Déploiement de sécurité Web AnyConnect via ASA

Introduction

Ce document décrit le déploiement d'un module de sécurité Web AnyConnect pour un VPN client se terminant sur les appareils de sécurité adaptatifs Cisco (ASA).

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informations générales

• Télécharger l'image Anyconnect (version 4.1+ recommandée) sur ASA

• Activez le profil VPN sur ASA, comme illustré dans l'image

Configuration

Déploiement Anyconnect WebSecurity via ASA

Les étapes de configuration sont les suivantes :

• Configurer le profil client Anyconnect Websecurity
• Modifier la stratégie de groupe Anyconnect VPN
• Définir l'exclusion de fractionnement pour la sécurité Web et sélectionner le module client Télécharger la sécurité Web  
• Modifier la stratégie de groupe Anyconnect VPN et sélectionner le profil client de sécurité Web

Étape 1. Configuration du profil Anyconnect Websecurity Client

Naviguez jusqu'à Configuration >Remove Access VPN >Network (Client) Access >Anyconnect Client Profile, cliquez sur

Ajoutez et sélectionnez le profil client de sécurité Web AnyConnect.

Note: Le nom du profil est codé en dur côté client, donc quel que soit le nom configuré, l'ASA envoie toujours Websecurity_service.wso au client.

Note: Il s'agit d'un profil par défaut sans clé de licence d'authentification.

Étape 2. Modifiez le profil nouvellement créé pour ajouter la clé de licence d'authentification et personnaliser la configuration.

Étape 3. Définissez l'exclusion de fractionnement pour la sécurité Web et sélectionnez télécharger le module client de sécurité Web

Modifiez la stratégie de groupe Anyconnect VPN, comme illustré dans l'image. 

Comme l'illustre l'image, configurez l'exclusion fractionnée pour la sécurité Web.

  Sélectionnez Download Web Security Client Module, comme illustré dans l'image.

Étape 4. Télécharger le profil du client de sécurité Web

Modifier la stratégie de groupe Anyconnect VPN > Profils client à télécharger > Ajouter, sélectionnez maintenant le profil créé (comme à l'étape 1)

Cliquez sur OK et appliquez les modifications.

Vérification

Lorsque vous vous connectez à Anyconnect VPN, ASA pousse le module Anyconnect webscurity à travers VPN, comme l'illustre l'image.

Si vous êtes déjà connecté, il est recommandé de se déconnecter, puis de se reconnecter pour que la fonctionnalité soit activée.

Mise à niveau/rétrogradation de la version Anyconnect

La fonctionnalité de déploiement reste inchangée si la version est mise à niveau. Cependant, il n'est pas possible de rétrograder. Ainsi, avec l'exemple actuel de 4.1.x, il peut être mis à niveau vers la version 4.2

Les étapes à suivre sont les suivantes :

Étape 1. Téléchargez la dernière version du package Anyconnect 4.2 en mémoire flash et remplacez la version 4.1 par le dernier fichier.

Sous Anyconnect Client Software > Replace, puis choisissez le fichier image récent.

Étape 2. Lorsque vous vous reconnectez à Anyconnect VPN, ASA envoie le dernier module Anyconnect via VPN sans modification du profil de sécurité Web.

Note: La rétrogradation n'est pas prise en charge.

Dépannage

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.

Utilisation de DART pour collecter des informations de dépannage :

DART est l'outil de diagnostic et de rapport AnyConnect que vous pouvez utiliser pour collecter des données utiles pour le dépannage des problèmes d'installation et de connexion AnyConnect. DART prend en charge Windows 7, Windows Vista, Windows XP, Mac versions 10.5 et 10.6 et Linux Redhat. L'assistant DART s'exécute sur l'ordinateur qui exécute AnyConnect. Il rassemble les journaux, l'état et les informations de diagnostic pour l'analyse du centre d'assistance technique Cisco (TAC) et ne nécessite pas de privilèges d'administrateur.

Bien que DART ne s’appuie sur aucun composant du logiciel AnyConnect pour s’exécuter, vous pouvez néanmoins le lancer à partir d’AnyConnect, il collecte le fichier journal AnyConnect, s’il est disponible. Actuellement, DART est disponible en tant qu'installation autonome, ou l'administrateur peut transmettre cette application au PC client dans le cadre de l'infrastructure de téléchargement dynamique AnyConnect. Une fois installé, l'utilisateur final peut démarrer l'assistant à partir du dossier Cisco disponible via le bouton Démarrer.