Déploiement de sécurité Web d'AnyConnect par l'ASA

Introduction

Ce document décrit déployer du module de sécurité Web d'AnyConnect pour le VPN basé par client se terminant sur les appliances de sécurité adaptable Cisco (ASA).

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est opérationnel, assurez-vous que vous comprenez l'effet potentiel de toute commande.

Informations générales

• Téléchargez l'image d'Anyconnect (recommandez v4.1+) sur l'ASA

• Activez le profil VPN sur l'ASA, suivant les indications de l'image

Configurez

Déploiement d'Anyconnect WebSecurity par l'ASA

Les étapes impliquées dans la configuration sont :

• Configurez le profil de client d'Anyconnect Websecurity
• Éditez la stratégie de groupe d'Anyconnect VPN
• Placez l'exclusion fendue pour le module choisi de client de sécurité Web de téléchargement de Securityand de Web  
• Éditez la stratégie de groupe d'Anyconnect VPN et sélectionnez le profil de client de sécurité Web

Étape 1. Configurer le profil de client d'Anyconnect Websecurity

Naviguez vers le profil de client de >Anyconnect d'Access de >Network de VPN d'accès de >Remove de configuration (client), cliquez sur en fonction

Ajoutez et sélectionnez le profil de client de sécurité Web d'AnyConnect.

Remarque: Le nom de profil est codé en dur sur le côté client, ainsi indépendamment du nom configuré, l'ASA élimine toujours Websecurity_serviceprofile.wso au client.

Remarque: C'est un profil par défaut sans clé de licence d'authentification.

Étape 2. Éditez le profil de création récente pour ajouter la clé de licence d'authentification et pour personnaliser la configuration.

Étape 3. Placez l'exclusion fendue pour la sécurité Web et sélectionnez le module de client de sécurité Web de téléchargement

Éditez la stratégie de groupe d'Anyconnect VPN, suivant les indications de l'image. 

Suivant les indications de l'image, exclusion fendue installée pour la sécurité Web.

  Sélectionnez le module de client de sécurité Web de téléchargement, suivant les indications de l'image.

Étape 4. Profil de client de sécurité Web de téléchargement

Éditez les profils de stratégie de groupe > de client d'Anyconnect VPN aux télécharger > ajoutent, choisissent maintenant le profil créé (comme dans étape 1)

Cliquez sur OK et appliquez les modifications.

Vérifiez

Quand vous vous connectez à l'Anyconnect VPN, l'ASA poussera le module de webscurity d'Anyconnect par le VPN suivant les indications de l'image.

Si vous êtes déjà ouvert une session, son recommandé pour se fermer une session et ouvrir une session alors de retour pour que la fonctionnalité soit activée.

Version d'Anyconnect de mise à jour/Downgrade

La fonctionnalité de déploiement demeure inchangée si la version est mise à jour. Cependant, le downgrade n'est pas possible. Ainsi, avec l'exemple en cours de 4.1.x, il peut être amélioré à la version 4.2

Les étapes impliquées sont comme suit :

Étape 1. Téléchargez le dernier module 4.2 d'Anyconnect pour flasher et pour remplacer 4.1 par le dernier fichier.

Sous le logiciel client d'Anyconnect > remplacez, et puis choisissez le fichier d'image récent.

Étape 2. Quand vous rebranchez à l'Anyconnect VPN, l'ASA poussera le dernier module d'Anyconnect par le VPN sans des modifications au profil de sécurité Web.

Remarque: Le Downgrade n'est pas pris en charge.

Dépannez

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.

Utilisant le DART pour recueillir l'information de dépannage :

Le DART est les diagnostics et l'outil de génération de rapports d'AnyConnect que vous pouvez employer pour collecter des données utiles pour dépanner l'installation et les problèmes de connexion d'AnyConnect. Le DART prend en charge des versions 10.5 et 10.6 de Windows 7, de Windows Vista, de Windows XP, de MAC, et le Linux Redhat. L'assistant de DART s'exécute sur l'ordinateur qui exécute AnyConnect. Il compile les logs, l'état, et les informations de diagnostic pour l'analyse du centre d'assistance technique Cisco (TAC) et n'exige pas des privilèges d'administrateur.

Bien que le DART ne se fonde sur aucun composant du logiciel d'AnyConnect pour fonctionner, pourtant vous pouvez le lancer d'AnyConnect, il collectera le fichier journal d'AnyConnect, s'il est disponible. Actuellement, le DART est disponible comme installation autonome, ou l'administrateur peut pousser cette application au PC client en tant qu'élément de l'infrastructure dynamique de téléchargement d'AnyConnect. Une fois qu'installé, l'utilisateur final peut commencer l'assistant du répertoire de Cisco disponible par le bouton Start.