Comprender los requisitos del módulo de roaming de AnyConnect para versiones anteriores a 4.8 MR2 y el conector AD

Introducción

Este documento describe los requisitos para utilizar el módulo de roaming de AnyConnect anterior a la versión 4.8 MR2 y el conector de AD.

Antecedentes

A partir del 27 de enero de 2021, todos los clientes deben utilizar TLS 1.2+ para conectarse a la nube de Umbrella para la sincronización, el registro y las actualizaciones. Los clientes con versiones anteriores necesitan realizar ajustes manuales para continuar utilizando los clientes de Umbrella sin actualizar.

Módulo de roaming de AnyConnect

Cliente de roaming de Windows o módulo AnyConnect

Versión de Endpoint Agent: Los clientes de roaming de Umbrella independientes solo admiten la versión actual. No se admiten versiones anteriores. Esta versión admite TLS 1.2 de forma nativa con .NET 4.6.2+.

Ambos requisitos deben cumplirse:

1. R: Versión del cliente
   • Módulo de roaming de Cisco AnyConnect con Umbrella: Versión 4.8.02042+ (enlace)
     or
   • Cisco AnyConnect 4.3 MR4+ además de configurar el uso de TLS 1.2 con cambios en el Registro de Windows para ampliar la compatibilidad con TLS a fin de incluir TLS 1.2:
2. B: Versión de .NET Framework
   • Versión de Microsoft .NET Framework: .NET 4.6.2
     or
   • versiones anteriores de .NET de acuerdo con los requisitos de clave del Registro

Versión de Windows: 7, 8, 8.1, 10

Nota: Para MacOS Roaming Client o AnyConnect Module, no hay cambios en los requisitos del sistema para la compatibilidad con TLS 1.2.

Para aquellos que no cumplan con estos requisitos, por favor continúe leyendo.

Detalles técnicos

Compruebe si hay instaladas versiones anteriores de .NET y aplique las claves del Registro según el artículo de Microsoft.

Pasos necesarios para versiones de cliente anteriores a AnyConnect 4.8 (MR2 de 2):

Opción A: schusestrongcrypto

Esta solución establece explícitamente los protocolos seguros admitidos en el conjunto de TLS 1.0, TLS 1.1 y TLS 1.2 en lugar de basarse en los valores predeterminados de llamada de .NET.

A continuación se incluye una guía paso a paso:

1. Compruebe qué versión de .NET Framework está instalada en el equipo con Windows.
2. Si sólo está instalada la versión 4.6.2 (o posterior) de .NET, la versión más reciente de .NET Framework requiere que alterne con un cifrado más seguro. Utilice estas claves de registro:

   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
   "SchUseStrongCrypto"=dword:00000001

   [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
   "SchUseStrongCrypto"=dword:00000001

Se proporciona un script de PowerShell como ejemplo para realizar estos cambios mediante SCCM/CLI. Esta secuencia de comandos se proporciona tal cual.

# set strong cryptography on 64 bit .Net Framework (version 4 and above)
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -Type DWord
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -Type DWord


# set strong cryptography on 32 bit .Net Framework (version 4 and above)
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -Type DWord 
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -Type DWord

Opción B: SystemDefaultTlsVersions

Para las versiones anteriores de .NET, esta opción es necesaria para los clientes más antiguos. Para .NET 4.6.2+, ésta es una alternativa equivalente a schusestrongcrypto; ambas soluciones son necesarias.

Esta solución aplaza la opción de versión de TLS al SO en lugar de determinarla dentro de .NET. Permite a las llamadas heredadas utilizar versiones compatibles con el sistema. En la mayoría de los casos, esto incluye TLS 1.2.

1. .NET 4.5.1, 4.5.2: Requiere https://support.microsoft.com/kb/3156421
2. .NET 3.5 SP1 en Windows 7: Requiere https://support.microsoft.com/kb/3154518
3. .NET 3.5 SP1 en Windows 8.1: Requiere https://support.microsoft.com/kb/3154520
4. .NET 4.6.2+: Sin requisitos adicionales

   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
   "SystemDefaultTlsVersions"=dword:00000001

   [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
   "SystemDefaultTlsVersions"=dword:00000001

Conector de Active Directory

Plataformas Soportadas: Windows Server 2012 y versiones posteriores.

Si el conector se ejecuta en Windows Server 2012 o posterior y se ejecuta en la versión 4.x de .NET, el conector debe utilizar TLS 1.2 de forma predeterminada al comunicarse con Umbrella.

Nota: La compatibilidad con los conectores que ejecutan Windows Server 2008 y 2008 R2 se ha suspendido, ya que Microsoft anunció el fin de la compatibilidad con estas versiones en enero de 2020. Debe actualizar a una versión de Windows Server compatible para continuar ejecutando el conector. Si no puede actualizar la versión de Windows Server, asegúrese de instalar la versión 4.5 de .NET en este sistema para permitir que el conector utilice TLS 1.2 para comunicarse con Umbrella.