In diesem Dokument wird der Prozess zum Zulassen/Verweigern von Remotezugriff-VPN-Verbindungen basierend auf bestimmten geografischen Standorten in Secure Firewall Threat Defense beschrieben.
Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:
Derzeit gelten für standortbasierte Richtlinien folgende Anforderungen und Einschränkungen:
Nicht unterstützt auf FTD, die vom Secure Firewall Device Manager (FDM) verwaltet wird.
Standortbasierte, nicht klassifizierte IP-Adressen werden nicht nach geografischer Herkunft kategorisiert. Für diese setzt das FMC die standardmäßige Zugriffsrichtlinienaktion für den Service durch.
Standortbasierte Zugriffsrichtlinien gelten nicht für WebLaunch-Seiten, sodass Sie den Secure Client ohne Einschränkungen herunterladen können.
Die Informationen in diesem Dokument basieren auf den folgenden Softwareversionen:
Ausführliche Informationen zu dieser Funktion finden Sie im Abschnitt Manage VPN Access of Remote Users Based on Geolocation (VPN-Zugriff für Remote-Benutzer basierend auf Standort verwalten) im Cisco Secure Firewall Management Center 7.7 Device Configuration Guide.
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.
Standortbasierte Zugriffsrichtlinien bieten heute einen erheblichen Nutzen für die Netzwerksicherheit und ermöglichen die Blockierung von Datenverkehr basierend auf seiner geografischen Herkunft. In der Regel können Unternehmen Richtlinien für den Datenverkehrszugriff für den allgemeinen Netzwerkverkehr definieren, der durch die Firewall geleitet wird. Mit der Einführung dieser Funktion ist es jetzt möglich, eine standortbasierte Zugriffskontrolle für Remotezugriff-VPN-Sitzungsanforderungen anzuwenden.
Diese Funktion bietet die nächsten Vorteile:
Da VPN-Server über öffentliche IP-Adressen verfügen, auf die über das Internet zugegriffen werden kann, ermöglicht die Einführung von Geolocation-basierten Regeln Organisationen, Nutzeranfragen aus bestimmten Geolocations wirksam einzuschränken und so die Anfälligkeit für Brute-Force-Angriffe zu verringern.

1. Melden Sie sich beim Secure Firewall Management Center an.
2. Navigieren Sie zu Objekte > Objektverwaltung > Zugriffsliste > Dienstzugriff, und klicken Sie auf Dienstzugriffsobjekt hinzufügen.Add (Dienstzugriffsobjekt hinzufügen).

3. Definieren Sie den Regelnamen, und klicken Sie dann auf Regel hinzufügen.

4. Konfigurieren Sie die Dienstzugriffsregel:

5. Wählen Sie die Standardaktion: Alle Länder zulassen oder Alle Länder verweigern. Diese Aktion gilt für Verbindungen, die keiner der konfigurierten Dienstzugriffsregeln entsprechen.

6. Klicken Sie auf Speichern.
1. Navigieren Sie zur RAVPN-Konfiguration unter Geräte > Remotezugriff > RAVPN-Konfigurationsobjekt > Zugriffsschnittstelle.
2. Wählen Sie im Abschnitt Dienstzugriffskontrolle das zuvor erstellte Dienstzugriffsobjekt aus.

3. Das ausgewählte Service Access-Objekt zeigt jetzt die Regelübersicht und die Standardaktion an. Stellen Sie sicher, dass dies richtig ist.
4. Speichern Sie abschließend die Änderungen, und stellen Sie die Konfiguration bereit.
1. Nachdem die Konfiguration gespeichert wurde, werden die Regeln im Abschnitt Service Access Control (Dienstzugriffskontrolle) angezeigt, mit denen Sie überprüfen können, welche Gruppen und Länder gesperrt oder zugelassen sind.

2. Führen Sie den Befehl show running-config service-access aus, um sicherzustellen, dass die Regeln für den Dienstzugriff über die FTD-CLI verfügbar sind.
firepower# show running-config service-access
service-access deny ra-ssl-client geolocation FMC_GEOLOCATION_146028889448_536980902
service-access permit ra-ssl-client geolocation any
firepower# show running-config object-group idFMC_GEOLOCATION_146028889448_536980902
object-group geolocation FMC_GEOLOCATION_146028889448_536980902
location "Country X"
location "Country Y"
Secure Firewall führt neue Syslog-IDs ein, um Ereignisse zu erfassen, die mit RAVPN-Verbindungen zusammenhängen und durch standortbezogene Richtlinien blockiert werden:
%FTD-6-751031: IKEv2-Remotezugriffssitzung für faddr <client_ip> laddr <device_ip> wurde durch eine geobasierte Regel (geo=<Ländername>, id=<Ländercode>) verweigert
%FTD-6-716166: Remotezugriffssitzung mit verweigertem SSL für faddr <client_ip> durch eine geobasierte Regel (geo=<country_name>, id=<country_code>)
Um blockierte Verbindungen zu überprüfen, navigieren Sie zu Geräte > Fehlerbehebung > Protokolle zur Fehlerbehebung. Die Protokolle der blockierten Verbindungen werden angezeigt, einschließlich Informationen zu den Regeln, die sich auf die Verbindung und den Sitzungstyp auswirken.

Die zulässigen Sitzungen werden unter Übersicht > VPN-Dashboard mit Remote-Zugriff überwacht, wo Sitzungsinformationen angezeigt werden, einschließlich des Ursprungslandes.

Gehen Sie zur Fehlerbehebung wie folgt vor:
| Überarbeitung | Veröffentlichungsdatum | Kommentare |
|---|---|---|
2.0 |
09-Jun-2026
|
Aktualisierte Rechtschreibung, Grammatik, Titel des Artikels, Einführung, Abstände, Grammatik, aktualisierte URL in HTML pro CCW und Satzstruktur. |
1.0 |
07-Mar-2025
|
Erstveröffentlichung |