Automatische Bereitstellung mit gebündeltem Umbrella-Profil (Windows)

Einleitung

Dieses Dokument beschreibt das Tutorial zur automatisierten Bereitstellung mit dem gebündelten Umbrella-Profil im Cisco Secure Client (Windows).

Überblick

Die Bereitstellung des Cisco Secure Client (CSC) (ehemals AnyConnect) mit dem Umbrella-Modul umfasst folgende Komponenten:

• Installation des CSC Core VPN Moduls 
• Installation des Umbrella Roaming Security Module
• Installation des Umbrella-Profils (OrgInfo.json)
• Installation des DART-Moduls (Diagnostic and Reporting Tool) (optional)

Dieser Artikel enthält ein Tutorial zur programmgesteuerten Installation dieser Komponenten (unter Windows).  Das Umbrella-Profil ist in das Installationspaket eingebettet, das für die Installation aus freigegebenen Ordnern geeignet ist.

Erstellen des Pakets vor der Bereitstellung

Mit diesen Schritten wird das Umbrella-Modul bereitgestellt. Beachten Sie, dass die Cisco VPN-Funktion vollständig deaktiviert ist. Das VPN-Core-Modul muss jedoch weiterhin installiert werden, da es für das zugrunde liegende Abfangen von DNS-Datenverkehr verwendet wird.

Erstellen des Bereitstellungspakets

1. 1. Laden Sie das Umbrella-Roaming-Sicherheitsmodul-Profil von Ihrem Umbrella Dashboard herunter. Bereitstellungen > Roaming-Computer > Roaming-Clients.
      • Der heruntergeladene Dateiname des Modulprofils ist Orginfo.json.
   2. Laden Sie das Umbrella Roaming Security Module-Paket "vor der Bereitstellung" für Windows von einem der folgenden Speicherorte herunter:
      • :software.cisco.com
      • Umbrella - Versionshinweise
   3. Extrahieren Sie den heruntergeladenen AnyConnect-Client, und suchen Sie die Versionsnummer.  Notieren Sie sich die Dateinamen und Versionsnummern im extrahierten Paket.
      
      27073502800788
      
      
   4. Fügen Sie Ihre Datei OrgInfo.json im Ordner "Profiles\Umbrella"* im gleichen Verzeichnis wie das Installationsprogramm hinzu.  Dieser Schritt ist wichtig, damit sich das Cisco Umbrella-Modul nach der Installation automatisch registriert. Die Ordnerstruktur muss wie folgt aussehen:

      cisco-secure-client-win-X.X.XXXXX-core-vpn-predeploy-k9.msicisco-secure-client-win-win-X.X.XXXXX-umbrella-predeploy-k9.msicisco-secure-client-win-X.X.XXXXX-dart-predeploy-k9.msi\Profiles\umbrella\OrgInfo.json         

Erstellen Sie den Unterordner \Profiles\Umbrella neben Ihren MSI-Dateien, falls dieser nicht bereits vorhanden ist.

Hosten des Pakets

Das Paket muss an Endbenutzer mit dem Unterordner 'Profiles\Umbrella' verteilt werden.  Dies könnte auf folgende Weise erreicht werden:

• Ein freigegebener Netzwerkordner
• Endgeräteverwaltungssoftware, die die Zusammenstellung von Installationspaketen mit mehreren Dateien unterstützt

Bereitstellen des Pakets

Die MSI-Dateien können jetzt einfach mithilfe von Endpunkt-Management-Software oder mit "msiexec" bereitgestellt werden.

MSI-Befehle

msiexec /package cisco-secure-client-win-X.X.XXXXX-core-vpn-predeploy-k9.msi PRE_DEPLOY_DISABLE_VPN=1 /norestart /passive /lvx* vpninstall.log 
msiexec /package cisco-secure-client-win-X.X.XXXXX-umbrella-predeploy-k9.msi PRE_DEPLOY_DISABLE_VPN=1 /norestart /passive /lvx* umbrellainstall.log
msiexec /package cisco-secure-client-win-X.X.XXXXX-dart-predeploy-k9.msi /norestart /passive /lvx* dartinstall.log

WICHTIG:  Ersetzen Sie X.X.XXXXX durch die richtigen Versionsnummern, die Ihren MSI-Dateinamen entsprechen.

Vergewissern Sie sich, dass die Option PRE_DEPLOY_DISABLE_VPN=1 den Installationsargumenten hinzugefügt wurde, um die VPN-Funktionalität zu deaktivieren. Alternativ können Sie dieses Argument weglassen, um die VPN-Funktionalität zu aktivieren.

Zusätzliche MSI-Eigenschaften während der Installation

Cisco Installationspakete unterstützen mehrere MSI-Eigenschaften, die während der Installation geändert werden können.  Die gebräuchlichsten Eigenschaften von Cisco Umbrella sind:

• LOCKDOWN = verhindert wie beschrieben, dass der Service manuell deaktiviert wird.
• ARPSYSTEMCOMPONENT = Blendet das Programm aus der Windows-Liste "Programme und Funktionen" aus
  

Um diese während der Installation festzulegen, verwenden Sie die gleichen Installationsschritte, übergeben die zusätzlichen Eigenschaften jedoch an den Befehl msiexec:

Sperre aktivieren

msiexec /package <MSI> /passive LOCKDOWN=1 /lvx* 

Aus Programmen und Funktionen ausblenden

msiexec /package <MSI> /passive ARPSYSTEMCOMPONENT=1 /lvx* 

Alternativ können diese MSI-Einstellungen konfiguriert werden, indem benutzerdefinierte Transformationsdateien des Installationsprogramms (MST-Dateien) bereitgestellt werden. Weitere Informationen finden Sie unter AnyConnect Lockdown konfigurieren.

Bereitstellen des Umbrella-Profils (nach der Installation)

Der häufige Fehler "Profile is missing" (Profil fehlt) zeigt an, dass das Cisco Umbrella-Modul installiert ist, das Profil (OrgInfo.json) jedoch nicht. Das bedeutet, dass sich das Cisco Umbrella-Modul nicht bei Cisco Umbrella registrieren kann und keinen Schutz aktiviert.

Beachten Sie, dass dieses Problem nicht auftritt, wenn das Profil korrekt in das Installationspaket eingebettet wurde.

4435402655892

Wenn das Profil nicht in das Installationspaket eingebettet werden kann, kann es separat mithilfe einer Installationsaufgabe oder eines Skripts auf den Endpunkt kopiert werden.  Das Profil muss an diesem Standort bereitgestellt werden:

%PROGRAMDATA%\Cisco\Cisco Secure Client\Umbrella\OrgInfo.json

Das PowerShell-Skript zeigt ein Beispiel dafür, wie die Datei OrgInfo.json programmgesteuert als Task nach der Installation erstellt wird.  Ersetzen Sie die Platzhalter ORG_ID, FINGERPRINT und USER_ID durch die entsprechenden Werte aus Ihrem Profil.

$org_file = "%PROGRAMDATA%\Cisco\Cisco Secure Client\Umbrella\OrgInfo.json" 
$data=@" 
{ 
    "organizationId" : "ORG_ID", 
    "fingerprint" : "FINGERPRINT", 
    "userId" : "USER_ID" 
} 
"@ 

if(-not(Test-Path -Path $org_file)) 
{ 

$data > $org_file 
} 

Deaktivieren der VPN-Funktion (nach der Installation)

Wenn die VPN-Funktion während der Bereitstellung nicht deaktiviert wurde, kann sie zu einem späteren Zeitpunkt deaktiviert werden, indem ein spezielles VPN-Profil auf dem Gerät bereitgestellt wird.  Siehe https://support.umbrella.com/hc/en-us/articles/18211951038740-How-to-hide-the-VPN-module-in-Cisco-Secure-Client-Windows

Bereitstellung der Cisco Root CA

Für fehlerfreie Blockseiten und HTTPS-Browsing ist es erforderlich, die Cisco Umbrella Root CA jedem Endgerät zu vertrauen.  Weitere Informationen zur zentralen Bereitstellung einer Zertifizierungsstelle finden Sie in der Endpunktverwaltungssoftware.