Table Of Contents
Introducción
En este documento se describen los pasos necesarios para habilitar el bloqueo de AnyConnect y Ocultar AnyConnect de la lista de programas Agregar/quitar para equipos con Windows.
Contribuido por Christian G. Hernández R, ingeniero del TAC de Cisco.
Prerequisites
Requirements
Cisco recomienda que tenga conocimiento sobre estos temas:
Componentes Utilizados
La información que contiene este documento se basa en estas versiones de software y hardware:
- Cisco ASA versión 9.14.2.13
- Versión 7.14.1 de Cisco Adaptive Security Device Manager (ASDM)
- Cisco AnyConnect versiones 4.9.04053 y 4.9.06037
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Antecedentes
Bloqueo de AnyConnect para Windows: Cisco recomienda que se concedan derechos limitados a los usuarios finales Cisco AnyConnect Secure Mobility Client en su dispositivo. Si el usuario final garantiza derechos adicionales, los instaladores pueden proporcionar una función de bloqueo que impida que los usuarios y los administradores locales desactiven o detengan los servicios de AnyConnect.
Dispone de tres opciones diferentes para activar la función de bloqueo de AnyConnect:
1. instaladores MSI desde el terminal del símbolo del sistema de Windows.
2. Opción de bloqueo del asistente de instalación del paquete previo a la implementación de AnyConnect.
3. ASDM - Importe un ejemplo de bloqueo del instalador transforma el archivo en el ASA.
Ocultar AnyConnect de la lista Agregar o quitar programas para Windows: Puede ocultar los módulos AnyConnect instalados de la lista Agregar o quitar programas del Panel de control de Windows Desinstalar un programa.
Tiene dos opciones para activar la función Ocultar AnyConnect de la lista de programas Add/Remove:
1. instaladores MSI desde el terminal del símbolo del sistema de Windows.
2. ASDM - Importe un ejemplo de archivo de transformación de dirección oculta del instalador al ASA.
Configurar
Diagrama de la red
Configurar bloqueo de AnyConnect
instaladores MSI desde el terminal del símbolo del sistema de Windows.
Configuration Steps
Paso 1. Descargue el archivo del paquete de implementación previa de AnyConnect para Windows.
Paso 1.1 Acceda a la página de descarga de software de Cisco y descargue la versión de AnyConnect para instalarla en el equipo con Windows.
Para este ejemplo, descargue el paquete de implementación previa de Windows AnyConnect que incluye la MSI individual archivos para la versión 4.9.04053 (anyconnect-win-4.9.04053-preDeploy-k9.zip).
Paso 2. Descargue el archivo de transformación del instalador de AnyConnect para Windows.
Paso 2.1 Navegue hasta la página de descarga del software de Cisco y descargue el archivo de transformaciones de AnyConnect Installer para Windows que coincida con la misma versión de AnyConnect que se instalará en el equipo de Windows.
Para este ejemplo, descargue el archivo de transformación para la versión 4.9.04053 de AnyConnect (tools-anyconnect-win-4.9.04053-transforms.zip).
Paso 3. Descomprima los archivos de AnyConnect descargados en diferentes carpetas.
Paso 3.1 El archivo anyconnect-win-4.9.04053-preDeploy-k9.zip se descomprime en la siguiente ruta de acceso de la carpeta: C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preDeploy-k9.
Paso 3.2 Las herramientas-anyconnect-win-4.9.04053-transforms.zipel archivo se descomprime en la siguiente ruta de acceso de la carpeta: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transforms.
Paso 4. Copie y pegue el bloqueo de AnyConnect que transforma el archivo en la misma carpeta que los archivos del instalador de AnyConnect MSI.
Paso 4.1 Desde la carpeta tools-anyconnect-win-4.9.04053-transforms, copie el _anyconnect-win-lockdown.mst lockdown transforma el archivo y lo pega en la carpeta anyconnect-win-4.9.04053-preploy-k9 como se indica a continuación.
Paso 5. CD en la ruta de la carpeta que tiene los archivos de instalación de MSI AnyConnect.
Paso 5.1 Abra un terminal del símbolo del sistema de Windows y ccd en la ruta de la carpeta que tiene los archivos de instalación de MSI AnyConnect y el bloqueo _anyconnect-win-lockdown.mst transforma el archivo copiado/pegado en el paso anterior.
Este ejemplo cd en la siguiente ruta de la carpeta C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preDeploy-k9.
Paso 6. Instale los módulos de AnyConnect con el archivo de transformaciones de bloqueo.
Paso 6.1 I
Instale cada uno de los módulos de AnyConnect requeridos con el siguiente comando del instalador MSI que apunta al archivo del módulo AnyConnect .msi y el bloqueo _anyconnect-win-lockdown.mst transforma el archivo.
msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Nota:La configuración del valor LOCKDOWN como "1", habilita la función de bloqueo para que el módulo AnyConnect se instale.
Nota: Cisco recomienda utilizar el archivo de transformación de ejemplo proporcionado para establecer esta propiedad, aplicar la transformación a cada instalador MSI para cada módulo que desee bloquear. Puede descargar las transformaciones de muestra desde la página de descarga del software Cisco AnyConnect Secure Mobility Client.
Nota:Si implementa el cliente principal más uno o más módulos opcionales, debe aplicar la propiedad LOCKDOWN a cada uno de los instaladores. Esta operación es de una sola manera y no se puede eliminar a menos que vuelva a instalar el producto.
Paso 6.2 En este ejemplo se instala el módulo AnyConnect CORE & VPN y el archivo _anyconnect-win-lockdown.mst lockdown, ambos coinciden con los archivos de la versión 4.9.04053 de AnyConnect.
msiexec -i anyconnect-win-4.9.04053-core-vpn-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Paso 6.3 En este ejemplo se instala el módulo de seguridad de roaming de AnyConnect Umbrella y el archivo _anyconnect-win-lockdown.mst lockdown, ambos coinciden con los archivos de la versión 4.9.04053 de AnyConnect.
msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Opción de bloqueo de AnyConnect paquete previo a la implementación asistente de instalación.
Configuration Steps
Paso 1. Descargue el archivo del paquete de implementación previa de Anyconnect para Windows.
Paso 1.1 Acceda a la página de descarga de software de Cisco y descargue la versión de AnyConnect para instalarla en el equipo con Windows.
Para este ejemplo, descargue el paquete de implementación previa de Windows AnyConnect que incluye los archivos individuales MSI para la versión 4.9.04053 (anyconnect-win-4.9.04053-preDeploy-k9.zip).
Paso 2. Abra el archivo de configuración de AnyConnect.
Paso 2.1 Descomprima el archivo anyconnect-win-4.9.04053-pre-Deploy-k9.zip descargado y abierto.
Paso 2.2 A continuación, haga doble clic en el archivo de configuración de AnyConnect.
Paso 3. Trabaje con el asistente de instalación de AnyConnect.
Paso 3.1 Seleccione los módulos de AnyConnect que desea instalar de las opciones mostradas.
Para este ejemplo, seleccione los módulos AnyConnect CORE & VPN y los módulos Umbrella Roaming Security.
Paso 4. Habilite la función de bloqueo de AnyConnect.
Paso 4.1 Para habilitar la función de bloqueo para los módulos CORE y VPN y Umbrella Roaming Security, seleccione la opción Bloquear servicios de componentes y continúe con la instalación.
Paso 5. Confirme la instalación de los módulos AnyConnect.
Paso 5.1 La instalación de los módulos de AnyConnect se completa al 100% una vez que se muestra el siguiente mensaje.
Configurar Ocultar AnyConnect de la lista Agregar o quitar programas
instaladores MSI desde el terminal del símbolo del sistema de Windows.
Configuration Steps
Paso 1. Descargue el archivo del paquete de implementación previa de AnyConnect para Windows.
Paso 1.1 Acceda a la página de descarga de software de Cisco y descargue la versión de AnyConnect para instalarla en el equipo con Windows.
Para este ejemplo, descargue el paquete de implementación previa de Windows AnyConnect que incluye la MSI individual archivos para la versión 4.9.04053 (anyconnect-win-4.9.04053-preDeploy-k9.zip).
Paso 2. Descargue el archivo de transformación del instalador de AnyConnect para Windows.
Paso 2.1 Navegue hasta la página de descarga del software de Cisco y descargue el archivo de transformaciones de AnyConnect Installer para Windows que coincida con la misma versión de AnyConnect que se instalará en el equipo de Windows.
Para este ejemplo, descargue el archivo de transformación para la versión 4.9.04053 de AnyConnect (tools-anyconnect-win-4.9.04053-transforms.zip).
Paso 3. Descomprima los archivos de AnyConnect descargados en diferentes carpetas.
Paso 3.1 El archivo anyconnect-win-4.9.04053-preDeploy-k9.zip se descomprime en la siguiente ruta de acceso de la carpeta: C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preDeploy-k9.
Paso 3.2 Las herramientas-anyconnect-win-4.9.04053-transforms.zipel archivo se descomprime en la siguiente ruta de acceso de la carpeta: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transforms.
Paso 4. Copie y pegue el archivo de transformación de la dirección oculta de AnyConnect en la misma carpeta que los archivos del instalador de AnyConnect MSI.
Paso 4.1 Desde la carpeta tools-anyconnect-win-4.9.04053-transforms, copie el archivo _anyconnect-win-hide-address-display.mst y pega el archivo en la carpeta anyconnect-win-4.9.04053-pre-Deploy-k9 de la siguiente manera.
Paso 5. CD en la ruta de la carpeta que tiene los archivos de instalación de MSI AnyConnect.
Paso 5.1 Abra un terminal del símbolo del sistema de Windows y haga un cd en la ruta de la carpeta que tiene los archivos de instalación de MSI AnyConnect y el archivo _anyconnect-win-hide-address-display.mst transforma el archivo copiado/pegado en el paso anterior.
Este ejemplo cd en la siguiente ruta de la carpeta C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preDeploy-k9.
Paso 6. Instale los módulos de AnyConnect con el archivo de transformaciones hide-address.
Paso 6.1 I
Instale cada uno de los módulos de AnyConnect requeridos con el siguiente comando del instalador MSI que apunta al archivo de módulo AnyConnect .msi y al archivo _anyconnect-win-hide-address-display.mst transforma.
msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log
Nota: La configuración del valor ARPSYSTEMCOMPONENT como "1", habilita la función Ocultar AnyConnect de la lista de programas Add/Remove para que el módulo AnyConnect lo instale.
Nota: Cisco recomienda utilizar el archivo de transformación de ejemplo proporcionado para establecer esta propiedad, aplicar la transformación a cada instalador MSI para cada módulo que desee ocultar. Puede descargar las transformaciones de muestra desde la página de descarga del software Cisco AnyConnect Secure Mobility Client.
Nota: Si implementa el cliente principal más uno o más módulos opcionales, debe aplicar la propiedad HIDE-AnyConnect a cada uno de los instaladores. Esta operación es de una sola manera y no se puede eliminar a menos que vuelva a instalar el producto.
Paso 6.2 Este ejemplo instala el módulo AnyConnect CORE y VPN y el archivo _anyconnect-win-hide-address-display.mst, ambos coinciden con los archivos de la versión 4.9.04053 de AnyConnect.
Paso 6.3 En este ejemplo se instala el módulo de seguridad de roaming de AnyConnect Umbrella y el archivo _anyconnect-win-hide-address-display.mst, ambos coinciden con los archivos de la versión 4.9.04053 de AnyConnect.
msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log
Configure el bloqueo de AnyConnect y la opción Ocultar AnyConnect de la lista Agregar o quitar programas con ASDM
Este procedimiento se aplica únicamente a las actualizaciones de implementación web de AnyConnect. Este ejemplo considera una actualización de la implementación web de AnyConnect de la versión 4.9.04053 a 4.9.0.6037.
Configuration Steps
Paso 1. Confirme la versión de AnyConnect que se ejecuta en el equipo con Windows.
Paso 1.1 El equipo de Windows en este ejemplo ya tiene instalada la versión 4.9.04053 de AnyConnect para los módulos Core y VPN y Umbrella Roaming Security.
Paso 2. Descargue el archivo del paquete de implementación de cabecera de AnyConnect para Windows.
Paso 2.1 Acceda a la página de descarga del software de Cisco y descargue la versión del archivo del paquete de implementación de cabecera de AnyConnect para instalarlo en el equipo Windows para la actualización de la implementación web.
Para este ejemplo, descargue el paquete de implementación de cabecera de Windows AnyConnect versión 4.9.06037 (anyconnect-win-4.9.06037-webDeploy-k9.pkg).
Paso 3. Descargue el archivo de transformación del instalador de AnyConnect para Windows.
Paso 3.1 Navegue hasta la página de descarga de software de Cisco y descargue el archivo de transformaciones de AnyConnect Installer para Windows que coincida con la misma versión de AnyConnect que se instalará en el equipo de Windows.
Para este ejemplo, descargue el archivo de transformación para la versión 4.9.06037 de AnyConnect (tools-anyconnect-win-4.9.06037-transforms.zip).
Paso 4. Descomprima el archivo de transformación de AnyConnect descargado.
Paso 4.1 T
tools-anyconnect-win-4.9.06037-transforms.zipel archivo se descomprime en la siguiente ruta de acceso de la carpeta: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforma.
Paso 5. Abra el ASDM y conéctese al ASA con sus credenciales.
Paso 6. Transfiera el paquete de implementación de cabecera AnyConnect del PC a la memoria flash ASA.
Paso 6.1 Navegue hasta Herramientas > Administración de archivos > Transferencia de archivos > Entre PC local y Flash y transfiera el paquete de implementación de cabecera de AnyConnect versión 4.9.06037 (anyconnect-win-4.9.06037-webDeploy-k9.pkg) a la memoria flash ASA.
Paso 7. Configure la versión del paquete de implementación de cabecera de AnyConnect transferida para la actualización de la implementación web.
Paso 7.1 Navegue hasta la configuración ASDM > VPN de acceso remoto > Anyconnect Client Software y seleccione el paquete de implementación de cabecera AnyConnect versión 4.9.04053 instalado.
Paso 7.2 A continuación, seleccione Reemplazar y Examinar Flash para reemplazar el antiguo paquete de implementación de cabecera AnyConnect versión 4.9.04053 por el 4.9.06037 transferido previamente a la memoria flash.
Paso 7.3 Aplique los cambios de configuración y envíelos al ASA.
Paso 8. Importar el ejemplo de AnyConnect transforma los archivos.
Paso 8.1 Navegue hasta Configuración de ASDM > VPN de acceso remoto > Transformaciones del instalador personalizado > Importar e importe el ejemplo transforma los archivos requeridos.
Paso 8.2 Importe el archivo de ejemplo de AnyConnect versión 4.9.06037 _anyconnect-win-lockdown.mst para habilitar el bloqueo de los módulos CORE y VPN y Umbrella Roaming Security.
Introduzca los valores de la siguiente manera:
Nombre: _anyconnect-lockdown
Plataforma: ganar
Seleccione un archivo - Equipo local: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms\_anyconnect-win-lockdown.mst
Nota: El ejemplo de AnyConnect _anyconnect-win-lockdown.mst transforma el archivo para cualquier módulo de AnyConnect requerido.
Paso 8.3 Importe el archivo de muestra AnyConnect versión 4.9.06037 _anyconnect-win-hide-address-display.mst para habilitar el ocultar de la lista de programas add/remove tanto para los módulos CORE & VPN como para los módulos Umbrella Roaming Security.
Introduzca los valores de la siguiente manera:
Nombre: _anyconnect-hideaddremotion
Plataforma: ganar
Seleccione file: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms\_anyconnect-win-hide-address-display.mst
Nota: El archivo _anyconnect-win-hide-address-motion-display.mstsample transforma el archivo para cualquier módulo de AnyConnect requerido.
Paso 8.4 Guarde los cambios de configuración y envíelos al ASA.
Nota: Cuando se escribió este artículo, el nombre utilizado para importar los archivos de transformación de muestra debe tener un guión bajo "_" al comienzo del nombre, esto fuerza las transformaciones de muestra importadas para funcionar para cualquier módulo de AnyConnect. Si utiliza un nombre diferente sin un guión bajo al comienzo del nombre, el ejemplo transforma importado funciona sólo para el módulo CORE y VPN Anyconnect (CSCvy38427).
Paso 9. Actualización automática de la implementación web de AnyConnect.
Paso 9.1 Obligar a que se realice la actualización automática de la implementación web de AnyConnect para los módulos CORE y VPN y Umbrella Roaming Security.
Aquí tiene la configuración de ASA AnyConnect implementada para permitir que los módulos CORE y VPN y Umbrella Roaming Security se actualicen automáticamente:
webvpn
enable outside
anyconnect image disk0:/anyconnect-win-4.9.06037-webdeploy-k9.pkg 1
anyconnect enable
tunnel-group-list enable
group-policy ANYCONNECT_GP1 internal
group-policy ANYCONNECT_GP1 attributes
vpn-tunnel-protocol ssl-client ssl-clientless
split-tunnel-policy tunnelspecified
split-tunnel-network-list value SPLIT_TUNNEL1
webvpn
anyconnect modules value umbrella
tunnel-group MY_TUNNEL1 type remote-access
tunnel-group MY_TUNNEL1 general-attributes
address-pool VPN_POOL1
default-group-policy ANYCONNECT_GP1
tunnel-group MY_TUNNEL1 webvpn-attributes
group-alias SSL_TUNNEL1 enable
Paso 9.2 Inicie una conexión a la cabecera ASA desde el cliente AnyConnect que ejecuta la versión 4.9.04053 en el equipo Windows.
Paso 9.3 Después de esto, los módulos AnyConnect Core & VPN y Umbrella Roaming Security se actualizan a la versión 4.9.06037 con el bloqueo y la ocultación de las funciones de agregar/quitar lista de programas activadas.
Verificación
Confirme que la función de bloqueo está activada para los módulos de AnyConnect instalados
Paso 1. Abra los servicios de Windows (services.msc) de la siguiente manera.
Paso 2. A continuación, rHaga clic con el botón derecho del ratón sobre los servicios CORE y VPN y Umbrella Roaming Security.
Puede confirmar que la función de bloqueo está habilitada porque no se le permite iniciar, detener, pausar, reanudar o reiniciar los servicios para estos módulos de AnyConnect.
Confirme el Ocultar de la lista Agregar o quitar programas se habilita para los módulos de AnyConnect instalados
Paso 1. Abra el cliente AnyConnect de la siguiente manera.
Paso 2. Confirme la versión de AnyConnect instalada.
Para esto, seleccione el icono INFO debajo del cliente AnyConnect de la siguiente manera:
Paso 2.1 Para la versión 4.9.04053 de AnyConnect:
Paso 2.2 Para la versión 4.9.06037 de AnyConnect:
Paso 3. Confirme que tanto los módulos AnyConnect CORE y VPN como Umbrella Roaming Security estén ocultos en la Lista de programas Add/Remove Windows.
Para ello, vaya al Panel de control de Windows > Desinstalar un programa.
Troubleshoot
No hay procedimiento de resolución de problemas que seguir para este documento.
Errores relacionados
CSCvy38427 ASDM: El nombre de archivo de la transformación debe comenzar con un guión bajo "_" para entrar en vigor en varios módulos de CA
Información Relacionada
Soporte Técnico y Documentación - Cisco Systems
Guía del administrador de Cisco AnyConnect Secure Mobility Client, versión 4.0
Comentarios