Implementación de AnyConnect Web Security a través de ASA

Introducción

Este documento describe la implementación del módulo de seguridad web AnyConnect para VPN basada en cliente que termina en Cisco Adaptive Security Appliances (ASA).

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Antecedentes

• Cargue la imagen de Anyconnect (recomiende v4.1+) en ASA

• Habilite el perfil VPN en ASA, como se muestra en la imagen

Configurar

Implementación de Anyconnect WebSecurity a través de ASA

Los pasos involucrados en la configuración son:

• Configurar el perfil del cliente de Anyconnect Websecurity
• Editar política de grupo VPN de Anyconnect
• Establezca la exclusión dividida para Web Security y seleccione descargar el módulo cliente de Web Security  
• Editar la política de grupo VPN de Anyconnect y seleccionar el perfil de cliente de Web Security

Paso 1. Configuración del perfil de cliente de Anyconnect Websecurity

Vaya a Configuración >Eliminar VPN de Acceso > Acceso a Red (Cliente) >Perfil de Cliente de Anyconnect, haga clic en

Agregue y seleccione el perfil del cliente de AnyConnect Web Security.

Nota: El nombre del perfil está codificado en el lado del cliente, por lo que independientemente del nombre configurado, el ASA siempre envía Websecurity_serviceprofile.wso al cliente.

Nota: Este es un perfil predeterminado sin clave de licencia de autenticación.

Paso 2. Edite el perfil recién creado para agregar la clave de licencia de autenticación y personalizar la configuración.

Paso 3. Establecer la exclusión dividida para Web Security y seleccionar descargar el módulo cliente de seguridad web

Edite la política del grupo VPN de Anyconnect, como se muestra en la imagen. 

Como se muestra en la imagen, configure la exclusión dividida para Web Security.

  Seleccione descargar el módulo cliente de Web Security, como se muestra en la imagen.

Paso 4. Descargar perfil de cliente de seguridad web

Edite Anyconnect VPN group policy > Client Profiles to Download > Add, ahora elija el Perfil creado (como en el Paso 1)

Haga clic en Aceptar y aplique los cambios.

Verificación

Cuando se conecta a Anyconnect VPN, ASA aplicará el módulo de seguridad web de Anyconnect a través de VPN, como se muestra en la imagen.

Si ya ha iniciado sesión, se recomienda cerrar la sesión y volver a iniciarla para que se habilite la funcionalidad.

Actualización/Reversión de Anyconnect

La funcionalidad de implementación permanece inalterada si se actualiza la versión. Sin embargo, no es posible volver a la versión anterior. Por lo tanto, con el ejemplo actual de 4.1.x, se puede actualizar a la versión 4.2

Los pasos son los siguientes:

Paso 1. Cargue el último paquete Anyconnect 4.2 a flash y reemplace 4.1 por el último archivo.

En Anyconnect Client Software > Replace y luego elija el archivo de imagen reciente.

Paso 2. Cuando vuelva a conectarse a Anyconnect VPN, ASA aplicará el módulo Anyconnect más reciente a través de VPN sin alteraciones en el perfil de seguridad web.

Nota: No se admite la reversión.

Troubleshoot

En esta sección se brinda información que puede utilizar para resolver problemas en su configuración.

Uso de DART para recopilar información de resolución de problemas:

DART es la herramienta de diagnóstico e informes de AnyConnect que puede utilizar para recopilar datos útiles para solucionar problemas de instalación y conexión de AnyConnect. DART admite Windows 7, Windows Vista, Windows XP, Mac versión 10.5 y 10.6 y Linux Redhat. El asistente DART se ejecuta en el equipo que ejecuta AnyConnect. Se ensamblan los registros, el estado y la información de diagnóstico para el análisis de Cisco Technical Assistance Center (TAC) y no se necesitan privilegios de administrador.

Aunque DART no se basa en ningún componente del software de AnyConnect para ejecutarse, aún así puede iniciarlo desde AnyConnect, recopilará el archivo de registro de AnyConnect, si está disponible. Actualmente, DART está disponible como instalación independiente o el administrador puede enviar esta aplicación al equipo cliente como parte de la infraestructura de descarga dinámica de AnyConnect. Una vez instalado, el usuario final puede iniciar el asistente desde la carpeta de Cisco disponible a través del botón Inicio.