ASA: VPN de acceso remoto en modo multicontexto (AnyConnect)
Introducción
Este documento describe cómo configurar la red privada virtual (VPN) de acceso remoto (RA) en el firewall Cisco Adaptive Security Appliance (ASA) en modo de contexto múltiple (MC) mediante la CLI. Muestra el Cisco ASA en el modo de contexto múltiple con características soportadas/no soportadas y requisitos de licencia con respecto a RA VPN.
Prerequisites
Requirements
Cisco recomienda que tenga conocimiento sobre estos temas:
- Configuración de ASA AnyConnect SSL
- Configuración de Contexto Múltiple ASA
Componentes Utilizados
La información que contiene este documento se basa en las siguientes versiones de software y hardware.
- AnyConnect Secure Mobility Client versión 4.4.00243
- Dos ASA5525 con la versión 9.6(2) del software ASA
Antecedentes
Multi-context es una forma de virtualización que permite que varias copias independientes de una aplicación se ejecuten simultáneamente en el mismo hardware, con cada copia (o dispositivo virtual) apareciendo como un dispositivo físico independiente para el usuario. Esto permite que un solo ASA aparezca como varios ASA para varios usuarios independientes. La familia ASA ha soportado firewalls virtuales desde su lanzamiento inicial; sin embargo, no había compatibilidad con virtualización para el acceso remoto en el ASA. Se agregó compatibilidad con VPN LAN2LAN (L2L) para la versión 9.0 con múltiples contextos.
Historial de características para multicontexto
Nuevas funciones añadidas en ASA 9.6(2)
| Función | Descripción |
| Función Pre-fill/Username-from-cert para el modo multiple context | La compatibilidad con AnyConnect SSL se amplía, lo que permite que las CLI de características pre-fill/username-from-certificate, previamente disponibles sólo en modo único, se habiliten también en modo de contexto múltiple. |
| Virtualización Flash para VPN de acceso remoto | La VPN de acceso remoto en modo de contexto múltiple ahora admite la virtualización flash. Cada contexto puede tener un espacio de almacenamiento privado y un lugar de almacenamiento compartido basado en la memoria flash total disponible. |
| Perfiles de cliente AnyConnect compatibles con dispositivos multicontexto | Los perfiles de cliente de AnyConnect son compatibles con dispositivos multicontexto. Para agregar un nuevo perfil mediante ASDM, debe tener AnyConnect Secure Mobility Client versión 4.2.00748 o 4.3.03013 y posteriores. |
| Conmutación por fallo stateful para conexiones AnyConnect en modo de contexto múltiple | La conmutación por fallas stateful ahora es compatible con las conexiones de AnyConnect en el modo multiple context. |
| La política de acceso dinámico (DAP) de VPN de acceso remoto se admite en modo de contexto múltiple | Ahora puede configurar DAP por contexto en el modo de contexto múltiple. |
| Remote Access VPN CoA (Cambio de autorización) es compatible en modo de contexto múltiple | Ahora puede configurar CoA por contexto en el modo de contexto múltiple. |
| La localización de VPN de acceso remoto se admite en el modo de contexto múltiple | La localización es compatible de forma global. Sólo hay un conjunto de archivos de localización que se comparten en diferentes contextos. |
| Se soporta el almacenamiento de captura de paquetes por contexto. | El propósito de esta función es permitir al usuario copiar una captura directamente desde un contexto al almacenamiento externo o al almacenamiento privado de contexto en la memoria flash. Esta función también permite copiar la captura sin procesar a las herramientas de captura de paquetes externas como, por ejemplo, el tiburón de alambre desde un contexto. |
Características de ASA 9.5(2)
| Función | Descripción |
| AnyConnect 4.x y versiones posteriores (sólo SSL VPN; sin compatibilidad con IKEv2) | Compatibilidad con virtualización basada en múltiples contextos para conexiones VPN Remote Access (RA) al ASA. |
| Configuración centralizada de la imagen de AnyConnect |
|
| Actualización de imagen de AnyConnect |
Los perfiles de cliente de AnyConnect son compatibles con dispositivos multicontexto. Para agregar un nuevo perfil mediante ASDM, debe tener AnyConnect Secure Mobility Client versión 4.2.00748 o 4.3.03013 y posteriores. |
| Administración de recursos de contexto para conexiones AnyConnect |
|
Licencias
- Se requiere licencia AnyConnect Apex
- Licencias Essentials ignoradas/no permitidas
- Capacidad de configuración para controlar el uso máximo de licencias por contexto
- Capacidad de configuración para permitir la ráfaga de licencias por contexto
Configurar
Diagrama de la red
El siguiente procedimiento de configuración es con la versión ASA 9.6.2 y posterior, que ilustra algunas de las nuevas funciones disponibles.Las diferencias en el procedimiento de configuración para las versiones ASA anteriores a 9.6.2 (y superiores a 9.5.2) se documentan en el Apéndice A del documento.
A continuación se describen las configuraciones necesarias en Contexto del sistema y Contextos personalizados para configurar VPN de acceso remoto:
Configuraciones iniciales en el contexto del sistema
Para empezar, en el contexto del sistema configure la conmutación por fallas, la asignación de recursos VPN, los contextos personalizados y la verificación de la licencia Apex. El procedimiento y las configuraciones se describen en esta sección y en la siguiente
Paso 1. Configuración de conmutación por fallas.
!! Active Firewall failover failover lan unit primary failover lan interface LAN_FAIL GigabitEthernet0/3 failover link LAN_FAIL GigabitEthernet0/3 failover interface ip LAN_FAIL 10.1.1.1 255.255.255.252 standby 10.1.1.2 failover group 1 failover group 2 !! Secondary Firewall failover failover lan unit secondary failover lan interface LAN_FAIL GigabitEthernet0/3 failover link LAN_FAIL GigabitEthernet0/3 failover interface ip LAN_FAIL 10.1.1.1 255.255.255.252 standby 10.1.1.2 failover group 1 failover group 2
Paso 2. Asigne un recurso VPN.
Configurado mediante la configuración de clase existente. Las licencias se permiten por el número de licencias o el % del total por contexto
Nuevos tipos de recursos introducidos para MC RAVPN:
- VPN AnyConnect: Garantizado a un contexto y que no puede sobresuscribirse
- VPN Burst AnyConnect: Permitir licencias adicionales de contexto más allá del límite garantizado. La agrupación de ráfagas consiste en licencias que no están garantizadas a un contexto y se permite a un contexto de ráfaga por orden de llegada
Modelo de aprovisionamiento de licencias VPN:
class resource02
limit-resource VPN AnyConnect 4000
limit-resource VPN Burst AnyConnect 2000
class resource01
limit-resource VPN AnyConnect 4000
limit-resource VPN Burst AnyConnect 2000
Paso 3. Configure contextos y asigne recursos.
admin-context admin context admin allocate-interface GigabitEthernet0/0 config-url disk0:/admin context context1 member resource01 allocate-interface GigabitEthernet0/0 allocate-interface GigabitEthernet0/1 config-url disk0:/context1 join-failover-group 1 context context2 member resource02 allocate-interface GigabitEthernet0/0 allocate-interface GigabitEthernet0/2 config-url disk0:/context2 join-failover-group 2
Paso 4. Verifique que Apex License esté instalada en el ASA, consulte el siguiente enlace para obtener más detalles.
Activación o desactivación de claves de activación
Paso 5. Configure un paquete de imagen de Anyconnect. Dependiendo de la versión de ASA que se esté utilizando, hay dos maneras de cargar la imagen de Anyconnect y configurar para RA VPN. Si la versión es 9.6.2 y posterior, se puede utilizar la virtualización de Flash. Para las versiones anteriores a la 9.6.2, consulte el Apéndice A
Virtualización Flash
La VPN de acceso remoto requiere almacenamiento flash para varias configuraciones e imágenes como paquetes de AnyConnect, paquetes de análisis de host, configuración de DAP, complementos, personalización y localización, etc. En el modo multicontexto antes de 9.6.2, los contextos de usuario no pueden acceder a ninguna parte de la memoria flash y la memoria flash se administra y se puede acceder a ella sólo a través del contexto del sistema.
Para resolver esta limitación, mientras se mantiene la seguridad y privacidad de los archivos en la memoria flash, así como la capacidad de compartir la memoria flash de forma justa entre contextos, se crea un sistema de archivos virtual para la memoria flash en modo multicontexto. El propósito de esta función es permitir que las imágenes de AnyConnect se configuren por contexto en lugar de que se configuren globalmente. Esto permite que diferentes usuarios tengan instaladas diferentes imágenes de AnyConnect. Además, al permitir compartir imágenes de AnyConnect, se puede reducir la cantidad de memoria que consumen estas imágenes. El almacenamiento compartido se utiliza para almacenar archivos y paquetes comunes a todos los contextos.
Cada contexto tendrá permiso de lectura/escritura/eliminación para su propio almacenamiento privado y tendrá acceso de sólo lectura a su almacenamiento compartido. Sólo el contexto del sistema tendrá acceso de escritura al almacenamiento compartido.
En las siguientes configuraciones, se configurará el contexto personalizado 1 para ilustrar el almacenamiento privado, y el contexto personalizado 2 se configurará para ilustrar el almacenamiento compartido.
Almacenamiento privado
Puede especificar un espacio de almacenamiento privado por contexto. Puede leer/escribir/eliminar desde este directorio dentro del contexto (así como desde el espacio de ejecución del sistema). En la ruta especificada, ASA crea un subdirectorio con el nombre del contexto.
Por ejemplo, para context1 si especifica disk0:/private-storage para la trayectoria, el ASA crea un sub-directorio para este contexto en disk0:/private-storage/context1/.
Almacenamiento compartido
Se puede especificar un espacio de almacenamiento compartido de sólo lectura por contexto. Para reducir la duplicación de archivos grandes comunes que se pueden compartir en todos los contextos (como los paquetes de AnyConnect), se puede utilizar el espacio de almacenamiento compartido.
Configuraciones para utilizar el espacio de almacenamiento privado
!! Create a directory in the system context.
ciscoasa(config)# mkdir private_context1
!! Define the directory as private storage url in the respective context.
ciscoasa(config)# context context1 ciscoasa(config-ctx)# storage-url private disk0:/private_context1 context1
!! Transfer the anyconnect image in the sub directory.
ciscoasa(config)# copy flash:/anyconnect-win-4.2.01035-k9.pkg flash:/private_context1/context1
Configuraciones para utilizar el espacio de almacenamiento compartido
!! Create a directory in the system context.
ciscoasa(config)# mkdir shared
!! Define the directory as shared storage url in the respective contexts.
ciscoasa(config)# context context2 ciscoasa(config-ctx)# storage-url shared disk0:/shared shared
!! Transfer the anyconnect image in the shared directory.
ciscoasa(config)# copy disk0:/anyconnect-win-4.3.05019-k9.pkg disk0:/shared
Verificar la imagen en los contextos respectivos
!! Custom Context 1 configured for private storage.
ciscoasa(config)#changeto context context1
ciscoasa/context1(config)# show context1:
213 19183882 Jun 12 2017 13:29:51 context1:/anyconnect-win-4.2.01035-k9.pkg
!! Custom Context 2 configured for shared storage.
ciscoasa(config)#changeto context context2
ciscoasa/context2(config)# show shared:
195 25356342 May 24 2017 08:07:02 shared:/anyconnect-win-4.3.05017-k9.pkg
Paso 6. A continuación se muestra el resumen de las configuraciones en el contexto del sistema que incluye las configuraciones de virtualización de flash descritas anteriormente:
Contexto del sistema
context context1
member resource01
allocate-interface GigabitEthernet0/0
storage-url private disk0:/private_context1 context1
config-url disk0:/context1.cfg
join-failover-group 1
!
context context2
member resource02
allocate-interface GigabitEthernet0/1
storage-url shared disk0:/shared shared
config-url disk0:/context2.cfg
join-failover-group 2
Paso 7: Configure los dos contextos personalizados como se muestra a continuación
Contexto personalizado 1
!! Enable WebVPN on respective interfaces
webvpn
enable outside
anyconnect image context1:/anyconnect-win-4.2.01035-k9.pkg 1
anyconnect enable
tunnel-group-list enable
!! IP pool and username configuration
ip local pool mypool 192.168.1.1-192.168.50.1 mask 255.255.0.0
username cisco password cisco
!! Configure the required connection profile for SSL VPN
access-list split standard permit 192.168.1.0 255.255.255.0
group-policy GroupPolicy_MC_RAVPN_1 internal
group-policy GroupPolicy_MC_RAVPN_1 attributes
banner value "Welcome to Context1 SSLVPN"
wins-server none
dns-server value 192.168.20.10
vpn-tunnel-protocol ssl-client
split-tunnel-policy tunnelspecified
split-tunnel-network-list value split
default-domain value cisco.com
tunnel-group MC_RAVPN_1 type remote-access
tunnel-group MC_RAVPN_1 general-attributes
address-pool mypool
default-group-policy GroupPolicy_MC_RAVPN_1
tunnel-group MC_RAVPN_1 webvpn-attributes
group-alias MC_RAVPN_1 enable
Contexto personalizado 2
!! Enable WebVPN on respective interfaces
webvpn
enable outside
anyconnect image shared:/anyconnect-win-4.3.05017-k9.pkg 1
anyconnect enable
tunnel-group-list enable
!! IP pool and username configuration
ip local pool mypool 192.168.51.1-192.168.101.1 mask 255.255.0.0
username cisco password cisco
!! Configure the required connection profile for SSL VPN
access-list split standard permit 192.168.1.0 255.255.255.0
group-policy GroupPolicy_MC_RAVPN_2 internal
group-policy GroupPolicy_MC_RAVPN_2 attributes
banner value "Welcome to Context2 SSLVPN"
wins-server none
dns-server value 192.168.60.10
vpn-tunnel-protocol ssl-client
split-tunnel-policy tunnelspecified
split-tunnel-network-list value split
default-domain value cisco.com
!
!
tunnel-group MC_RAVPN_2 type remote-access
tunnel-group MC_RAVPN_2 general-attributes
address-pool mypool
default-group-policy GroupPolicy_MC_RAVPN_2
tunnel-group MC_RAVPN_2 webvpn-attributes
group-alias MC_RAVPN_2 enable
Verificación
Utilize esta sección para confirmar que su configuración funcione correctamente.
Verifique si la licencia Apex está instalada
ASA no reconoce específicamente una licencia AnyConnect Apex, pero aplica las características de licencia de una licencia Apex que incluyen:
- Licencia de AnyConnect Premium al límite de la plataforma
- AnyConnect para móvil
- AnyConnect para teléfono Cisco VPN
- Evaluación avanzada de terminales
Se generará un syslog cuando se bloquee una conexión porque no se ha instalado una licencia AnyConnect Apex.
Verifique si el paquete AnyConnect está disponible en contextos personalizados (9.6.2 y superiores)
! AnyConnect package is available in context1
ciscoasa/context1(config)# show context1:
213 19183882 Jun 12 2017 13:29:51 context1:/anyconnect-win-4.2.01035-k9.pkg
ciscoasa/pri/context1/act# show run webvpn
webvpn
enable outside
anyconnect image context1:/anyconnect-win-4.2.01035-k9.pkg 1
anyconnect enable
tunnel-group-list enable
En caso de que la imagen no esté presente en el contexto personalizado, consulte la configuración de imagen de Anyconnect (9.6.2 y superiores).
Verificar si los usuarios pueden conectarse a través de AnyConnect en contextos personalizados
!! One Active Connection on Context1
ciscoasa/pri/context1/act# show vpn-sessiondb anyconnect
Session Type: AnyConnect
Username : cisco Index : 5
Assigned IP : 192.168.1.1 Public IP : 10.142.168.102
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Premium, AnyConnect for Mobile
Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES256
Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA1
Bytes Tx : 3186 Bytes Rx : 426
Group Policy : GroupPolicy_MC_RAVPN_1 Tunnel Group : MC_RAVPN_1
Login Time : 15:33:25 UTC Thu Dec 3 2015
Duration : 0h:00m:05s
Inactivity : 0h:00m:00s
VLAN Mapping : N/A VLAN : none
Audt Sess ID : 0a6a2c2600005000566060c5
Security Grp : none
!! Changing Context to Context2
ciscoasa/pri/context1/act# changeto context context2
!! One Active Connection on Context2
ciscoasa/pri/context2/act# show vpn-sessiondb anyconnect
Session Type: AnyConnect
Username : cisco Index : 1
Assigned IP : 192.168.51.1 Public IP : 10.142.168.94
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Premium
Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES256 DTLS-Tunnel: (1)AES256
Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA1 DTLS-Tunnel: (1)SHA1
Bytes Tx : 10550 Bytes Rx : 1836
Group Policy : GroupPolicy_MC_RAVPN_2 Tunnel Group : MC_RAVPN_2
Login Time : 15:34:16 UTC Thu Dec 3 2015
Duration : 0h:00m:17s
Inactivity : 0h:00m:00s
VLAN Mapping : N/A VLAN : none
Audt Sess ID : 0a6a2c2400001000566060f8
Security Grp : none
!! Changing Context to System
ciscoasa/pri/context2/act# changeto system
!! Notice total number of connections are two (for the device)
ciscoasa/pri/act# show vpn-sessiondb license-summary
---------------------------------------------------------------------------
VPN Licenses and Configured Limits Summary
---------------------------------------------------------------------------
Status : Capacity : Installed : Limit
-----------------------------------------
AnyConnect Premium : ENABLED : 10000 : 10000 : NONE
Other VPN (Available by Default) : ENABLED : 10000 : 10000 : NONE
AnyConnect for Mobile : ENABLED(Requires Premium or Essentials)
Advanced Endpoint Assessment : ENABLED(Requires Premium)
AnyConnect for Cisco VPN Phone : ENABLED
VPN-3DES-AES : ENABLED
VPN-DES : ENABLED
---------------------------------------------------------------------------
---------------------------------------------------------------------------
VPN Licenses Usage Summary
---------------------------------------------------------------------------
Local : Shared : All : Peak : Eff. :
In Use : In Use : In Use : In Use : Limit : Usage
----------------------------------------------------
AnyConnect Premium : 2 : 0 : 2 : 2 : 10000 : 0%
AnyConnect Client : : 2 : 2 : 0%
AnyConnect Mobile : : 2 : 2 : 0%
Other VPN : : 0 : 0 : 10000 : 0%
Site-to-Site VPN : : 0 : 0 : 0%
---------------------------------------------------------------------------
!! Notice the resource usage per Context
ciscoasa/pri/act# show resource usage all resource VPN AnyConnect
Resource Current Peak Limit Denied Context
AnyConnect 1 1 4000 0 context1
AnyConnect 1 1 4000 0 context2
Troubleshoot
Esta sección proporciona la información que puede utilizar para resolver problemas de su configuración.
Resolución de problemas de AnyConnect
Apéndice A: Configuración de la imagen de Anyconnect para las versiones anteriores a la 9.6.2
La imagen de AnyConnect se configura globalmente en el contexto de administración para las versiones de ASA anteriores a la 9.6.2 (tenga en cuenta que la función está disponible a partir de la 9.5.2) porque el almacenamiento flash no está virtualizado y sólo se puede acceder a él desde el contexto del sistema.
Paso 5.1. Copie el archivo del paquete de AnyConnect en la memoria flash en el contexto del sistema.
Contexto del sistema:
ciscoasa(config)# show flash:
195 25356342 May 24 2017 08:07:02 anyconnect-win-4.3.05017-k9.pkg
Paso 5.2. Configurar la imagen de Anyconnect en el contexto Admin.
Contexto de administración:
webvpn
anyconnect image disk0:/anyconnect-win-4.3.05017-k9.pkg 1
anyconnect enable
Nota: La imagen de Anyconnect sólo se puede configurar en el contexto de administración. Todos los contextos se refieren automáticamente a esta configuración global de la imagen de Anyconnect.
Contexto personalizado 1:
!! Shared interface configuration - OUTSIDE (GigabitEthernet0/0)
interface GigabitEthernet0/0
nameif OUTSIDE
security-level 0
ip address 10.106.44.38 255.255.255.0 standby 10.106.44.39
!! Enable WebVPN on respective interfaces
webvpn
enable OUTSIDE
anyconnect enable
!! IP pool and username configuration
ip local pool mypool 192.168.1.1-192.168.50.1 mask 255.255.0.0
username cisco password cisco
!! Configure the require connection profile for SSL VPN
group-policy GroupPolicy_MC_RAVPN_1 internal
group-policy GroupPolicy_MC_RAVPN_1 attributes
banner value "Welcome to Context1 SSLVPN"
wins-server none
dns-server value 192.168.20.10
vpn-tunnel-protocol ssl-client
split-tunnel-policy tunnelspecified
split-tunnel-network-list value split
default-domain value cisco.com
tunnel-group MC_RAVPN_1 type remote-access
tunnel-group MC_RAVPN_1 general-attributes
address-pool mypool
default-group-policy GroupPolicy_MC_RAVPN_1
tunnel-group MC_RAVPN_1 webvpn-attributes
group-alias MC_RAVPN_1 enable
group-url https://10.106.44.38/context1 enable
Contexto personalizado 2:
!! Shared interface configuration - OUTSIDE (GigabitEthernet0/0)
interface GigabitEthernet0/0
nameif OUTSIDE
security-level 0
ip address 10.106.44.36 255.255.255.0 standby 10.106.44.37
!! Enable WebVPN on respective interface
webvpn
enable OUTSIDE
anyconnect enable
!! IP pool and username configuration
ip local pool mypool 192.168.51.1-192.168.101.1 mask 255.255.0.0
username cisco password cisco
!! Configure the require connection profile for SSL VPN
group-policy GroupPolicy_MC_RAVPN_2 internal
group-policy GroupPolicy_MC_RAVPN_2 attributes
banner value "Welcome to Context2 SSLVPN"
wins-server none
dns-server value 192.168.60.10
vpn-tunnel-protocol ssl-client
split-tunnel-policy tunnelspecified
split-tunnel-network-list value split
default-domain value cisco.com
tunnel-group MC_RAVPN_2 type remote-access
tunnel-group MC_RAVPN_2 general-attributes
address-pool mypool
default-group-policy GroupPolicy_MC_RAVPN_2
tunnel-group MC_RAVPN_2 webvpn-attributes
group-alias MC_RAVPN_2 enable
group-url https://10.106.44.36/context2 enable
Verifique si AnyConnect Package está instalado en el contexto de administración y está disponible en contextos personalizados (antes de 9.6.2)
!! AnyConnect package is installed in Admin Context
ciscoasa/pri/admin/act# show run webvpn
webvpn
anyconnect image disk0:/anyconnect-win-3.1.10010-k9.pkg 1
anyconnect enable
ciscoasa/pri/admin/act# show webvpn anyconnect
1. disk0:/anyconnect-win-3.1.10010-k9.pkg 1 dyn-regex=/Windows NT/
CISCO STC win2k+
3,1,10010
Hostscan Version 3.1.10010
Wed 07/22/2015 12:06:07.65
1 AnyConnect Client(s) installed
!! AnyConnect package is available in context1
ciscoasa/pri/admin/act# changeto context context1
ciscoasa/pri/context1/act# show run webvpn
webvpn
enable OUTSIDE
anyconnect enable
tunnel-group-list enable
ciscoasa/pri/context1/act# show webvpn anyconnect
1. disk0:/anyconnect-win-3.1.10010-k9.pkg 1 dyn-regex=/Windows NT/
CISCO STC win2k+
3,1,10010
Hostscan Version 3.1.10010
Wed 07/22/2015 12:06:07.65
1 AnyConnect Client(s) installed
Referencias
Información Relacionada
- Cisco ASA 5500 Series Adaptive Security Appliances
- Guía de solución de problemas de AnyConnect VPN Client: problemas comunes
- Administración, supervisión y resolución de problemas de sesiones de AnyConnect
- Soporte Técnico y Documentación - Cisco Systems
- https://www.cisco.com/c/en/us/td/docs/security/asa/roadmap/asa_new_features.pdf
ComentariosContacte a Cisco
- Abrir un caso de soporte
- (Requiere un Cisco Service Contract)