Table des matières
Introduction
Ce document décrit les étapes requises pour activer le verrouillage AnyConnect et le masquage AnyConnect de la liste des programmes Add/Remove pour les ordinateurs Windows.
Contribué par Christian G. Hernandez R, ingénieur TAC Cisco.
Conditions préalables
Conditions requises
Cisco vous recommande de prendre connaissance des rubriques suivantes :
Components Used
L’information fournie dans ce document est basée sur les versions logicielles et matérielles suivantes :
- Cisco ASA version 9.14.2.13
- Cisco Adaptive Security Device Manager (ASDM) version 7.14.1
- Cisco AnyConnect versions 4.9.04053 et 4.9.06037
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.
Informations générales
Verrouillage AnyConnect pour Windows : Cisco recommande de limiter les droits des utilisateurs finaux sur le Client de mobilité sécurisée Cisco AnyConnect sur leur périphérique. Si l'utilisateur final justifie des droits supplémentaires, les installateurs peuvent fournir une fonctionnalité de verrouillage qui empêche les utilisateurs et les administrateurs locaux de désactiver ou d'arrêter les services AnyConnect.
Vous disposez de trois options différentes pour activer la fonction de verrouillage AnyConnect :
1. Installateurs MSI à partir du terminal d'invite de commandes Windows.
2. Option de verrouillage de l'assistant d'installation du package de prédéploiement AnyConnect.
3. ASDM - Importer un exemple de verrouillage du programme d'installation transforme le fichier en ASA.
Masquer AnyConnect de la liste Ajout/Suppression de programmes pour Windows : Vous pouvez masquer les modules AnyConnect installés de la liste Ajout/Suppression de programmes du Panneau de configuration de Windows Désinstaller un programme.
Vous avez deux options pour activer la fonction Masquer AnyConnect de la liste des programmes Add/Remove :
1. Installateurs MSI à partir du terminal d'invite de commandes Windows.
2. ASDM - Importe un exemple de fichier de transformation cache-addremove du programme d'installation vers l'ASA.
Configuration
Diagramme du réseau
Configurer le verrouillage AnyConnect
Installateurs MSI à partir du terminal d'invite de commandes Windows.
Configuration Steps
Étape 1. Téléchargez le fichier du package de prédéploiement AnyConnect pour Windows.
Étape 1.1 Accédez à la page de téléchargement du logiciel Cisco et téléchargez la version d’AnyConnect à installer sur l’ordinateur Windows.
Pour cet exemple, téléchargez le package de prédéploiement de Windows AnyConnect qui inclut chaque MSI pour la version 4.9.04053 (anyconnect-win-4.9.04053-preDeployment-k9.zip).
Étape 2. Téléchargez le fichier de transformation du programme d’installation d’AnyConnect pour Windows.
Étape 2.1 Accédez à la page de téléchargement du logiciel Cisco et téléchargez le fichier Transforms d'AnyConnect Installer pour Windows qui correspond à la même version d'AnyConnect à installer sur l'ordinateur Windows.
Pour cet exemple, téléchargez le fichier de transformations pour AnyConnect version 4.9.04053 (tools-anyconnect-win-4.9.04053-transforms.zip).
Étape 3. Décompressez les fichiers AnyConnect téléchargés dans différents dossiers.
Étape 3.1 Le fichier anyconnect-win-4.9.04053-preDeployment-k9.zip est décompressé sur le chemin d'accès suivant du dossier : C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preDeployment-k9.
Étape 3.2 Les outils-anyconnect-win-4.9.04053-transforms.zipest décompressé sur le chemin d'accès suivant du dossier : C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transforms.
Étape 4. Copiez et collez le verrouillage AnyConnect transforme le fichier dans le même dossier que les fichiers du programme d'installation d'AnyConnect MSI.
Étape 4.1 À partir du dossier tools-anyconnect-win-4.9.04053-transforms, copiez le fichier _anyconnect-win-lockdown.mst lockdown transforme le fichier et le colle dans le dossier anyconnect-win-4.9.04053-predéploiement-k9 comme suit.
Étape 5. CD dans le chemin d'accès du dossier contenant les fichiers d'installation de MSI AnyConnect.
Étape 5.1 Ouvrez un terminal d'invite de commandes Windows et un cd dans le chemin d'accès du dossier contenant les fichiers d'installation de MSI AnyConnect et le fichier _anyconnect-win-lockdown.mst lockdown transforme le fichier copié/collé dans l'étape ci-dessus.
Cet exemple de cd dans le chemin d'accès suivant du dossier C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preDeployment-k9.
Étape 6. Installez les modules AnyConnect avec le fichier de transformation de verrouillage.
Étape 6.1 I
Installez chacun des modules AnyConnect requis avec la prochaine commande du programme d'installation MSI qui pointe vers le fichier de module AnyConnect .msi et le fichier de transformation _anyconnect-win-lockdown.mst lockdown.
msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Note:La valeur LOCKDOWN définie sur « 1 » active la fonction de verrouillage du module AnyConnect à installer.
Note: Cisco vous recommande d'utiliser l'exemple de fichier de transformations fourni pour définir cette propriété, d'appliquer la transformation à chaque installateur MSI pour chaque module que vous voulez verrouiller. Vous pouvez télécharger l'exemple de transformation à partir de la page de téléchargement du logiciel Cisco AnyConnect Secure Mobility Client.
Note:Si vous déployez le client principal plus un ou plusieurs modules facultatifs, vous devez appliquer la propriété LOCKDOWN à chacun des installateurs. Cette opération n'est qu'une façon et ne peut pas être supprimée si vous ne réinstallez pas le produit.
Étape 6.2 Cet exemple installe le module CORE et VPN AnyConnect et le fichier de transformation _anyconnect-win-lockdown.mst lockdown, tous deux correspondent aux fichiers de la version 4.9.04053 d’AnyConnect.
msiexec -i anyconnect-win-4.9.04053-core-vpn-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Étape 6.3 Cet exemple montre comment installer le module de sécurité d'itinérance AnyConnect Umbrella et le fichier de transformation _anyconnect-win-lockdown.mst, tous deux correspondant aux fichiers de la version 4.9.04053 d'AnyConnect.
msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Option de verrouillage d’AnyConnect package de prédéploiement assistant d'installation.
Configuration Steps
Étape 1. Téléchargez le fichier du package de prédéploiement Anyconnect pour Windows.
Étape 1.1 Accédez à la page de téléchargement du logiciel Cisco et téléchargez la version d’AnyConnect à installer sur l’ordinateur Windows.
Pour cet exemple, téléchargez le package de prédéploiement de Windows AnyConnect qui inclut les fichiers MSI individuels pour la version 4.9.04053 (anyconnect-win-4.9.04053-preDeployment-k9.zip).
Étape 2. Ouvrez le fichier d'installation d'AnyConnect.
Étape 2.1 Décompressez le fichier anyconnect-win-4.9.04053-pre-Deployment-k9.zip téléchargé et ouvrez-le.
Étape 2.2 Double-cliquez ensuite sur le fichier d’installation d’AnyConnect.
Étape 3. Utilisez l’assistant d’installation d’AnyConnect.
Étape 3.1 Sélectionnez les modules AnyConnect que vous souhaitez installer dans les options affichées.
Pour cet exemple, sélectionnez les modules AnyConnect CORE & VPN et Umbrella Roaming Security.
Étape 4. Activez la fonction de verrouillage AnyConnect.
Étape 4.1 Afin d'activer la fonction de verrouillage pour les modules CORE & VPN et Umbrella Roaming Security, sélectionnez l'option Lock Down Component Services et poursuivez l'installation.
Étape 5. Confirmez l’installation des modules AnyConnect.
Étape 5.1 L’installation des modules AnyConnect est terminée à 100 % une fois le message suivant affiché.
Configurer la fonction Masquer AnyConnect de la liste des programmes Add/Remove
Installateurs MSI à partir du terminal d'invite de commandes Windows.
Configuration Steps
Étape 1. Téléchargez le fichier du package de prédéploiement AnyConnect pour Windows.
Étape 1.1 Accédez à la page de téléchargement du logiciel Cisco et téléchargez la version d’AnyConnect à installer sur l’ordinateur Windows.
Pour cet exemple, téléchargez le package de prédéploiement de Windows AnyConnect qui inclut chaque MSI pour la version 4.9.04053 (anyconnect-win-4.9.04053-preDeployment-k9.zip).
Étape 2. Téléchargez le fichier de transformation du programme d’installation d’AnyConnect pour Windows.
Étape 2.1 Accédez à la page de téléchargement du logiciel Cisco et téléchargez le fichier Transforms d'AnyConnect Installer pour Windows qui correspond à la même version d'AnyConnect à installer sur l'ordinateur Windows.
Pour cet exemple, téléchargez le fichier de transformations pour AnyConnect version 4.9.04053 (tools-anyconnect-win-4.9.04053-transforms.zip).
Étape 3. Décompressez les fichiers AnyConnect téléchargés dans différents dossiers.
Étape 3.1 Le fichier anyconnect-win-4.9.04053-preDeployment-k9.zip est décompressé sur le chemin d'accès suivant du dossier : C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preDeployment-k9.
Étape 3.2 Les outils-anyconnect-win-4.9.04053-transforms.zipest décompressé sur le chemin d'accès suivant du dossier : C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transforms.
Étape 4. Copiez et collez le fichier de transformation d’AnyConnect hide-addremove dans le même dossier que les fichiers du programme d’installation d’AnyConnect MSI.
Étape 4.1 À partir du dossier tools-anyconnect-win-4.9.04053-transforms, copiez le fichier _anyconnect-win-hide-addremove-display.mst transforme le fichier et le colle dans le dossier anyconnect-win-4.9.04053-predéploiement-k9 comme suit.
Étape 5. CD dans le chemin d'accès du dossier contenant les fichiers d'installation de MSI AnyConnect.
Étape 5.1 Ouvrez un terminal d'invite de commandes Windows et un cd dans le chemin d'accès du dossier contenant les fichiers d'installation de MSI AnyConnect et le fichier _anyconnect-win-hide-addremove-display.mst transforme le fichier copié/collé dans l'étape ci-dessus.
Cet exemple de cd dans le chemin d'accès suivant du dossier C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preDeployment-k9.
Étape 6. Installez les modules AnyConnect à l’aide du fichier de transformation hide-addremove.
Étape 6.1 I
Installez chacun des modules AnyConnect requis avec la commande MSI installer suivante qui pointe vers le fichier de module AnyConnect .msi et le fichier de transformation _anyconnect-win-hide-addremove-display.mst.
msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log
Remarque : La configuration de la valeur ARPSYSTEMCOMPONENT en tant que « 1 » active la fonction Masquer AnyConnect de la liste des programmes Add/Remove du module AnyConnect à installer.
Note: Cisco vous recommande d'utiliser l'exemple de fichier de transformations fourni pour définir cette propriété, d'appliquer la transformation à chaque programme d'installation MSI pour chaque module à masquer. Vous pouvez télécharger l'exemple de transformation à partir de la page de téléchargement du logiciel Cisco AnyConnect Secure Mobility Client.
Note: Si vous déployez le client principal plus un ou plusieurs modules facultatifs, vous devez appliquer la propriété HIDE-AnyConnect à chacun des installateurs. Cette opération n'est qu'une façon et ne peut pas être supprimée si vous ne réinstallez pas le produit.
Étape 6.2 Cet exemple montre comment installer le module CORE et VPN AnyConnect et le fichier de transformation _anyconnect-win-hide-addremove-display.mst correspondent aux fichiers de la version 4.9.04053 d’AnyConnect.
Étape 6.3 Cet exemple installe le module de sécurité d'itinérance AnyConnect Umbrella et le fichier de transformation _anyconnect-win-hide-addremove-display.mst correspondent aux fichiers de la version 4.9.04053 d'AnyConnect.
msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log
Configurez AnyConnect Lockdown et la commande Masquer AnyConnect de la liste des programmes Add/Remove avec ASDM
Cette procédure s'applique uniquement aux mises à jour de déploiement Web AnyConnect. Cet exemple présente une mise à jour de déploiement Web AnyConnect de la version 4.9.04053 à la version 4.9.0.6037.
Configuration Steps
Étape 1. Confirmez la version AnyConnect qui s'exécute sur l'ordinateur Windows.
Étape 1.1 Dans cet exemple, l’ordinateur Windows dispose de la version 4.9.04053 d’AnyConnect déjà installée pour les modules Core & VPN et Umbrella Roaming Security.
Étape 2. Téléchargez le fichier de package de déploiement de tête de réseau AnyConnect pour Windows.
Étape 2.1 Accédez à la page de téléchargement du logiciel Cisco et téléchargez la version du fichier de package de déploiement de tête de réseau AnyConnect à installer sur l’ordinateur Windows pour la mise à jour du déploiement Web.
Pour cet exemple, téléchargez le package de déploiement de tête de réseau Windows AnyConnect version 4.9.06037 (anyconnect-win-4.9.06037-webdéploiement-k9.pkg).
Étape 3. Téléchargez le fichier de transformation du programme d’installation d’AnyConnect pour Windows.
Étape 3.1 Accédez à la page de téléchargement du logiciel Cisco et téléchargez le fichier de transformation d'AnyConnect Installer pour Windows correspondant à la même version d'AnyConnect à installer sur l'ordinateur Windows.
Pour cet exemple, téléchargez le fichier de transformations pour AnyConnect version 4.9.06037 (tools-anyconnect-win-4.9.06037-transforms.zip).
Étape 4. Décompressez le fichier de transformation AnyConnect téléchargé.
Étape 4.1 T
les outils-anyconnect-win-4.9.06037-transforms.zipest décompressé sur le chemin d'accès suivant du dossier : C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms.
Étape 5. Ouvrez l'ASDM et connectez-vous à l'ASA avec vos informations d'identification.
Étape 6. Transférez le package de déploiement de tête de réseau AnyConnect de votre ordinateur à la mémoire flash ASA.
Étape 6.1 Accédez à Outils > Gestion de fichiers > Transfert de fichiers > Entre PC locaux et Flash et transférez le package de déploiement de tête de réseau AnyConnect version 4.9.06037 (anyconnect-win-4.9.06037-webdéploiement-k9.pkg) à la mémoire flash ASA.
Étape 7. Configurez la version du package de déploiement de tête de réseau AnyConnect transférée pour la mise à jour du déploiement Web.
Étape 7.1 Accédez à ASDM Configuration > Remote Access VPN > Anyconnect Client Software et sélectionnez le package de déploiement de tête de réseau AnyConnect version 4.9.04053 installé.
Étape 7.2 Sélectionnez ensuite Remplacer et Parcourir Flash pour remplacer l'ancien package de déploiement de tête de réseau AnyConnect version 4.9.04053 par le 4.9.06037 précédemment transféré à la mémoire Flash.
Étape 7.3 Appliquez les modifications de configuration et envoyez-les à l'ASA.
Étape 8. Importer l'exemple AnyConnect transforme les fichiers.
Étape 8.1 Accédez à Configuration ASDM > Remote Access VPN > Customized Installer Transforms > Import and import the sample Transforms files Required.
Étape 8.2 Importez le fichier d’exemple AnyConnect version 4.9.06037 _anyconnect-win-lockdown.mst pour activer le verrouillage des modules CORE & VPN et Umbrella Roaming Security.
Entrez les valeurs suivantes :
Name : _anyconnect-lockdown
Plate-forme : gagner
Sélectionnez un fichier - Ordinateur local : C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms\_anyconnect-win-lockdown.mst
Remarque : L'exemple AnyConnect _anyconnect-win-lockdown.mst transforme le fichier en fonction du module AnyConnect requis.
Étape 8.3 Importez le fichier de transformation AnyConnect version 4.9.06037 _anyconnect-win-hide-addremove-display.mst pour activer le masquage de la liste des programmes add/remove pour les modules CORE & VPN et Umbrella Roaming Security.
Entrez les valeurs suivantes :
Name : _anyconnect-hideaddremove
Plate-forme : gagner
Sélectionnez un fichier file: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms\_anyconnect-win-hide-addremove-display.mst
Remarque : The _anyconnect-win-hide-addremove-display.mstsample transforme le fichier en fonction du module AnyConnect requis.
Étape 8.4 Enregistrez les modifications de configuration et envoyez-les à l'ASA.
Note: Au moment où cet article a été écrit, le nom utilisé pour importer les fichiers de transformation d'échantillon doit avoir un trait de soulignement « _ » au début du nom, cela force l'exemple de transformation importé à fonctionner pour n'importe quel module AnyConnect. Si vous utilisez un autre nom sans trait de soulignement au début du nom, alors l'exemple transforme les travaux importés uniquement pour le module CORE & VPN Anyconnect (CSCvy38427).
Étape 9. Mise à jour automatique du déploiement Web AnyConnect.
Étape 9.1 Forcez la mise à jour automatique du déploiement Web AnyConnect pour les modules CORE & VPN et Umbrella Roaming Security.
Ici, la configuration ASA AnyConnect est en place afin de permettre la mise à jour automatique des modules CORE & VPN et Umbrella Roaming Security :
webvpn
enable outside
anyconnect image disk0:/anyconnect-win-4.9.06037-webdeploy-k9.pkg 1
anyconnect enable
tunnel-group-list enable
group-policy ANYCONNECT_GP1 internal
group-policy ANYCONNECT_GP1 attributes
vpn-tunnel-protocol ssl-client ssl-clientless
split-tunnel-policy tunnelspecified
split-tunnel-network-list value SPLIT_TUNNEL1
webvpn
anyconnect modules value umbrella
tunnel-group MY_TUNNEL1 type remote-access
tunnel-group MY_TUNNEL1 general-attributes
address-pool VPN_POOL1
default-group-policy ANYCONNECT_GP1
tunnel-group MY_TUNNEL1 webvpn-attributes
group-alias SSL_TUNNEL1 enable
Étape 9.2 Démarrez une connexion à la tête de réseau ASA à partir du client AnyConnect qui exécute la version 4.9.04053 sur l’ordinateur Windows.
Étape 9.3 Après cela, les modules AnyConnect Core & VPN et Umbrella Roaming Security sont mis à jour vers la version 4.9.06037 avec le verrouillage et le masquage des fonctionnalités de liste de programmes add/remove activés.
Vérification
Confirmer que la fonction de verrouillage est activée pour les modules AnyConnect installés
Étape 1. Ouvrez les services Windows (services.msc) comme suit.
Étape 2. Puis, rCliquez avec le bouton droit sur les services CORE & VPN et Umbrella Roaming Security.
Vous pouvez confirmer que la fonction de verrouillage est activée car vous n'êtes pas autorisé à démarrer, arrêter, mettre en pause, reprendre ou redémarrer les services pour ces modules AnyConnect.
Confirmer Masquer dans la liste Ajout/Suppression de programmes est activée pour les modules AnyConnect installés
Étape 1. Ouvrez le client AnyConnect comme suit.
Étape 2. Confirmez la version AnyConnect installée.
Pour cela, sélectionnez l’icône INFO sous le client AnyConnect comme suit :
Étape 2.1 Pour AnyConnect version 4.9.04053 :
Étape 2.2 Pour AnyConnect version 4.9.06037 :
Étape 3. Vérifiez que les modules AnyConnect CORE & VPN et Umbrella Roaming Security sont masqués dans la liste des programmes Add/Remove Windows.
Pour cela, accédez au Panneau de configuration Windows > Désinstaller un programme.
Dépannage
Il n'y a pas de procédure de dépannage à suivre pour ce document.
Bogues associés
CSCvy38427 ASDM : Transforme le nom de fichier doit commencer par le trait de soulignement « _ » pour prendre effet sur plusieurs modules CA
Informations connexes
Support et documentation techniques - Cisco Systems
Guide de l'administrateur du client Cisco AnyConnect Secure Mobility, version 4.0
Commentaires