Comprendre les exigences relatives au module d'itinérance AnyConnect pour les versions antérieures à la version 4.8 MR2 et au connecteur AD

Introduction

Ce document décrit la configuration requise pour l'utilisation d'un module d'itinérance AnyConnect antérieur à la version 4.8 MR2 et du connecteur AD.

Informations générales

Depuis le 27 janvier 2021, tous les clients doivent utiliser TLS 1.2+ pour se connecter au cloud Umbrella pour la synchronisation, l'enregistrement et les mises à jour. Les clients disposant de versions antérieures doivent effectuer des ajustements manuels afin de continuer à utiliser les clients Umbrella sans mise à jour.

Module d'itinérance AnyConnect

Client d'itinérance Windows ou module AnyConnect

Version de l'agent Endpoint : Les clients d'itinérance autonomes Umbrella prennent uniquement en charge la version actuelle. Les versions plus anciennes ne sont pas prises en charge. Cette version prend en charge TLS 1.2 nativement avec .NET 4.6.2+.

Ces deux conditions doivent être remplies :

1. A : Version du client
   • Cisco AnyConnect avec module d'itinérance Umbrella : Version 4.8.02042+ (lien)
     ou
   • Cisco AnyConnect 4.3 MR4+ et configuration de TLS 1.2 à utiliser avec les modifications apportées au registre Windows pour étendre la prise en charge de TLS afin d'inclure TLS 1.2 :
2. B : Version du .NET Framework
   • Version de Microsoft .NET Framework : .NET 4.6.2
     ou
   • versions .NET plus anciennes conformément aux exigences de la clé de Registre

Version de Windows : 7, 8, 8,1, 10

Remarque : Pour le client d'itinérance MacOS ou le module AnyConnect, la configuration système requise pour la prise en charge de TLS 1.2 n'a pas changé.

Pour ceux qui ne répondent pas à ces exigences, veuillez poursuivre la lecture.

Détails techniques

Vérifiez si des versions .NET plus anciennes sont installées et appliquez les clés de registre conformément à l'article Microsoft.

Étapes requises pour les versions de client antérieures à AnyConnect 4.8 MR2 (à partir de 2) :

Option A : cryptogramme visuel

Cette solution définit explicitement les protocoles sécurisés pris en charge sur l'ensemble de TLS 1.0, TLS 1.1 et TLS 1.2 plutôt que de s'appuyer sur les valeurs par défaut des appels .NET.

Voici un guide étape par étape :

1. Vérifiez quelle version de .NET Framework est installée sur l'ordinateur Windows.
2. Si seule la version 4.6.2 (ou ultérieure) de .NET est installée, la dernière version du .NET Framework vous oblige à basculer avec un chiffrement plus fort. Utilisez ces clés de registre :

   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
   "SchUseStrongCrypto"=dword:00000001

   [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
   "SchUseStrongCrypto"=dword:00000001

Un script PowerShell est fourni à titre d'exemple pour effectuer ces modifications via SCCM/CLI. Ce script est fourni tel quel.

# set strong cryptography on 64 bit .Net Framework (version 4 and above)
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -Type DWord
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -Type DWord


# set strong cryptography on 32 bit .Net Framework (version 4 and above)
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -Type DWord 
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -Type DWord

Option B : VersionsTlsParDéfautSystème

Pour les versions .NET plus anciennes, cette option est requise pour les clients plus anciens. Pour .NET 4.6.2+, il s'agit d'une alternative équivalente à schusestrongcrypto ; les deux solutions sont requises.

Cette solution diffère le choix de la version TLS du système d'exploitation au lieu de le déterminer dans .NET. Permet aux appels hérités d'utiliser les versions prises en charge par le système. Dans la plupart des cas, cela inclut TLS 1.2.

1. .NET 4.5.1, 4.5.2 : Requiert https://support.microsoft.com/kb/3156421
2. .NET 3.5 SP1 sous Windows 7 : Requiert https://support.microsoft.com/kb/3154518
3. .NET 3.5 SP1 sous Windows 8.1 : Requiert https://support.microsoft.com/kb/3154520
4. .NET 4.6.2+ : Aucune exigence supplémentaire

   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
   "SystemDefaultTlsVersions"=dword:00000001

   [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
   "SystemDefaultTlsVersions"=dword:00000001

Connecteur Active Directory

Plates-formes prises en charge : Windows Server 2012 et versions ultérieures.

Si votre Connecteur fonctionne sur Windows Server 2012 ou version ultérieure et exécute .NET version 4.x, le Connecteur doit utiliser TLS 1.2 par défaut lors de la communication avec Umbrella.

Remarque : La prise en charge des connecteurs exécutant Windows Server 2008 et 2008 R2 a été interrompue, car Microsoft a annoncé la fin de la prise en charge de ces versions en janvier 2020. Vous devez effectuer une mise à niveau vers une version de Windows Server prise en charge pour continuer à exécuter le Connecteur. Si vous ne pouvez pas mettre à niveau la version de Windows Server, assurez-vous d'installer .NET version 4.5 sur ce système afin de permettre au connecteur d'utiliser TLS 1.2 pour communiquer avec Umbrella.