Configuración del túnel de máquina en Cisco Secure Access

Introducción

Este documento describe cómo configurar Secure Access como gateway VPN y aceptar conexiones de Secure Client a través del túnel de la máquina VPN.

---

Diagrama de la red

---

Prerequisites

• Rol de administrador completo en Secure Access
• Grupo de IP de usuario en Cisco Secure Access 
• Al menos un perfil de usuario VPN configurado en Cisco Secure Access 

---

Requirements

Se recomienda que tenga conocimiento de estos temas:

• OpenSSL
• 509 Certificados

---

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Acceso seguro de Cisco
• Cisco Secure Client 5.1.10
• Windows 11
• Windows Server 2019 (CA)

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

---

Antecedentes

Un túnel de máquina VPN de acceso seguro garantiza la conectividad a la red corporativa siempre que se encienda el sistema cliente, no solo cuando el usuario final establece una conexión VPN. Puede realizar la administración de parches en terminales fuera de la oficina, especialmente en dispositivos que el usuario no conecta con frecuencia, a través de VPN, a la red de la oficina. Los scripts de inicio de sesión de Endpoint OS que requieren conectividad de red corporativa también se benefician de esta función. Para que este túnel se cree sin la interacción del usuario, se utiliza la autenticación basada en certificados.

El túnel del equipo Secure Access permite a los administradores tener Cisco Secure Client conectado sin la intervención del usuario antes de que este inicie sesión. El túnel del equipo de acceso seguro se activa cuando el terminal está fuera de las instalaciones y desconectado de una VPN iniciada por el usuario. El túnel del equipo VPN de acceso seguro es transparente para el usuario final y se desconecta automáticamente cuando el usuario inicia la VPN.

---

Trabajo en túnel de máquina 

El servicio de agente Secure Client VPN se inicia automáticamente al arrancar el sistema. El agente VPN de Secure Client utiliza el perfil VPN para detectar que la función de túnel de máquina está habilitada. Si la función de túnel de máquina está activada, el agente inicia la aplicación cliente de administración para iniciar una conexión de túnel de máquina. La aplicación cliente de administración utiliza la entrada de host del perfil VPN para iniciar la conexión. A continuación, el túnel VPN se establece de la forma habitual, con una excepción: no se realiza ninguna actualización de software durante una conexión de túnel de máquina, ya que el túnel de máquina debe ser transparente para el usuario.

El usuario inicia un túnel VPN a través de Secure Client, que activa la terminación del túnel de la máquina. Tras la terminación del túnel de la máquina, el establecimiento del túnel del usuario continúa de la forma habitual. El usuario desconecta el túnel VPN, lo que activa el restablecimiento automático del túnel de la máquina.

---

---

Limitaciones

• No se admite la interacción del usuario.
• La autenticación basada en certificados a través del Almacén de certificados del equipo (Windows) sólo se admite.
• Se aplica la comprobación estricta de certificados de servidor.
• No se admite un proxy privado.
• No se admite un proxy público (el valor ProxyNative se admite en plataformas en las que no se recupera la configuración del proxy nativo del explorador).
• No se admiten scripts de personalización de cliente seguro

---

Configurar

Método 1: configuración del túnel de la máquina con el usuario: machine@sse.com 

Paso 1: Configuración general 

Configure los parámetros generales, incluidos el dominio y los protocolos que utiliza el túnel del equipo.

1. Vaya a Conexión > Conectividad de usuario final > Red privada virtual.

2. Navegue hasta Perfiles VPN y configure los parámetros para el túnel de la máquina.

a. Haga clic en Settings y elija Manage Machine Tunnel en el menú desplegable.

---

---

3. Introduzca el dominio por defecto.

4. El servidor DNS asignado a través de la página Administrar regiones y grupos IP se establece como el servidor predeterminado. Puede aceptar el servidor DNS predeterminado, elegir otro servidor DNS del menú desplegable o hacer clic en + Agregar para agregar un nuevo par de servidores DNS. Al seleccionar otro servidor DNS o agregar uno nuevo, se sobrescribe este servidor predeterminado.

5. Seleccione un pool IP por región en el menú desplegable Pools IP. Los perfiles VPN deben tener al menos un conjunto IP asignado en cada región para una configuración válida.

6. Seleccione el protocolo de túnel que utiliza este túnel de máquina:

• TLS/DTLS
• IPSec (IKEv2)
  Se debe seleccionar al menos un protocolo.

7. Si lo desea, active Incluir protocolo para aplicar el protocolo de omisión del cliente.

---

1. Si el protocolo de omisión del cliente está habilitado para un protocolo IP y no se configura un conjunto de direcciones para ese protocolo (es decir, ASA no asignó ninguna dirección IP para ese protocolo al cliente), el tráfico IP que utiliza ese protocolo no se envía a través del túnel VPN. Se envía fuera del túnel.

2.  Si se inhabilita el Client Bypass Protocol y no se configura un pool de direcciones para ese protocolo, el cliente descarta todo el tráfico para ese protocolo IP una vez que se establece el túnel VPN.

---

---

3. Haga clic en Next .

---

Paso 2 - Autenticación para el certificado de máquina 

El túnel de la máquina es transparente para el usuario final y se desconecta automáticamente cuando el usuario inicia una sesión VPN. Para que este túnel se cree sin interacción del usuario, se utiliza la autenticación basada en certificados:

1.  Elija certificados de CA de la lista o haga clic en Cargar certificados de CA.

2. Seleccione los campos de autenticación basados en certificados. Para obtener más información, consulte: Campos de Autenticación Basada en Certificados.

---

3. Haga clic en Next .

---

Paso 3: Dirección del tráfico (túnel dividido)

Para Traffic Steering (túnel dividido), puede configurar un túnel de máquina para mantener una conexión de túnel completa a Secure Access, o configurarlo para utilizar una conexión de túnel dividido para dirigir el tráfico a través de VPN solamente si es necesario. Para obtener más información, vea Dirección del tráfico de túnel de máquina.

1. Seleccione el modo de túnel.

2. Dependiendo de la selección del modo de túnel , puede agregar excepciones.

3. Seleccione Modo DNS.

---

4. Haga clic en Next.

---

Paso 4: Configuración de Cisco Secure Client

Puede modificar un subconjunto de la configuración de Cisco Secure Client en función de las necesidades de un túnel de máquina VPN determinado. Para obtener más información, consulte: Configuración de Secure Client.

1. Verifique Maximum Transmission Unit, el tamaño más grande del paquete que se puede enviar en el túnel VPN sin fragmentación.

---

2. Configuración del cliente, consulte Configuración del cliente de túnel de máquina para obtener más información.

---

---

3. Configuración de certificados de cliente, seleccione las opciones correspondientes:

a. Anulación del almacén de certificados de Windows: Permite a un administrador indicar a Secure Client que utilice certificados del almacén de certificados del equipo Windows (sistema local) para la autenticación de certificados de cliente. 

b. Selección automática de certificados: Cuando se configura la autenticación de varios certificados en el gateway seguro.

c. Certificate Pinning: certificado de CA utilizado por el túnel de la máquina como certificado de la máquina para autenticar dispositivos.

d. Coincidencia de certificado: Si no se especifica ningún criterio de coincidencia de certificados, Cisco Secure Client aplica las reglas de coincidencia de certificados:

i. Uso de claves:  Firma_digital

ii. Uso de clave ampliada: Autenticación del cliente

        e. Nombre distinguido: especifica nombres distinguidos (DN) para los criterios de coincidencia exacta al elegir certificados de cliente aceptables. Al agregar varios nombres distinguidos, cada certificado se compara con todas las entradas y todas deben coincidir.

---

4. Asigne el perfil de túnel de máquina a un perfil VPN de usuario, haga clic en Guardar y existe la opción de seleccionar los perfiles VPN de usuario.

---

5. Haga clic en Guardar.

6. Compruebe si el perfil de túnel de máquina está conectado a un perfil VPN de usuario.

---

---

Paso 5 - Verifique si el usuario machine@sse.com está presente en Cisco Secure Access 

1. Vaya a Connect > Users,Groups, and Endpoint Devices > Users.

---

2. Si el usuario machine@sse.com no está presente, importe manualmente. Para obtener más información, consulte: Importación manual de usuarios y grupos 

---

Paso 6 - Generar un certificado firmado por CA para machine@sse.com 

1. Genere una solicitud de firma de certificado:

   a. Puede utilizar cualquier software CSR Generator en línea o una CLI openssl.

openssl req -newkey rsa:2048 -nodes -keyout cert.key -out cert.csr

2. Copie el CSR y genere un certificado de máquina.

---

---

---

3. Convierta el certificado de máquina en formato PKCS12 utilizando la clave y el certificado generados en pasos anteriores (Paso 1 y Paso 2) respectivamente:

openssl pkcs12 -export -out Machine.p12 -in machine.crt -inkey cert.key

---

Paso 7 - Importar el certificado de máquina en una máquina de prueba 

1. Importe el certificado de equipo PKCS12 en el almacén local o de equipo:

---

Paso 8: Conexión al túnel de la máquina 

1. Conéctese a un túnel de usuario, esto activa el perfil xml de la máquina que se descargará.

---

---

2. Verifique la conectividad del túnel de la máquina:

---

Método 2: configurar el túnel de la máquina mediante el certificado de terminal

En este caso, para que Campo principal se autentique, elija el campo de certificado que contiene el nombre de dispositivo (nombre de equipo). Secure Access utiliza el nombre del dispositivo como identificador del túnel de la máquina. El formato del nombre del equipo debe coincidir con el formato del identificador de dispositivo elegido

Vaya del paso 1 al paso 4 para la configuración del túnel de máquina. 

---

Paso 5: Configuración de AD Connector para importar terminales en Cisco Secure Access 

Para obtener más información, consulte: Integración de Active Directory permanente.

---

Paso 6: Configuración de la autenticación de dispositivos de terminales

1. Vaya a Connect > Users,Groups and Endpoint Devices.

2. Haga clic en Configuration Management.

---

 3. En Configuraciones, haga clic en Editar Active Directory.

4. Establezca Endpoint Devices Authentication Property en Hostname.

---

5. Haga clic en Guardar y reinicie los servicios del conector de AD en los servidores donde está instalado 

---

Paso 7 - Generar e importar certificado de terminal 

1. Genere CSR, abra un generador CSR o la herramienta OpenSSL.

2. Genere un certificado de punto final de la CA.

3. Convierta el archivo .cert en formato PKCS12.

4. Importe el certificado PKCS12 en el almacén de certificados de terminal.

---

---

---

Paso 8: Conexión al túnel de la máquina 

1. Conéctese a un túnel de usuario, esto activa la descarga del perfil xml del túnel de la máquina.

---

---

2. Verifique la conectividad del túnel de la máquina:

---

Método 3: configuración del túnel de máquina mediante el certificado de usuario

En este caso, para que el campo principal se autentique, elija el campo de certificado que contiene el correo electrónico del usuario o UPN. Secure Access utiliza el correo electrónico o UPN como identificador del túnel de la máquina. El formato del correo electrónico o UPN debe coincidir con el formato del identificador de dispositivo seleccionado

Vaya de los pasos 1 a 4 para la configuración del túnel de máquina.

---

Paso 5: Configuración de AD Connector para importar usuarios en Cisco Secure Access 

Para obtener más información, consulte: Integración de Active Directory permanente.

---

Paso 6: Configuración de la autenticación de usuarios

1. Vaya a Connect > Users, Groups and Endpoint Devices.

2. Haga clic en Configuration Management.

---

 3.  En Configuraciones, haga clic en Editar Active Directory.

---

4. Establezca la Propiedad de Autenticación de Usuarios en Correo electrónico.

5. Haga clic en Guardar y reinicie AD Connector Services en los servidores donde está instalado.

---

Paso 7 - Generar e importar certificado de terminal 

1. Genere el CSR, abra un generador CSR o una herramienta OpenSSL.

2. Genere un certificado de terminal de la CA.

3. Convierta el archivo .cert en formato PKCS12.

4. Importe el certificado PKCS12 en el almacén de certificados de terminal.

---

---

Paso 8: Conexión al túnel de la máquina 

1. Conéctese a un túnel de usuario, esto activa la descarga del perfil xml del túnel de la máquina.

---

---

2. Verifique la conectividad del túnel de la máquina:

---

---

Troubleshoot

Extraiga el paquete DART y abra los registros de AnyConnectVPN y analice los mensajes de error: 

DARTBundle_0603_1656.zip\Cisco Secure Client\AnyConnect VPN\Logs

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	09-Nov-2026	Versión inicial
1.0	08-Jul-2025	Versión inicial