Ejemplo de Configuración de la Función PIX/ASA: IPSec VPN Client Auto-Update

Introducción

Este documento describe cómo configurar la función Cisco VPN Client Auto-Update en Cisco ASA 5500 Series Adaptive Security Appliance y Cisco PIX 500 Series Security Appliances.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• El Cisco ASA 5500 Series Adaptive Security Appliance ejecuta la versión 7.x y posteriores

• Cisco PIX 500 Series Security Appliances ejecuta la versión 7.x y posterior

• Cisco Adaptive Security Device Manager (ASDM) versión 5.x y posteriores

• Cisco VPN Client 4.x y versiones posteriores

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Convenciones

Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos.

Cómo Configurar Client Update para Windows con CLI

La función de actualización de cliente permite que los administradores de una ubicación central notifiquen automáticamente a los usuarios del cliente VPN cuándo es el momento de actualizar el software del cliente VPN y la imagen del cliente de hardware VPN 3002.

Ejecute el comando client-update en el modo de configuración tunnel-group ipsec-attributes para configurar la actualización del cliente. Si el cliente ya está ejecutando una versión de software en la lista de números de revisión, no necesita actualizar su software. Si el cliente no ejecuta una versión de software en la lista, debe actualizarse. Puede especificar hasta cuatro entradas de actualización de cliente.

La sintaxis del comando es la siguiente:

client-update type type {url url-string} {rev-nums rev-nums} 
no client-update [type]

• rev-nums rev-nums—Especifica las imágenes de software o firmware para este cliente. Introduzca un máximo de cuatro, separados por comas.

• type: especifica los sistemas operativos a los que se notificará una actualización de cliente. La lista de sistemas operativos incluye los siguientes:

  • Microsoft Windows: todas las plataformas basadas en Windows

  • WIN9X: plataformas Windows 95, Windows 98 y Windows ME

  • WinNT: plataformas Windows NT 4.0, Windows 2000 y Windows XP

  • vpn3002: cliente de hardware VPN 3002

• url url-string: especifica la URL para la imagen del software/firmware. Esta URL debe señalar a un archivo apropiado para el cliente.

Este ejemplo configura los parámetros de actualización del cliente para el grupo de túnel de acceso remoto denominado remotegrp. Designa el número de revisión 4.6.1 y la URL para la recuperación de la actualización, que es https://support/updates.

hostname(config)#tunnel-group remotegrp type ipsec_ra
hostname(config)#tunnel-group remotegrp ipsec-attributes
hostname(config-ipsec)#client-update type windows url 
https://support/updates/rev-nums 4.6.1

Cómo Configurar Client Update para Windows con ASDM

Este documento supone que la configuración básica, tal como la configuración de la interfaz, ya fue realizada y funciona correctamente.

Consulte Cómo Permitir el Acceso HTTPS para ASDM para permitir que el ASA sea configurado por el ASDM

ASDM abarca dos tipos de actualización de cliente: una que admite clientes Windows y clientes de hardware VPN 3002 a través de un grupo de túnel, y la otra que admite dispositivos ASA que actúan como un servidor de actualización automática.

Los usuarios remotos pueden utilizar versiones de cliente de hardware o software de VPN obsoletas. Puede realizar una actualización de cliente en cualquier momento para realizar estas funciones:

• Habilite la actualización de revisiones de cliente.

• Especifique los tipos y números de revisión de los clientes a los que se aplica la actualización.

• Proporcione una dirección URL o IP desde la que obtener la actualización.

• Si lo desea, notifique a los usuarios del cliente de Windows que deben actualizar su versión de cliente VPN.

• En el caso de los clientes de Windows, puede proporcionar un mecanismo para que los usuarios realicen la actualización.

• Para los usuarios del cliente de hardware VPN 3002, la actualización ocurre automáticamente, sin notificación.

Complete estos pasos para configurar una actualización de cliente:

1. Elija Configuration > VPN > General > Client Update para ir a la ventana de actualización del cliente. Se abrirá la ventana Actualización de cliente.

   1. Marque la casilla de verificación Enable Client Update para habilitar la actualización del cliente.

   2. Elija el tipo de cliente al que desea aplicar la actualización de cliente. Los tipos de cliente disponibles son Todos los clientes de hardware basados en Windows, Windows 95, 98 o ME, Windows NT 4.0, 2000 o XP y VPN 3002.

      Si el cliente ya está ejecutando una versión de software en la lista de números de revisión, no necesita actualizar su software. Si el cliente no está ejecutando una versión de software en la lista, debe actualizarse. Puede especificar hasta tres de estas entradas de actualización de cliente. La selección Todos los basados en Windows cubre todas las plataformas de Windows permitidas. Si selecciona esta opción, no especifique los tipos de cliente de Windows individuales.

   3. Haga clic en Edit para especificar las revisiones aceptables del cliente y el origen para la imagen actualizada del software o firmware para la actualización del cliente.

      

2. Aparece la ventana Editar entrada de actualización de cliente, que muestra la selección del tipo de cliente.

   

3. Especifique la actualización de cliente que desea aplicar a todos los clientes del tipo seleccionado en todo el dispositivo de seguridad. Es decir, especifique el tipo de cliente, la URL o dirección IP desde la cual obtener la imagen actualizada y el número o números de revisión aceptables para ese cliente. Puede especificar hasta cuatro números de revisión, separados por comas. Las entradas aparecen en las columnas correspondientes de la tabla de la ventana Actualización de cliente después de hacer clic en Aceptar.

   Si el número de revisión del cliente coincide con uno de los números de revisión especificados, no es necesario actualizar el cliente.

   Nota: Para todos los clientes de Windows, debe utilizar el protocolo http:// o https:// como prefijo para la URL. Para el cliente de hardware VPN 3002, debe especificar el protocolo tftp:// en su lugar.

   Inicia una actualización de cliente para todos los clientes de Windows para un grupo de túnel de acceso remoto que ejecuta revisiones anteriores a la versión 4.6.1 y especifica la dirección URL para la recuperación de la actualización como https://support/updates:

   

   Alternativamente, puede configurar la actualización del cliente sólo para tipos de cliente individuales, en lugar de para todos los clientes de Windows, que puede ver si el paso 1-c.

   Los clientes VPN 3002 se actualizan sin la intervención del usuario y los usuarios no reciben ningún mensaje de notificación.

   Puede hacer que el explorador inicie automáticamente una aplicación si incluye el nombre de la aplicación al final de la dirección URL; por ejemplo: https://support/updates/vpnclient.exe.

4. Opcionalmente, puede enviar un aviso a los usuarios activos con clientes de Windows obsoletos que necesiten actualizar su cliente. Utilice el área Live Client Update de la ventana Client Update para enviar este aviso. Elija el grupo de túnel (o Todos) y haga clic en Actualizar ahora. Aparece un cuadro de diálogo en la figura y le pide que confirme que desea notificar la actualización a los clientes conectados.

   

   Los usuarios designados ven una ventana emergente, que les ofrece la oportunidad de iniciar un navegador y descargar el software actualizado desde el sitio que especificó en la URL. La única parte de este mensaje que puede configurar es la dirección URL. (Consulte los pasos 1-b o 1-c.) Los usuarios que no estén activos recibirán un mensaje de notificación la próxima vez que inicien sesión. Puede enviar este aviso a todos los clientes activos de todos los grupos de túnel o a los clientes de un grupo de túnel determinado.

   Si el número de revisión del cliente coincide con uno de los números de revisión especificados, no es necesario actualizar el cliente y no se envía ningún mensaje de notificación al usuario. Los clientes VPN 3002 se actualizan sin la intervención del usuario y los usuarios no reciben ningún mensaje de notificación.

Verificación

Actualmente, no hay un procedimiento de verificación disponible para esta configuración.

Información Relacionada

• Soporte Técnico y Documentación - Cisco Systems