Configurez l'ASA comme passerelle SSL pour des clients d'AnyConnect utilisant l'authentification basée parcertificat

Options de téléchargement

  • PDF     (738.4 KB)
    Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
  • ePub     (685.1 KB)
    Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone
  • Mobi (Kindle)     (685.8 KB)
    Consulter sur un appareil Kindle ou à l’aide d’une application Kindle sur plusieurs appareils
Mis à jour:5 décembre 2017
ID du document:212483

Langage exempt de préjugés

Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

    Introduction

    Ce document décrit comment configurer une appliance de sécurité adaptable (ASA) pendant que la passerelle de Secure Sockets Layer (SSL) pour des Clients à mobilité sécurisés Cisco AnyConnects qui utilise le Multiple-certificat basait l'authentification. 

    Conditions préalables

    Conditions requises

    Cisco vous recommande de prendre connaissance des rubriques suivantes :

    • Connaissance de base de configuration ASA CLI et de configuration de VPN SSL
    • Connaissance de base des Certificats X509

    Composants utilisés

    Les informations contenues dans ce document sont basées sur les versions de logiciel suivantes :

    • Logiciel de l'appliance de sécurité adaptable Cisco (ASA), version 9.7(1) et ultérieures
    • Windows 10 avec le Client à mobilité sécurisé Cisco AnyConnect 4.4

    Note: Téléchargez le paquet du client VPN d'AnyConnect (anyconnect-win*.pkg) depuis la page Téléchargement de logiciel Cisco (clients enregistrés seulement). Copiez le client VPN d'AnyConnect dans la mémoire flash de l'ASA qui doit être téléchargée sur les ordinateurs des utilisateurs distants afin d'établir la connexion VPN SSL avec l'ASA. Référez-vous à la section Installer le client d'AnyConnect du guide de configuration d'ASA pour plus d'informations.

    Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est opérationnel, assurez-vous que vous comprenez l'effet potentiel de toute commande.

    Informations générales

    Avant la version de logiciel 9.7(1), l'ASA prend en charge le certificat simple basé l'authentification, qui signifie que l'utilisateur ou l'ordinateur peut être authentifié mais pas chacun des deux, pour une tentative de connexion unique.

    L'authentification basée parcertificat donne la capacité de faire valider l'ASA l'ordinateur ou le certificat de périphérique, pour assurer le périphérique est un périphérique entreprise-émis, en plus d'authentifier le certificat d'identité de l'utilisateur pour permettre l'accès VPN.

    Limites

    • L'authentification de plusieurs certificat limite actuellement le nombre de Certificats exactement à deux.

    • Le client d'AnyConnect doit indiquer le soutien de l'authentification de plusieurs certificat. Si ce n'est pas le cas alors que la passerelle utilise une des méthodes d'authentification existantes ou échouent la connexion. La version 4.4.04030 ou ultérieures d'AnyConnect prend en charge l'authentification basée parcertificat.

    • Pour la plate-forme Windows, le certificat d'ordinateur est envoyé pendant la prise de contact initiale SSL suivie du certificat utilisateur sous le protocole authentique d'agrégat. Deux Certificats de mémoire d'ordinateur Windows ne sont pas pris en charge.

    • L'authentification de plusieurs certificat ignore des préférences automatiques de sélection de certificat d'enable sous le profil XML qui signifie que le client essaye toutes les combinaisons pour authentifier les les deux les Certificats jusqu'à ce qu'il échoue. Ceci peut introduire le retard considérable tandis que des essais d'Anyconnect pour se connecter. Par conséquent, il est recommandé pour utiliser le certificat s'assortissant en cas de plusieurs utilisateurs/de certificat d'ordinateur sur la machine cliente.

    • Le VPN SSL d'Anyconnect prend en charge seulement les Certificats basés sur RSA.

    • Seulement SHA256, SHA384, et certificat basé par SHA512 sont pris en charge pendant l'agrégat authentique.

    Sélection de certificat sur des Plateformes de Windows v/s Non-Windows

    AnyConnect sur Windows distingue les Certificats récupérés de la mémoire d'ordinateur (accessible seulement par des processus privilégiés) et de la mémoire d'utilisateur (accessible seulement par des processus possédés par l'utilisateur connecté).  Aucune une telle distinction n'est faite par AnyConnect sur des Plateformes de non-Windows.

    L'ASA peut choisir d'imposer une stratégie de connexion, configurée par l'administrateur ASA, basé sur les types réels de Certificats reçus.  Pour Windows, les types peuvent être :

    • Un ordinateur et un utilisateur, ou
    • Utilisateur deux. 

    Pour des Plateformes de non-Windows, l'indication est toujours deux certificats utilisateurs.

    Écoulement de connexion pour l'authentification de plusieurs certificat

    Configurez

    Configurez l'authentification de plusieurs certificat par l'intermédiaire de l'ASDM

    Cette section décrit comment configurer Cisco ASA comme passerelle SSL pour des clients d'AnyConnect avec l'authentification de multiple-certificat.

    Terminez-vous ces étapes par l'intermédiaire de l'ASDM pour installer des clients d'Anyconnect pour l'authentification de Multiple-certificat : 

    Étape 1. Installez le certificat de CA pour des Certificats d'utilisateur et d'ordinateur sur l'ASA.

        Pour l'installation du certificat référez-vous configurent l'ASA : Installation et renouvellement de certificat numérique SSL

    Étape 2. Naviguez vers la configuration > l'Accès à distance > la stratégie de groupe et configurez la stratégie de groupe. 

    Étape 3. Configurez le nouveau profil de connexion et la méthode d'authentification choisie en tant que plusieurs Certificats et sélectionnez la stratégie de groupe créée dans l'étape 1.

    Étape 4. Pour l'autre configuration détaillée, référez-vous le client de toVPN et l'accès client d'AnyConnect à l'exemple local de configuration LAN

    Configurez l'ASA pour l'authentification de plusieurs certificat par l'intermédiaire du CLI

      

    Note: Utilisez l'Outil de recherche de commande (clients enregistrés seulement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.

    ASA Version 9.7(1) 
    !
    hostname GCE-ASA
    !
    ! Configure the VPN Pool
    ip local pool ANYCONNECT-POOL 192.168.100.1-192.168.100.254 mask 255.255.255.0
    !
    interface GigabitEthernet0/0
     nameif outside
     security-level 100
     ip address 10.197.223.81 255.255.254.0 
    !
    interface GigabitEthernet0/1
     nameif inside
     security-level 100
     ip address 192.168.1.1 255.255.255.0 
    !
    ! Configure Objects 
    object network obj-AnyConnect_pool
     subnet 192.168.100.0 255.255.255.0
    object network obj-Local_Lan
     subnet 192.168.1.0 255.255.255.0
    !
    ! Configure Split-tunnel access-list
    access-list split standard permit 192.168.1.0 255.255.255.0
    !
    ! Configure Nat-Exemption for VPN traffic
    nat (inside,outside) source static obj-Local_Lan obj-Local_Lan destination static obj-AnyConnect_pool obj-AnyConnect_pool no-proxy-arp route-lookup
    !
    ! TrustPoint for User CA certificate
    crypto ca trustpoint UserCA
     enrollment terminal
     crl configure
    !
    ! Trustpoint for Machine CA certificate
    crypto ca trustpoint MachineCA
     enrollment terminal
     crl configure
    !
    !
    crypto ca certificate chain UserCA
     certificate ca 00ea473dc301c2fdc7
     30820385 3082026d a0030201 02020900 ea473dc3 01c2fdc7 300d0609 2a864886
    <snip>
     3d57bea7 3e30c8f0 f391bab4 855562fd 8e21891f 4acb6a46 281af1f2 20eb0592
     012d7d99 e87f6742 d5
     quit


    crypto ca certificate chain MachineCA
     certificate ca 00ba27b1f331aea6fc
     30820399 30820281 a0030201 02020900 ba27b1f3 31aea6fc 300d0609 2a864886
     f70d0101 0b050030 63310b30 09060355 04061302 494e3112 30100603 5504080c
    <snip>
     2c214c7a 79eb8651 6ad1eabd ae1ffbba d0750f3e 81ce5132 b5546f93 2c0d6ccf
     606add30 2a73b927 7f4a73e5 2451a385 d9a96b50 6ebeba66 fc2e496b fa
     quit
    !
    ! Enable AnyConnect
    webvpn
     enable outside
     anyconnect image disk0:/anyconnect-win-4.4.00243-webdeploy-k9.pkg 2
     anyconnect enable
     tunnel-group-list enable
    ! 
    ! Configure Group-Policy
    group-policy Grouppolicy-MCA internal
    group-policy Grouppolicy-MCA attributes
     vpn-tunnel-protocol ssl-client
     split-tunnel-policy tunnelspecified
     split-tunnel-network-list value split
    !
    ! Configure Tunnel-Group
    tunnel-group ANYCONNECT-MCA type remote-access
    tunnel-group ANYCONNECT-MCA general-attributes
     address-pool ANYCONNECT-POOL
     default-group-policy Grouppolicy-MCA
    tunnel-group ANYCONNECT-MCA webvpn-attributes
     authentication multiple-certificate
     group-alias ANYCONNECT-MCA enable
     group-url https://10.197.223.81/MCA enable

    Vérifiez

    Utilisez cette section pour confirmer que votre configuration fonctionne correctement.

    Note: L'Output Interpreter Tool (clients enregistrés seulement) prend en charge certaines commandes show. Utilisez l'Output Interpreter Tool afin de visualiser une analyse de sortie de commande show.

    Certificats installés par vue sur l'ASA par l'intermédiaire du CLI

    affichez le crypto certificat Ca

    GCE-ASA(config)# show crypto ca certificate

    CA Certificate

    Status: Available
    Certificate Serial Number: 00ea473dc301c2fdc7
    Certificate Usage: General Purpose
    Public Key Type: RSA (2048 bits)
    Signature Algorithm: SHA256 with RSA Encryption
    Issuer Name:
    cn=UserCA.cisco.com
    o=Cisco
    l=Dallas
    st=Texas
    c=IN
    Subject Name:
    cn=UserCA.cisco.com
    o=Cisco
    l=Dallas
    st=Texas
    c=IN
    Validity Date:
    start date: 15:40:28 UTC Sep 30 2017
    enddate: 15:40:28 UTC Jul202020
    Storage: config
    Associated Trustpoints: UserCA


    CA Certificate

    Status: Available
    Certificate Serial Number: 00ba27b1f331aea6fc
    Certificate Usage: General Purpose
    Public Key Type: RSA (2048 bits)
    Signature Algorithm: SHA256 with RSA Encryption
    Issuer Name:
    cn=MachineCA.cisco.com
    o=Cisco
    l=Bangalore
    st=Karnataka
    c=IN
    Subject Name:
    cn=MachineCA.cisco.com
    o=Cisco
    l=Bangalore
    st=Karnataka
    c=IN
    Validity Date:
    start date: 15:29:23 UTC Sep 30 2017
    enddate: 15:29:23 UTC Jul202020
    Storage: config
    Associated Trustpoints: MachineCA

    Certificats installés par vue sur le client

     Afin de vérifier l'installation, utilisez le gestionnaire de certificat (certmgr.msc) :

    Certificat d'ordinateur

    Certificat utilisateur

    Exécutez cette commande de vérifier la connexion :

    GCE-ASA# sh vpn-sessiondb detail anyconnect 

    Session Type: AnyConnect Detailed

    Username : MachineID.cisco.com Index : 296
    Assigned IP : 192.168.100.1 Public IP : 10.197.223.235
    Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
    License : AnyConnect Premium
    Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES128 DTLS-Tunnel: (1)AES256
    Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA1 DTLS-Tunnel: (1)SHA1
    Bytes Tx : 11542 Bytes Rx : 2097
    Pkts Tx : 8 Pkts Rx : 29
    Pkts Tx Drop : 0 Pkts Rx Drop : 0
    Group Policy : Grouppolicy-MCA Tunnel Group : ANYCONNECT-MCA
    Login Time : 22:26:27 UTC Sun Oct 1 2017
    Duration : 0h:00m:21s
    Inactivity : 0h:00m:00s
    VLAN Mapping : N/A VLAN : none
    Audt Sess ID : 0ac5df510012800059d16b93
    Security Grp : none
    AnyConnect-Parent Tunnels: 1
    SSL-Tunnel Tunnels: 1
    DTLS-Tunnel Tunnels: 1

    AnyConnect-Parent:
     Tunnel ID : 296.1
     Public IP : 10.197.223.235
     Encryption : none Hashing : none
     TCP Src Port : 51609 TCP Dst Port : 443
     Auth Mode : Multiple-certificate
     Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
     Client OS : win
     Client OS Ver: 10.0.14393
     Client Type : AnyConnect
     Client Ver : Cisco AnyConnect VPN Agent for Windows 4.4.01054
     Bytes Tx : 5771 Bytes Rx : 0
     Pkts Tx : 4 Pkts Rx : 0
     Pkts Tx Drop : 0 Pkts Rx Drop : 0

    SSL-Tunnel:
     Tunnel ID : 296.2
     Assigned IP : 192.168.100.1 Public IP : 10.197.223.235
     Encryption : AES128 Hashing : SHA1
     Ciphersuite : AES128-SHA
     Encapsulation: TLSv1.2 TCP Src Port : 51612
     TCP Dst Port : 443 Auth Mode : Multiple-certificate
     Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
     Client OS : Windows
     Client Type : SSL VPN Client
     Client Ver : Cisco AnyConnect VPN Agent for Windows 4.4.01054
     Bytes Tx : 5771 Bytes Rx : 446
     Pkts Tx : 4 Pkts Rx : 5
     Pkts Tx Drop : 0 Pkts Rx Drop : 0

    DTLS-Tunnel:
     Tunnel ID : 296.3
     Assigned IP : 192.168.100.1 Public IP : 10.197.223.235
     Encryption : AES256 Hashing : SHA1
     Ciphersuite : AES256-SHA
     Encapsulation: DTLSv1.0 UDP Src Port : 63385
     UDP Dst Port : 443 Auth Mode : Multiple-certificate
     Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
     Client OS : Windows
     Client Type : DTLS VPN Client
     Client Ver : Cisco AnyConnect VPN Agent for Windows 4.4.01054
     Bytes Tx : 0 Bytes Rx : 1651
     Pkts Tx : 0 Pkts Rx : 24
     Pkts Tx Drop : 0 Pkts Rx Drop : 0

      

    Dépannez

    Cette section fournit les informations que vous pouvez employer afin de dépanner votre configuration.

    Note: Référez-vous aux informations importantes sur les commandes de débogage avant d'utiliser les commandes de débogage.

    Attention : Sur l'ASA, vous pouvez placer divers mettez au point des niveaux ; par défaut, le niveau 1 est utilisé. Si vous changez le niveau de débogage, la verbosité du met au point pourrait augmenter. Faites ceci avec prudence, particulièrement dans les environnements de production.

    •  Messages 127 du debug crypto Ca
    •  Transaction 127 du debug crypto Ca
    CRYPTO_PKI: Begin sorted cert chain
---------Certificate--------:
Serial:  00B6D609E1D68B9334
Subject: cn=MachineID.cisco.com,ou=Cisco,l=Bangalore,st=Karnataka,c=IN
Issuer:  cn=MachineCA.cisco.com,o=Cisco,l=Bangalore,st=Karnataka,c=IN

CRYPTO_PKI: End sorted cert chain
CRYPTO_PKI: Cert chain pre-processing: List size is 1, trustpool is not in use
CRYPTO_PKI: List pruning is not necessary.
CRYPTO_PKI: Sorted chain size is: 1
CRYPTO_PKI: Found ID cert. serial number: 00B6D609E1D68B9334, subject name: cn=MachineID.cisco.com,ou=Cisco,l=Bangalore,st=Karnataka,c=IN
CRYPTO_PKI: Verifying certificate with serial number: 00B6D609E1D68B9334, subject name: cn=MachineID.cisco.com,ou=Cisco,l=Bangalore,st=Karnataka,c=IN, issuer_name: cn=MachineCA.cisco.com,o=Cisco,l=Bangalore,st=Karnataka,c=IN, signature alg: SHA256/RSA.

CRYPTO_PKI(Cert Lookup) issuer="cn=MachineCA.cisco.com,o=Cisco,l=Bangalore,st=Karnataka,c=IN" serial number=00 b6 d6 09 e1 d6 8b 93 34                         |  ........4

CRYPTO_PKI: valid cert with warning.

CRYPTO_PKI: valid cert status.

CRYPTO_PKI: Begin sorted cert chain
---------Certificate--------:
Serial:  00B6D609E1D68B9334
Subject: cn=MachineID.cisco.com,ou=Cisco,l=Bangalore,st=Karnataka,c=IN
Issuer:  cn=MachineCA.cisco.com,o=Cisco,l=Bangalore,st=Karnataka,c=IN

CRYPTO_PKI: End sorted cert chain
CRYPTO_PKI: Cert chain pre-processing: List size is 1, trustpool is not in use
CRYPTO_PKI: List pruning is not necessary.
CRYPTO_PKI: Sorted chain size is: 1
CRYPTO_PKI: Found ID cert. serial number: 00B6D609E1D68B9334, subject name: cn=MachineID.cisco.com,ou=Cisco,l=Bangalore,st=Karnataka,c=IN
CRYPTO_PKI: Verifying certificate with serial number: 00B6D609E1D68B9334, subject name: cn=MachineID.cisco.com,ou=Cisco,l=Bangalore,st=Karnataka,c=IN, issuer_name: cn=MachineCA.cisco.com,o=Cisco,l=Bangalore,st=Karnataka,c=IN, signature alg: SHA256/RSA.

CRYPTO_PKI(Cert Lookup) issuer="cn=MachineCA.cisco.com,o=Cisco,l=Bangalore,st=Karnataka,c=IN" serial number=00 b6 d6 09 e1 d6 8b 93 34                         |  ........4

CRYPTO_PKI: valid cert with warning.

CRYPTO_PKI: valid cert status.

CRYPTO_PKI: Begin sorted cert chain
---------Certificate--------:
Serial:  00A5A42E24A345E11A
Subject: cn=UserID.cisco.com,ou=TAC,o=Cisco,l=Dallas,st=Texas,c=IN
Issuer:  cn=UserCA.cisco.com,o=Cisco,l=Dallas,st=Texas,c=IN

CRYPTO_PKI: End sorted cert chain
CRYPTO_PKI: Cert chain pre-processing: List size is 1, trustpool is not in use
CRYPTO_PKI: List pruning is not necessary.
CRYPTO_PKI: Sorted chain size is: 1
CRYPTO_PKI: Found ID cert. serial number: 00A5A42E24A345E11A, subject name: cn=UserID.cisco.com,ou=TAC,o=Cisco,l=Dallas,st=Texas,c=IN
CRYPTO_PKI: Verifying certificate with serial number: 00A5A42E24A345E11A, subject name: cn=UserID.cisco.com,ou=TAC,o=Cisco,l=Dallas,st=Texas,c=IN, issuer_name: cn=UserCA.cisco.com,o=Cisco,l=Dallas,st=Texas,c=IN, signature alg: SHA256/RSA.

CRYPTO_PKI(Cert Lookup) issuer="cn=UserCA.cisco.com,o=Cisco,l=Dallas,st=Texas,c=IN" serial number=00 a5 a4 2e 24 a3 45 e1 1a                         |  ....$.E..

CRYPTO_PKI: valid cert with warning.

CRYPTO_PKI: valid cert status.
    • Xml 127 d'agrégat-auth de debug

    Received XML message below from the client
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="init" aggregate-auth-version="2">
<version who="vpn">4.4.01054</version>
<device-id device-type="VMware, Inc. VMware Virtual Platform" platform-version="10.0.14393 #snip#  win</device-id>
<mac-address-list>
<mac-address>00-0c-29-e4-f5-bd</mac-address></mac-address-list>
<group-select>ANYCONNECT-MCA</group-select>
<group-access>https://10.197.223.81/MCA</group-access>
<capabilities>
<auth-method>single-sign-on</auth-method>
<auth-method>multiple-cert</auth-method></capabilities>
</config-auth>

Generated XML message below
<?xml version="1.0" encoding="UTF-8"?>
<config-auth client="vpn" type="auth-request" aggregate-auth-version="2">
<opaque is-for="sg">
<tunnel-group>ANYCONNECT-MCA</tunnel-group>
<aggauth-handle>136775778</aggauth-handle>
<auth-method>multiple-cert</auth-method>
<auth-method>single-sign-on</auth-method>
<config-hash>1506879881148</config-hash>
</opaque>
<multiple-client-cert-request>
<hash-algorithm>sha256</hash-algorithm>
<hash-algorithm>sha384</hash-algorithm>
<hash-algorithm>sha512</hash-algorithm>
</multiple-client-cert-request>
<random>FA4003BD87436B227####snip####C138A08FF724F0100015B863F750914839EE79C86DFE8F0B9A0199E2</random>
</config-auth>

    Received XML message below from the client
    <?xml version="1.0" encoding="UTF-8"?>
    <config-auth client="vpn" type="auth-reply" aggregate-auth-version="2">
    <version who="vpn">4.4.01054</version>
    <device-id device-type="VMware, Inc. VMware Virtual Platform" platform-version="10.0.14393 ##snip##   win</device-id>
    <mac-address-list>
    <mac-address>00-0c-29-e4-f5-bd</mac-address></mac-address-list>
    <session-token></session-token>
    <session-id></session-id>
    <opaque is-for="sg">

    <tunnel-group>ANYCONNECT-MCA</tunnel-group>
    <aggauth-handle>608423386</aggauth-handle>
    <auth-method>multiple-cert</auth-method>
    <auth-method>single-sign-on</auth-method>
    <config-hash>1506879881148</config-hash></opaque>
    <auth>
    <client-cert-chain cert-store="1M">
    <client-cert-sent-via-protocol></client-cert-sent-via-protocol></client-cert-chain>
    <client-cert-chain cert-store="1U">
    <client-cert cert-format="pkcs7">MIIG+AYJKoZIhvcNAQcCoIIG6TCCBuU
    yTCCAzwwggIkAgkApaQuJKNF4RowDQYJKoZIhvcNAQELBQAwWTELMAkGA1UEBhMC
    #Snip#
    gSCx8Luo9V76nPjDI8PORurSFVWL9jiGJH0rLakYoGv
    </client-cert>
    <client-cert-auth-signature hash-algorithm-chosen="sha512">FIYur1Dzb4VPThVZtYwxSsCVRBUin/8MwWK+G5u2Phr4fJ
    #snip#
    EYt4G2hQ4hySySYqD4L4iV91uCT5b5Bmr5HZmSqKehg0zrDBjqxx7CLMSf2pSmQnjMwi6D0ygT=</client-cert-auth-signature>
    </client-cert-chain>
    </auth>
    </config-auth>
    Received attribute hash-algorithm-chosen in XML message from client
    Base64 Signature (len=349):
    FIYur1Dzb4VPThVZtYwxSsCVRBUin/8MwWK+G5u2Phr4fJI9aWFqd1BbV9WhSTsF
    EYt4G2hQ4hySySYqD4L4iV91uCT5b5Bmr5HZmSqKehg0zrDBjqxx7CLMSf2pSmQn
    ABXv++cN7lNWGHK91EAvNRcpCX4TdZ+6ZKpL4sClu8vZJeW2jwGmPnYesG3sttrS
    TFBRqg74+1TFSbUuIEzn8MLXZqHbOnA19B9gyXZJon8eh3Z7cDspFiR0xKBu8iYH
    L+ES84UNtDQjatIN4EiS8SD/5QPAunCyvAUBvK5FZ4c4TpnF6MIEPhjMwi6D0ygT
    sm2218mstLDNKBouaTjB3A==
    Successful Base64 signature decode, len 256
    Loading cert into PKI
    Waiting for certificate validation result
    Verifying signature
    Successfully verified signature
    •   SSL 127 d'agrégat-auth de debug
    /CSCOSSLC/config-auth
Processing client request
XML successfully parsed
Processing request (init)
INIT-no-cert: Client has not sent a certificate
Found TG ANYCONNECT-MCA by URL https://10.197.223.81/MCA
INIT-no-cert: Resolve tunnel group (ANYCONNECT-MCA) alias (NULL) Cert or URL mapped YES
INIT-no-cert: Client advertised multi-cert authentication support
[332565382] Created auth info for client 10.197.223.235
[332565382] Started timer (3 mins) for auth info for client 10.197.223.235
INIT-no-cert: Tunnel group ANYCONNECT-MCA requires multi-cert authentication
[332565382] Generating multiple certificate request
[332565382] Saved message of len 699 to verify signature
rcode from handler = 0
Sending response
/CSCOSSLC/config-auth
Processing client request
XML successfully parsed
Processing request (init)
INIT-cert: Client has certificate, groupSelect ANYCONNECT-MCA
Found TG ANYCONNECT-MCA by URL https://10.197.223.81/MCA
INIT-cert: Found tunnel group (ANYCONNECT-MCA) alias (NULL) url or certmap YES
INIT-cert: Client advertised multi-cert authentication support
[462466710] Created auth info for client 10.197.223.235
[462466710] Started timer (3 mins) for auth info for client 10.197.223.235
INIT-cert: Tunnel group ANYCONNECT-MCA requires multi-cert authentication
Resetting FCADB entry
[462466710] Generating multiple certificate request
[462466710] Saved message of len 741 to verify signature
rcode from handler = 0
Sending response
/CSCOSSLC/config-auth
Processing client request
XML successfully parsed
Processing request (auth-reply)
auth-reply:[462466710] searching for authinfo
[462466710] Found auth info for client 10.197.223.235, update expire timer (3 mins)
Found tunnel group (ANYCONNECT-MCA) alias ANYCONNECT-MCA
[462466710] Multi cert authentication
[462466710] First cert came in SSL protocol, len 891
[462466710] Success loading cert into PKI
[462466710] Authenticating second cert
[462466710] Sending Message AGGAUTH_MSG_ATHENTICATE_CERT(1)
[462466710] Fiber waiting
Aggauth Message handler received message AGGAUTH_MSG_ATHENTICATE_CERT
[462466710] Process certificate authentication request
[462466710] Waiting for async certificate verification
[462466710] Verify cert callback
[462466710] Certificate Authentication success - verifying signature
[462466710] Signature verify success
[462466710] Signalling fiber
[462466710] Fiber continuing
[462466710] Found auth info
[462466710] Resolved tunnel group (ANYCONNECT-MCA), Cert or URL mapped YES
Resetting FCADB entry
Attempting cert only login
Authorization username = MachineID.cisco.com
Opened AAA handle 335892526
Making AAA request
AAA request finished
Send auth complete
rcode from handler = 0
Sending response
Closing AAA handle 335892526
[462466710] Destroy auth info for 10.197.223.235
[462466710] Free auth info for 10.197.223.235

    Informations connexes

    TAC Authored

    Contribution d’experts de Cisco

    • Shakti Kumar
      Ingénieur TAC Cisco
    • Dhruv Goel
      Ingénieur TAC Cisco

    Ce document vous est-il utile?

    FeedbackCommentaires

    Contacter Cisco

    Ce document s’applique à ces produits