 6 - Erstellen eines von der Zertifizierungsstelle signierten Zertifikats für machine@sse.com 

1. Generieren einer Zertifikatsignierungsanforderung:

   antwort: Sie können jede Online-CSR-Generator-Software oder eine OpenSSL-CLI verwenden.

openssl req -newkey rsa:2048 -nodes -keyout cert.key -out cert.csr

Generating RSA Private Key

2. Kopieren Sie den CSR, und generieren Sie ein Computerzertifikat.

Certificate

Certificate Settings

3. Konvertieren Sie das Computerzertifikat in das PKCS12-Format, indem Sie den Schlüssel und das Zertifikat verwenden, die in den vorherigen Schritten (Schritt 1 bzw. Schritt 2) generiert wurden:

openssl pkcs12 -export -out Machine.p12 -in machine.crt -inkey cert.key

Openssl Commands

Schritt 7 - Importieren des Computerzertifikats auf einem Testcomputer 

1. Importieren Sie das PKCS12-Computerzertifikat unter "Lokal" oder "Computerspeicher":

Certificate Details

Schritt 8 - Herstellen einer Verbindung mit dem Maschinentunnel 

1. Verbinden Sie sich mit einem Benutzertunnel. Dies löst das herunterzuladende XML-Computerprofil aus.

Secure Client

Enrollment

2. Überprüfen Sie die Verbindung des Maschinentunnels:

Routes

Logging

Methode 2: Konfigurieren des Maschinentunnels mithilfe des Endpunktzertifikats

Wählen Sie in diesem Fall für das zu authentifizierende primäre Feld das Zertifikatfeld aus, das den Gerätenamen (Computernamen) enthält. Secure Access verwendet den Gerätenamen als Tunnelkennung des Systems. Das Format des Computernamens muss mit dem Format der ausgewählten Gerätekennung übereinstimmen.

Gehen Sie für die Konfiguration des Maschinentunnels durch die Schritte 1 bis 4. 

Schritt 5: Konfigurieren von AD Connector zum Importieren von Endpunkten in Cisco Secure Access 

Weitere Informationen finden Sie unter: Permanente Active Directory-Integration.

Users

Schritt 6: Konfigurieren der Authentifizierung von Endgeräten

1. Navigieren Sie zu Verbinden > Benutzer, Gruppen und Endgeräte.

2. Klicken Sie auf Konfigurationsmanagement.

Users and groups

 3. Klicken Sie unter Konfigurationen auf Active Directory bearbeiten.

User Settings

4. Legen Sie die Authentifizierungseigenschaft für Endgeräte auf Hostname fest.

Authentication

5. Klicken Sie auf Speichern und starten Sie die AD Connector-Dienste auf den Servern neu, auf denen die AD Connector-Dienste installiert sind 

Schritt 7 - Generieren und Importieren eines Endpunktzertifikats 

1. Generieren Sie CSR, öffnen Sie einen CSR-Generator oder das OpenSSL-Tool.

2. Generieren Sie ein Endpunktzertifikat von der Zertifizierungsstelle.

3. Konvertieren Sie die .cert-Datei in das PKCS12-Format.

4. Importieren Sie das PKCS12-Zertifikat in den Endpunktzertifikatsspeicher.

Certificate Template

Template Details

Schritt 8 - Herstellen einer Verbindung mit dem Maschinentunnel 

1. Verbinden Sie sich mit einem Benutzertunnel, es löst den Download der Maschine Tunnel xml Profil.

Secure Client

Enrollment

2. Überprüfen Sie die Verbindung des Maschinentunnels:

Routes

Remote Access Logs

Methode 3: Konfigurieren des Maschinentunnels mithilfe des Benutzerzertifikats

Wählen Sie in diesem Fall für das zu authentifizierende primäre Feld das Zertifikatfeld aus, das die Benutzer-E-Mail oder UPN enthält. Secure Access verwendet die E-Mail- oder UPN-Nummer als Tunnelkennung. Das Format der E-Mail oder des UPN muss mit dem Format der ausgewählten Gerätekennung übereinstimmen.

Gehen Sie für die Konfiguration des Maschinentunnels durch die Schritte 1 bis 4.

Schritt 5: Konfigurieren von AD Connector zum Importieren von Benutzern in Cisco Secure Access 

Weitere Informationen finden Sie unter: Permanente Active Directory-Integration.

User Details

Schritt 6: Konfigurieren der Benutzerauthentifizierung

1. Navigieren Sie zu Verbinden > Benutzer, Gruppen und Endgeräte.

2. Klicken Sie auf Konfigurationsmanagement.

Users and groups

 3.  Klicken Sie unter Konfigurationen auf Active Directory bearbeiten.

User Settings

4. Legen Sie die Authentifizierungseigenschaft des Benutzers auf "E-Mail" fest.

User Authentication

5. Klicken Sie auf Speichern, und starten Sie die AD Connector-Dienste auf den Servern neu, auf denen sie installiert sind.

Schritt 7 - Generieren und Importieren eines Endpunktzertifikats 

1. Generieren Sie den CSR, öffnen Sie einen CSR-Generator oder OpenSSL-Tool.

2. Generieren Sie ein Endpunktzertifikat von der Zertifizierungsstelle.

3. Konvertieren Sie die .cert-Datei in das PKCS12-Format.

4. Importieren Sie das PKCS12-Zertifikat in den Endpunktzertifikatsspeicher.

Certificate Template

Certificate Template Details

Schritt 8 - Herstellen einer Verbindung mit dem Maschinentunnel 

1. Verbinden Sie sich mit einem Benutzertunnel, es löst den Download der Maschine Tunnel xml Profil.

Secure Client

Enrollment

2. Überprüfen Sie die Verbindung des Maschinentunnels:

Routes

Remote Access Logs

Fehlerbehebung

Extrahieren Sie das DART-Paket, öffnen Sie die AnyConnectVPN-Protokolle, und analysieren Sie die Fehlermeldungen: 

DARTBundle_0603_1656.zip\Cisco Secure Client\AnyConnect VPN\Protokolle

Revisionsverlauf

Überarbeitung Veröffentlichungsdatum Kommentare
2.0
09-Nov-2026
Erstveröffentlichung
1.0
08-Jul-2025
Erstveröffentlichung
TAC Authored

Beiträge von Cisco Ingenieuren

  • Jaikishan Yadav
    TAC

War dieses Dokument hilfreich?

FeedbackFeedback

Cisco kontaktieren

Dieses Dokument gilt für folgende Produkte.