La boîte de dialogue Configuration > Remote Access > Network (Client) Access > Group Policies > Advanced > IPsec (IKEv1) Client Add or Edit Group Policy > IPsec (Configuration > Accès à distance > Accès réseau [client] > Stratégies de groupe > Avancé > IPsec [IKEv1] Client Ajouter ou Modifier une Stratégie de groupe > IPsec) vous permet de préciser les protocoles de tunnellisation, les filtres, les paramètres de connexion et les serveurs pour la stratégie de groupe en cours d’ajout ou de modification:

• Re-Authentication on IKE Re-Key (Re-authentification lors du renouvellement IKE) : active ou désactive la réauthentification lorsque le renouvellement IKE se produit, à moins que la case Inherit (Hériter) ne soit cochée. L’utilisateur a 30 secondes pour saisir les informations d’authentification et jusqu’à trois tentatives avant que la SA n’expire à environ deux minutes et que le tunnel ne se termine.

• Allow entry of authentication credentials until SA expires (Autoriser l’entrée des informations d’authentification jusqu’à l’expiration de la SA) : permet aux utilisateurs de réintroduire les informations d’authentification jusqu’à la durée de vie maximale de la SA configurée.

• IP Compression (Compression IP) : active ou désactive la Compression IP, à moins que la case Inherit (Hériter) ne soit cochée.

• Perfect Forward Secrecy (Confidentialité persistante parfaite) : active ou désactive la confidentialité persistante parfaite (PFS), sauf si la case Inherit (Hériter) est cochée. Le protocole PFS garantit que la clé d’une SA IPsec donnée n’est pas dérivée d’un autre secret (comme certaines autres clés). En d’autres termes, si personne ne parvenait à casser une clé, le protocole PFS garantit que l’agresseur ne pourrait pas obtenir d’autres clés. Si le protocole PFS n’était pas activé, une personne pourrait éventuellement casser la clé secrète IKE SA, copier toutes les données protégées IPsec, puis utiliser la connaissance du secret IKE SA pour compromettre les SA IPsec configurées par cette SA IKE. Avec PFS, la rupture d’IKE ne donnerait pas à un agresseur un accès immédiat à IPsec. L’agresseur devrait casser chaque SA IPsec individuellement.

• Store Password on Client System (Stocker le mot de passe sur le système client) : active ou désactive le stockage du mot de passe sur le système client.

  Remarque

  Le stockage du mot de passe sur un système client peut constituer un risque potentiel pour la sécurité.

• IPsec over UDP (IPsec sur UDP) : active ou désactive l’utilisation d’IPsec sur UDP.

• IPsec over UDP Port (Port IPsec sur UDP) : spécifie le port UDP à utiliser pour IPsec sur UDP.

• Tunnel Group Lock (Verrouillage du groupe de tunnels) : verrouille le groupe de tunnels choisi, à moins que la case Inherit (Hériter) ou la valeur None (Aucun) ne soit sélectionnée.

• IPsec Backup Servers (Serveurs de sauvegarde IPsec) : active les champs Server Configuration (Configuration du serveur) et Server IP Addresses (Adresses IP du serveur), afin que vous puissiez préciser les serveurs de sauvegarde UDP à utiliser si ces valeurs ne sont pas héritées.

  • Server Configuration (Configuration du serveur) : répertorie les options de configuration du serveur à utiliser comme serveur de sauvegarde IPsec. Les options disponibles sont les suivantes : Keep Client Configuration (Conserver la configuration du client) [par défaut], Use the Backup Servers Below (Utiliser les serveurs de sauvegarde ci-dessous) et Clear Client Configuration (Effacer la configuration du client).

  • Server Addresses (space delimited) [Adresses du serveur (délimitées par des espaces)] : spécifie les adresses IP des serveurs de sauvegarde IPsec. Ce champ est disponible uniquement lorsque la valeur de la sélection Server Configuration (Configuration du serveur) est Use the Backup Servers Below (Utiliser les serveurs de sauvegarde ci-dessous).

La boîte de dialogue Add or Edit Group Policy Client Firewall (Ajouter ou Modifier le pare-feu client de la stratégie de groupe) vous permet de configurer les paramètres de pare-feu pour les clients VPN pour la stratégie de groupe en cours d’ajout ou de modification. Seuls les clients VPN exécutant Microsoft Windows peuvent utiliser ces paramètres de pare-feu. Ils ne sont actuellement pas disponibles pour les clients matériels ou autres clients logiciels (non Windows).

Les utilisateurs distants se connectant à l’ASA avec le client VPN peuvent choisir l’option de pare-feu appropriée.

Dans le premier scénario, un utilisateur distant dispose d’un pare-feu personnel installé sur le PC. Le client VPN applique la politique de pare-feu définie sur le pare-feu local et il surveille ce pare-feu pour s’assurer qu’il est en cours d’exécution. Si le pare-feu arrête de s’exécuter, le client VPN abandonne la connexion à l’ASA. (Ce mécanisme d’application de pare-feu s’appelle Êtes-vous là (AYT), car le client VPN surveille le pare-feu en lui envoyant périodiquement « êtes-vous là?» messages ; si aucune réponse ne parvient, le client VPN sait que le pare-feu est en panne et met fin à sa connexion à l’ASA.) L’administrateur réseau peut configurer ces pare-feu de PC à l’origine, mais avec cette approche, chaque utilisateur peut personnaliser sa propre configuration.

Dans le deuxième scénario, vous pourriez préférer appliquer une politique de pare-feu centralisée pour les pare-feu personnels sur les PC clients VPN. Un exemple courant serait de bloquer le trafic Internet vers les PC distants d’un groupe à l’aide de la tunnellisation fractionnée. Cette approche protège les PC, et donc le site central, contre les intrusions d’Internet pendant l’établissement des tunnels. Ce scénario de pare-feu est appelé politique poussée ou politique de protection centrale (CPP). Sur l’ASA, vous créez un ensemble de règles de gestion du trafic à appliquer au client VPN, vous associez ces règles à un filtre, puis vous désignez ce filtre comme politique de pare-feu. L’ASA transfère cette politique au client VPN. Le client VPN transmet ensuite la politique au pare-feu local, qui l’applique.

Configuration > Remote Access > Network (Client) Access > Group Policies > Advanced > IPsec (IKEv1) Client > Client Firewall (Configuration > Accès à distance > Accès au réseau [client] > Stratégies de groupe > Avancé > Client IPsec [IKEv1] > Pare-feu client)

Champs

• Inherit (Hériter) : détermine si la stratégie de groupe obtient son paramètre de pare-feu client à partir de la stratégie de groupe par défaut. Il s’agit du paramètre par défaut. Lorsqu’il est défini, il remplace les attributs restants dans cette boîte de dialogue et estompe leurs noms.

• Client Firewall Attributes (Attributs de pare-feu client) : spécifie les attributs du pare-feu client, y compris le type de pare-feu (le cas échéant) mis en œuvre et la politique de pare-feu pour ce pare-feu.

• Firewall Setting (Paramètre de pare-feu) : indique si un pare-feu existe et, si oui, s’il est obligatoire ou facultatif. Si vous choisissez No Firewall (Aucun pare-feu) [par défaut], aucun des champs restants dans cette boîte de dialogue n’est actif. Si vous souhaitez que les utilisateurs de ce groupe soient protégés par un pare-feu, choisissez le paramètre Firewall Required (Pare-feu requis) ou Firewall Optional (Pare-feu facultatif).

  Si vous choisissez Firewall Required (Pare-feu requis), tous les utilisateurs de ce groupe doivent utiliser le pare-feu désigné. L’ASA abandonne toute session qui tente de se connecter sans que le pare-feu désigné et pris en charge soit installé et en cours d’exécution. Dans ce cas, l’ASA informe le client VPN que la configuration de son pare-feu ne correspond pas.

  Remarque

  Si vous avez besoin d’un pare-feu pour un groupe, assurez-vous que le groupe ne comprend aucun client autre que les clients VPN Windows. Aucun autre client dans le groupe (y compris ASA 5505 en mode client) ne peut se connecter.

  Si vous avez des utilisateurs distants dans ce groupe qui ne disposent pas encore de la capacité de pare-feu, choisissez Firewall Optional (Pare-feu facultatif). Le paramètre Firewall Optional (Pare-feu facultatif) permet à tous les utilisateurs du groupe de se connecter. Ceux qui ont un pare-feu peuvent l’utiliser; les utilisateurs qui se connectent sans pare-feu reçoivent un message d’avertissement. Ce paramètre est utile si vous créez un groupe dans lequel certains utilisateurs ont une prise en charge de pare-feu et d’autres non. Par exemple, vous pouvez avoir un groupe en transition progressive, dans lequel certains membres ont configuré la capacité de pare-feu et d’autres ne l’ont pas encore fait.

• Firewall Type (Type de pare-feu) : répertorie les pare-feu de plusieurs fournisseurs, y compris Cisco. Si vous choisissez Custom Firewall (Pare-feu personnalisé), les champs sous Custom Firewall (Pare-feu personnalisé) deviennent actifs. Le pare-feu que vous désignez doit correspondre aux stratégies de pare-feu disponibles. Le pare-feu que vous configurez détermine les options de stratégie de pare-feu prises en charge.

• Custom Firewall (Pare-feu personnalisé) : spécifie l’ID du fournisseur, l’ID de produit et la description du pare-feu personnalisé.

  • Vendor ID (ID du fournisseur) : spécifie le fournisseur du pare-feu personnalisé pour cette stratégie de groupe.

  • Product ID (ID de produit) : spécifie le nom de produit ou de modèle du pare-feu personnalisé en cours de configuration pour cette stratégie de groupe.

  • Description : (facultatif) décrit le pare-feu personnalisé.

• Firewall Policy (Stratégie de pare-feu) : spécifie le type et la source de la stratégie de pare-feu personnalisée.

  • Policy defined by remote firewall (AYT) (Stratégie définie par le pare-feu distant [AYT]) : spécifie que la stratégie de pare-feu est définie par le pare-feu distant (Are You There). La stratégie définie par le pare-feu distant (AYT) signifie que les utilisateurs distants de ce groupe ont des pare-feu situés sur leur PC. Le pare-feu local applique la stratégie de pare-feu sur le client VPN. L’ASA permet aux clients VPN de ce groupe de se connecter uniquement si le pare-feu désigné est installé et en cours d’exécution. Si le pare-feu désigné n’est pas en cours d’exécution, la connexion échoue. Une fois la connexion établie, le client VPN interroge le pare-feu toutes les 30 secondes pour s’assurer qu’il est toujours en cours d’exécution. Si le pare-feu arrête de s’exécuter, le client VPN met fin à la session.

  • Policy pushed (CPP) (Stratégie poussée [CPP]) : spécifie que la stratégie est poussée par l’homologue. Si vous choisissez cette option, les listes Inbound Traffic Policy (Stratégie de trafic entrant) et Outbound Traffic Policy (Stratégie de trafic sortant), ainsi que le bouton Manage (Gérer), deviennent actifs. L’ASA applique aux clients VPN de ce groupe les règles de gestion du trafic définies par le filtre que vous choisissez dans la liste déroulante Policy Pushed (CPP) [Stratégie poussée (CPP)]. Les choix disponibles dans le menu sont des filtres définis dans cet ASA, y compris les filtres par défaut. Gardez à l’esprit que l’ASA applique ces règles au client VPN. Vous devez donc créer et définir ces règles par rapport au client VPN, et non à l’ASA. Par exemple, « in » et « out » (sortie) font référence au trafic entrant dans le client VPN ou sortant du client VPN. Si le client VPN dispose également d’un pare-feu local, la stratégie transmise par l’ASA fonctionne avec la stratégie du pare-feu local. Tout paquet bloqué par les règles de l’un ou l’autre des pare-feu est abandonné.

  • Inbound Traffic Policy (Stratégie de trafic entrant) : répertorie les stratégies poussées disponibles pour le trafic entrant.

  • Outbound Traffic Policy (Stratégie de trafic sortant) : répertorie les stratégies poussées disponibles pour le trafic sortant.

  • Manage (Gérer) : affiche la boîte de dialogue ACL Manager (Gestionnaire ACL), dans laquelle vous pouvez configurer les listes de contrôle d’accès (ACL).

La stratégie de groupe pour les connexions VPN de site à site spécifie les protocoles de tunnellisation, les filtres et les paramètres de connexion. Pour chacun des champs de cette boîte de dialogue, cocher la case Inherit (Hériter) permet au paramètre correspondant de prendre sa valeur à partir de la stratégie de groupe par défaut. Inherit (Hériter) est la valeur par défaut de tous les attributs de cette boîte de dialogue.

Champs

Les attributs suivants apparaissent dans la boîte de dialogue Add Internal Group Policy (Ajouter une stratégie de groupe interne) > General (Général). Ils s’appliquent aux sessions VPN SSL et IPsec. Ainsi, plusieurs sont présents pour un type de session, mais pas pour l’autre.

• Name (Nom) : spécifie le nom de cette stratégie de groupe. Pour la fonction d’édition, ce champ est en lecture seule.

• Tunneling Protocols (Protocoles de tunnellisation) : spécifie les protocoles de tunnellisation autorisés par ce groupe. Les utilisateurs ne peuvent utiliser que les protocoles sélectionnés. Voici les différents choix proposés :

  • Clientless SSL VPN (VPN SSL sans client) : spécifie l’utilisation du VPN par SSL/TLS, qui utilise un navigateur Web pour établir un tunnel d’accès à distance sécurisé vers un ASA ; ne nécessite ni logiciel ni matériel client. Le VPN SSL sans client peut fournir un accès facile à un large éventail de ressources d’entreprise, y compris les sites Web d’entreprise, les applications Web, le partage de fichiers NT/AD (activé sur le Web), le courriel et d’autres applications basées sur TCP à partir de presque n’importe quel ordinateur qui peut atteindre les sites Internet HTTPS.

  • SSL VPN Client (Client VPN SSL) : spécifie l’utilisation du module VPN AnyConnect du client ou de l’ancien client VPN SSL. Si vous utilisez Secure Client, vous devez choisir ce protocole pour que MUS soit pris en charge.

  • IPsec IKEv1 : protocole de sécurité IP. Considéré comme le protocole le plus sécurisé, IPsec fournit l’architecture la plus complète pour les tunnels VPN. Les connexions de site à site (homologue à homologue) et les connexions de client VPN Cisco à réseau local (LAN) peuvent utiliser IPsec IKEv1.

  • IPsec IKEv2 : pris en charge par le client . Les connexions Secure Client utilisant IPsec avec IKEv2 fournissent des fonctionnalités avancées telles que les mises à jour logicielles, les profils clients, la localisation et la personnalisation de l’interface graphique (traduction) et la personnalisation, Cisco Secure Desktop et le serveur proxy SCEP.

  • L2TP sur IPsec (L2TP over IPsec) : permet aux utilisateurs distants avec des clients VPN fournis avec plusieurs systèmes d’exploitation courants pour PC et PC mobiles d’établir des connexions sécurisées sur le réseau IP public avec l’appareil de sécurité et les réseaux privés d’entreprise. L2TP utilise PPP sur UDP (port 1701) pour tunneliser les données. L’appareil de sécurité doit être configuré pour le mode de transport IPsec.

• Filter (Filtre) : (accès réseau (client) uniquement) spécifie la liste de contrôle d’accès à utiliser ou s’il faut hériter de la valeur de la stratégie de groupe. Les filtres consistent en des règles qui déterminent s’il faut autoriser ou rejeter les paquets de données tunnellisés en fonction de critères comme l’adresse source, l’adresse de destination et le protocole. Notez que le filtre VPN s’applique aux connexions initiales uniquement. Il ne s’applique pas aux connexions secondaires, comme une connexion de support SIP, qui sont ouvertes en raison de l’action de l’inspection d’application. Pour configurer les filtres et les règles, consultez la boîte de dialogue de la politique de groupe. Cliquez sur Manage (Gérer) pour ouvrir le gestionnaire d’ACL, où vous pouvez afficher et configurer les listes de contrôle d’accès.

• Idle Timeout (Délai d’inactivité) : si la case Inherit (Hériter) n’est pas cochée, ce paramètre définit le délai d’inactivité en minutes.

  S’il n’y a aucune activité de communication sur la connexion pendant cette période, le système arrête la connexion. La durée minimale est de 1 minute, la durée maximale est de 10080 minutes et la valeur par défaut est de 30 minutes. Pour autoriser un temps de connexion illimité, cochez Unlimited (Illimité).

• Maximum Connect Time (Durée maximale de connexion) : si la case Inherit (Hériter) n’est pas cochée, ce paramètre définit la durée maximale de connexion de l’utilisateur en minutes.

  À la fin de cette durée, le système met fin à la connexion. La durée minimale est de 1 minute et la durée maximale est de 35 791 394 minutes. Pour autoriser une durée de connexion illimitée, cochez Unlimited (Illimité) (par défaut).

• Periodic Certificate Authentication Interval (Intervalle d’authentification périodique du certificat) : intervalle de temps en heures avant que l’authentification du certificat soit relancée périodiquement.

  Si la case Inherit (Hériter) n’est pas cochée, vous pouvez définir l’intervalle d’exécution de la vérification périodique du certificat. La plage est comprise entre 1 et 168 heures, et la valeur par défaut est désactivée. Pour autoriser une vérification illimitée, cochez Unlimited (Illimité).

Dans le volet principal du profil de connexion Secure Client, vous pouvez activer l’accès client sur les interfaces et ajouter, modifier et supprimer des profils de connexion. Vous pouvez également préciser si vous souhaitez autoriser un utilisateur à choisir une connexion particulière lors de la connexion.

• Access Interfaces (Interfaces d’accès) : vous permet de choisir dans un tableau les interfaces sur lesquelles activer l’accès. Les champs de ce tableau comprennent le nom de l’interface et des cases à cocher précisant s’il faut autoriser l’accès.

  • Dans le tableau Interface, sur la ligne de l’interface que vous configurez pour les connexions Secure Client, cochez les protocoles que vous souhaitez activer sur l’interface. Vous pouvez autoriser l’accès SSL, l’accès IPsec ou les deux.

    Lorsque vous cochez SSL, DTLS (Datagram Transport Layer Security) est activé par défaut. L’utilisation de DTLS évite les problèmes de latence et de bande passante associés à certaines connexions SSL et améliore la performance des applications en temps réel sensibles aux retards de paquets.

    Lorsque vous cochez l’accès IPsec (IKEv2), les services clients sont activés par défaut. Les services clients comprennent des fonctionnalités Secure Client améliorées, notamment les mises à jour logicielles, les profils clients, la localisation (traduction) et la personnalisation de l’interface graphique, Cisco Secure Desktop et le proxy SCEP. Si vous désactivez les services clients, Secure Client établit toujours des connexions IPsec de base avec IKEv2.

  • Device Certificate (Certificat de périphérique) : vous permet de préciser un certificat pour l’authentification pour une clé RSA ou une clé ECDSA. Consultez Préciser le certificat du périphérique.

  • Port Setting (Paramètre de port) : configurez les numéros de port pour les connexions HTTPS et DTLS (client d’accès à distance uniquement). Consultez Profils de connexion, paramètres de port.

  • Bypass interface access lists for inbound VPN sessions (Contourner les listes d’accès d’interface pour les sessions VPN entrantes) : Enable inbound VPN sessions to bypass interface ACLs (Activer les sessions VPN entrantes pour contourner les ACL d’interface) est cochée par défaut. L’appareil de sécurité permet à tout le trafic VPN de passer par les listes de contrôle d’accès de l’interface. Par exemple, même si l’ACL de l’interface externe ne permet pas au trafic déchiffré, l’appareil de sécurité fait confiance au réseau privé distant et permet aux paquets déchiffrés de passer. Vous pouvez modifier ce comportement. Si vous souhaitez que l’ACL de l’interface inspecte le trafic protégé par le VPN, décochez cette case.

• Paramètres de la page de connexion

  • Autorisez l’utilisateur à choisir un profil de connexion, identifié par son alias, sur la page de connexion. Si vous ne cochez pas cette case, le profil de connexion par défaut est DefaultWebVPNGroup.

  • Shutdown portal login page (Page de connexion du portail désactivée) : affiche la page Web lorsque la connexion est désactivée.

• Connection Profiles (Profils de connexion) : configurez les attributs propres au protocole pour les connexions (groupes de tunnels).

  • Add/Edit (Ajouter/modifier) : cliquez pour ajouter ou modifier un profil de connexion (groupe de tunnels).

  • Name (Nom) : nom du profil de connexion.

  • Aliases (Alias) : autres noms par lesquels le profil de connexion est connu.

  • SSL VPN Client Protocol (Protocole client VPN SSL : spécifie si le client VPN SSL a accès.

  • Group Policy (Stratégies de groupe) : affiche la stratégie de groupe par défaut pour ce profil de connexion.

  • Allow user to choose connection, identified by alias in the table above, at login page (Autoriser l’utilisateur à choisir la connexion, identifiée par l’alias dans le tableau ci-dessus, sur la page de connexion) : cochez cette option pour activer l’affichage des alias de profil de connexion (groupe de tunnels) sur la page de connexion.

• Laissez l’URL de groupe prendre le pas si l’URL de groupe et la carte de certificat correspondent à différents profils de connexion. Sinon, le profil de connexion correspondant à la carte de certificat sera utilisé : cette option précise la préférence relative de l’URL de groupe et des valeurs de certificat pendant le processus de sélection du profil de connexion. Si l’ASA ne parvient pas à correspondre à la valeur préférée, il choisit le profil de connexion qui correspond à l’autre valeur. Cochez cette option uniquement si vous souhaitez vous baser sur la préférence utilisée par de nombreuses versions logicielles ASA plus anciennes pour faire correspondre l’URL de groupe spécifiée par le terminal VPN au profil de connexion qui spécifie la même URL de groupe. Cette option est décochée par défaut. Si cette option n’est pas cochée, l’ASA préfère faire correspondre la valeur de champ de certificat spécifiée dans le profil de connexion à la valeur de champ du certificat utilisé par le point terminal pour affecter le profil de connexion.

Configurez les numéros de port des connexions SSL et DTLS (accès à distance uniquement) dans les volets de profil de connexion d’ASDM :

Configuration > Remote Access VPN (VPN d’accès à distance) > Network (Client) Access (Accès réseau [client]) > Connection Profiles (Profils de connexion)vSecure Client

Champs

• HTTPS Port (Port HTTPS) : port à activer pour les connexions SSL HTTPS (basées sur le navigateur). La plage est comprise entre 1 et 65 535. La valeur par défaut du port est 443.

• DTLS Port (Port DTLS) : port UDP à activer pour les connexions DTLS. La plage est comprise entre 1 et 65 535. La valeur du port par défaut est 443.

Pour définir les attributs de base d’un module VPN AnyConnect de Cisco Secure Client, choisissez Add (Ajouter) ou Edit (Modifier) dans la section Connection Profiles (Profils de connexion) Secure Client. La boîte de dialogue Add (Ajouter) (ou Edit (Modifier)) Connection Profile (Profil de connexion) Secure Client > Basic (Base) s’ouvre.

• Name (nom) : pour ajouter, précisez le nom du profil de connexion que vous ajoutez. Pour modifier, ce champ n’est pas modifiable.

• Alias : (facultatif) saisissez un ou plusieurs noms alternatifs pour la connexion. Vous pouvez ajouter des espaces ou des signes de ponctuation pour séparer les noms.

• Authentication (authentification) : choisissez l’une des méthodes suivantes à utiliser pour authentifier la connexion et préciser le groupe de serveurs AAA à utiliser dans l’authentification.

  • Le protocole d’authentification a été étendu pour définir un échange de protocole pour l’authentification à certificats multiples et l’utiliser pour les deux types de sessions. Vous pouvez valider plusieurs certificats par session avec les protocoles client Secure Client SSL et IKEv2. Choisissez le type d’authentification à utiliser : AAA, AAA and certificate (AAA et certificat), Certificate only (Certificat uniquement), SAML (SAML), Multiple certificates and AAA (Plusieurs certificats et AAA), Multiple certificates (Plusieurs certificats), SAML and certificate (SAML et certificat) ou Multiple certificates and SAML (Plusieurs certificats et SAML). Selon votre sélection, vous devrez peut-être fournir un certificat pour vous connecter.

  • AAA Server Group (Groupe de serveurs AAA) : choisissez un groupe de serveurs AAA dans la liste déroulante. Le paramètre par défaut est LOCAL, ce qui spécifie que l’ASA gère l’authentification. Avant de faire une sélection, vous pouvez cliquer sur Manage (Gérer) pour ouvrir une boîte de dialogue par-dessus celle-ci afin d’afficher ou de modifier la configuration ASA des groupes de serveurs AAA.

    • Choisir autre chose que LOCAL rend disponible la case à cocher Use LOCAL if Server Group Fails (Utiliser LOCAL si le groupe de serveurs échoue).

    • Use LOCAL if Server Group Fails (Utiliser LOCAL si le groupe de serveurs échoue) : cochez cette option pour activer l’utilisation de la base de données locale si le groupe spécifié par l’attribut Authentication Server Group (Groupe de serveurs d’authentification) échoue.

• SAML Identity Provider (Fournisseur d’identité SAML) : choisissez le serveur fournisseur d’identité SAML pour l’authentification par connexion unique (SSO).

  • SAML Server (Serveur SAML) : sélectionnez le serveur SAML dans la liste déroulante pour l’authentification par connexion unique Secure Client ou cliquez sur Manage (Gérer) pour ajouter un serveur SSO et configurer les paramètres suivants :

    • IDP Entity ID (ID d’entité IDP) : l’ID d’entité du fournisseur d’identité SAML.

    • Sign In URL (URL de connexion) : URL de connexion au fournisseur d’identité. La valeur de l’URL doit contenir de 4 à 500 caractères.

    • Sign Out URL (URL de déconnexion) : (facultatif) URL vers laquelle rediriger lors de la déconnexion du fournisseur d’identité. La valeur de l’URL doit contenir de 4 à 500 caractères.

    • Base URL (URL de base) : (facultatif) URL fournie aux fournisseurs d’identité tiers pour rediriger les utilisateurs finaux vers l’ASA.

      Lorsque base-url est configuré, nous l’utilisons comme URL de base pour les attributs AssertionConsumerService et SingleLogoutService dans show saml metadata .

      Lorsque l’URL de base n’est pas configurée, l’URL est déterminée par le nom d’hôte et le nom de domaine de l’ASA. Par exemple, nous utilisons https://ssl-vpn.cisco.com lorsque le nom d’hôte est ssl-vpn et que le nom de domaine est cisco.com.

      Une erreur se produit si ni l’URL de base ni le nom d’hôte/nom de domaine ne sont configurés lors de la saisie de show saml metadata .

    • Identity Provider Certificate (Certificat du fournisseur d’identité) : spécifie le point de confiance qui contient le certificat du fournisseur d’identité pour que l’ASA vérifie les assertions SAML. Choisissez un point de confiance précédemment configuré.

    • Service Provider Certificate (Certificat du fournisseur de services) : (facultatif) spécifie le point de confiance qui contient le certificat de l’ASA (SP) pour que le fournisseur d’identité vérifie la signature de l’ASA ou l’assertion SAML chiffrée. Choisissez un point de confiance précédemment configuré.

    • Request Signature (demander la signature) : utilisez la liste déroulante pour choisir la méthode de signature que vous préférez pour le serveur fournisseur d’identité de SAML. Vous pouvez choisir rsa-sha1, rsa-sha256, rsa-sha384 ou rsa-sha512.

    • Request Timeout (Délai d’expiration de la demande) : (facultatif) délai d’expiration de la demande SAML en secondes. La plage est comprise entre 1 et 7 200.

      Si ce paramètre est spécifié, il remplace NotOnOrAfter si la somme de NotBefore et de timeout-in-seconds est antérieure à NotOnOrAfter.

      Si ce paramètre n’est pas spécifié, NotBefore et NotOnOrAfter dans l’assertion sont utilisés pour déterminer la validité.

    • Enable IDP only accessible on internal network (Activer le fournisseur d’identité uniquement accessible sur le réseau interne) : cochez cette case pour activer le fournisseur d’identité uniquement s’il est accessible sur le réseau interne.

    • Request IDP reauthentication at login (Demander la réauthentification du fournisseur d’identité à la connexion) : cochez cette case pour activer la réauthentification du fournisseur d’identité à la connexion.

    • Clock-skew (Décalage d’horloge) : décalage d’horloge qui tolère les assertions SAML NotBefore et NotOnOrAfter. Par défaut, le décalage d’horloge doit être désactivé. La valeur par défaut est de 1 seconde et la plage est comprise entre 1 et 180 secondes.

• SAML IDP TrustPoint (Point de confiance du fournisseur d’identité SAML) : choisissez le point de confiance du fournisseur d’identité SAML pour l’authentification par connexion unique (SSO).

  • IDP TrustPoint (Point de confiance IDP) : sélectionnez le point de confiance du fournisseur d’identité SAML qui contient le certificat du fournisseur d’identité pour que l’ASA vérifie les assertions SAML.

• SAML Login Experience (Expérience de connexion SAML) : choisissez le SAML IdP TrustPoint (Point de confiance du fournisseur d’identité SAML) pour l’authentification par connexion unique (SSO).

  • VPN Client Embedded Browser (Navigateur intégré du client VPN) : le client VPN utilise son navigateur intégré pour l’authentification Web; l’authentification s’applique donc uniquement à la connexion VPN.

  • Default OS Browser (Navigateur du système d’exploitation par défaut) : le client VPN utilise le navigateur par défaut du système pour l’authentification Web. Cette option active l’authentification unique (SSO) et prend en charge les méthodes d’authentification Web, telles que l’authentification biométrique, qui ne peuvent pas être exécutées dans le navigateur intégré.

    Lorsque vous choisissez le navigateur du système d’exploitation par défaut pour l’authentification SSO, vous devez configurer un progiciel de navigateur externe pour Secure Client utiliser le navigateur par défaut. Consultez Progiciel SAML Secure Client du navigateur externe.

• SAML UserName Match (Correspondance de nom d’utilisateur SAML) : sélectionnez cette option pour faire correspondre le nom d’utilisateur du certificat au nom d’utilisateur SAML.

• Client Address Assignment (Affectation d’adresses client) : choisissez les serveurs DHCP, les ensembles d’adresses client et les ensembles d’adresses IPv6 client à utiliser.

• Client Address Assignment (affectation d’adresses client) : choisissez les serveurs DHCP, les ensembles d’adresses clients et les ensembles d’adresses IPv6 clients à utiliser.

  • DHCP Servers (Serveurs DHCP) : saisissez le nom ou l’adresse IP d’un serveur DHCP à utiliser.

  • Client Address Pools (Ensembles d’adresses client) : saisissez le nom d’un ensemble d’adresses IPv4 disponible et configuré à utiliser pour l’affectation d’adresses client. Avant d’effectuer une sélection, vous pouvez cliquer sur Select (Sélectionner) pour ouvrir une boîte de dialogue dans cette boîte de dialogue afin d’afficher ou de modifier les ensembles d’adresses. Consultez la section pour obtenir plus d’informations sur l’ajout ou la modification d’un ensemble d’adresses IPv4.

  • Client IPv6 Address Pools (Ensembles d’adresses IPv6 client) : saisissez le nom d’un ensemble d’adresses IPv6 disponible et configuré à utiliser pour l’affectation d’adresses client. Avant d’effectuer une sélection, vous pouvez cliquer sur Select (Sélectionner) pour ouvrir une boîte de dialogue dans cette boîte de dialogue afin d’afficher ou de modifier les ensembles d’adresses. Consultez la section pour en savoir plus sur l’ajout ou la modification d’un ensemble d’adresses IPv6.

• Default Group Policy (Stratégie de groupe par défaut) : sélectionnez la stratégie de groupe à utiliser.

  • Group Policy (Stratégie de groupe) : sélectionnez la stratégie de groupe VPN que vous souhaitez utiliser comme stratégie de groupe par défaut pour cette connexion. Une stratégie de groupe VPN est un ensemble de paires attribut-valeur d’utilisateur qui peuvent être stockées en interne sur le périphérique ou en externe sur un serveur RADIUS. La valeur par défaut est DfltGrpPolicy. Vous pouvez cliquer sur Manage (Gérer) pour ouvrir une boîte de dialogue par-dessus celle-ci afin d’apporter des modifications à la configuration de la stratégie de groupe.

  • Enable SSL VPN client protocol (Activer le protocole du client VPN SSL) : cochez cette option pour activer SSL pour cette connexion VPN.

  • Enable IPsec (IKEv2) client protocol (Activer le protocole client IPsec (IKEv2)) : cochez cette option pour activer IPsec à l’aide d’IKEv2 pour cette connexion.

  • DNS Servers (Serveurs DNS) : saisissez les adresses IP des serveurs DNS pour cette stratégie.

  • WINS Servers (Serveurs WINS) : saisissez les adresses IP des serveurs WINS pour cette stratégie.

  • Domain Name (Nom de domaine) : saisissez un nom de domaine par défaut.

• Find (Rechercher) : saisissez une étiquette d’interface graphique ou une commande CLI à utiliser comme chaîne de recherche, puis cliquez sur Next (Suivant) ou Previous (Précédent) pour commencer la recherche.

Les éléments de menu Avancé et leurs boîtes de dialogue configurent les caractéristiques suivantes pour cette connexion :

• Attributs généraux

• Attributs de l’adressage du client

• Attributs d’authentification

• Attributs d’autorisation

• Attributs de gestion de comptes

• Attributs du serveur de noms

Remarque

Les attributs SSL VPN et d’authentification secondaire s’appliquent uniquement aux profils de connexion VPN SSL.

• Activer l’inscription de certificat simple (SCEP) pour ce profil de connexion

• Supprimez le domaine du nom d’utilisateur avant de le transmettre au serveur AAA

• Supprimez le groupe du nom d’utilisateur avant de le transmettre au serveur AAA

• Délimiteur de groupe

• Activer Password Management (Gestion des mots de passe) : vous permet de configurer les paramètres pertinents pour informer les utilisateurs de l’expiration du mot de passe.

  • Notify user __ days prior to password expiration (Aviser l’utilisateur __ jours avant l’expiration du mot de passe) : spécifie qu’ASDM doit aviser l’utilisateur lors de la connexion un nombre précis de jours avant l’expiration du mot de passe. La valeur par défaut est d’envoyer une notification à l’utilisateur 14 jours avant l’expiration du mot de passe et chaque jour par la suite jusqu’à ce que l’utilisateur modifie le mot de passe. La plage est comprise entre 1 et 180 jours.

  • Notify user on the day password expires (Aviser l’utilisateur le jour de l’expiration du mot de passe) : avise l’utilisateur uniquement le jour où le mot de passe expire.

    Dans les deux cas, et, si le mot de passe expire sans être modifié, l’ASA offre à l’utilisateur la possibilité de modifier le mot de passe. Si le mot de passe actuel n’a pas expiré, l’utilisateur peut toujours se connecter en utilisant ce mot de passe.

    Cela ne modifie pas le nombre de jours avant l’expiration du mot de passe, mais active la notification. Si vous choisissez cette option, vous devez également préciser le nombre de jours.

• Translate Assigned IP Address to Public IP Address (Traduire l’adresse IP affectée en adresse IP publique) : dans de rares cas, vous pouvez utiliser l’adresse IP réelle d’un homologue VPN sur le réseau interne au lieu d’une adresse IP locale affectée. Normalement, avec le VPN, l’homologue reçoit une adresse IP locale attribuée pour accéder au réseau interne. Cependant, vous pouvez traduire l’adresse IP locale en adresse IP publique réelle de l’homologue si, par exemple, vos serveurs internes et la sécurité du réseau sont basés sur l’adresse IP réelle de l’homologue. Vous pouvez activer cette fonctionnalité sur une interface par groupe de tunnels.

  • Enable the address translation on interface (Activer la traduction d’adresses sur l’interface) : active la traduction d’adresses et vous permet de choisir l’interface sur laquelle l’adresse apparaît. Outside est l’interface à laquelle Secure Client se connecte et inside est l’interface spécifique au nouveau groupe de tunnels.

    Remarque

    En raison de problèmes de routage et d’autres limites, nous ne recommandons pas l’utilisation de cette fonctionnalité, sauf si vous savez que vous en avez besoin.

• Find (Rechercher) : saisissez une étiquette d’interface graphique ou une commande CLI à utiliser comme chaîne de recherche, puis cliquez sur Next (Suivant) ou Previous (Précédent) pour commencer la recherche.

Dans l’onglet Connection Profile (Profil de connexion) > Advanced (Avancé) > Authentication (Authentification), vous pouvez configurer les champs suivants :

• Interface-specific Authentication Server Groups (Groupes de serveurs d’authentification spécifiques à l’interface) : gère l’affectation des groupes de serveurs d’authentification à des interfaces spécifiques.

  • Add (Ajouter) ou Edit (Modifier) : ouvre la boîte de dialogue Assign Authentication Server Group to Interface (Affecter un groupe de serveurs d’authentification à une interface), dans laquelle vous pouvez préciser l’interface et le groupe de serveurs, et préciser s’il faut autoriser le retour à la base de données LOCAL en cas d’échec du groupe de serveurs sélectionné. Le bouton Manage (Gérer) dans cette boîte de dialogue ouvre la boîte de dialogue Configure AAA Server Groups (Configurer les groupes de serveurs AAA). Vos sélections s’affichent dans le tableau Interface/Server Group (Interface/Groupe de serveurs).

  • Delete (Supprimer) : supprime le groupe de serveurs sélectionné du tableau. Il n’y a ni confirmation ni annulation.

• Username Mapping from Certificate (Mappage du nom d’utilisateur à partir du certificat) : permet de préciser les méthodes et les champs d’un certificat numérique à partir desquels extraire le nom d’utilisateur.

  Remarque

  Cette fonctionnalité n’est pas prise en charge en mode contexte multiple.

  • Pre-fill Username from Certificate (Préremplir le nom d’utilisateur à partir du certificat) : extrait le nom d’utilisateur du champ de certificat spécifié et l’utilise pour l’authentification et l’autorisation par nom d’utilisateur et mot de passe, en fonction des options suivantes dans ce panneau.

  • Hide username from end user (Masquer le nom d’utilisateur de l’utilisateur final) : spécifie de ne pas afficher le nom d’utilisateur extrait à l’utilisateur final.

  • Use script to choose username (Utiliser un script pour choisir le nom d’utilisateur) : spécifie le nom du script à utiliser pour choisir un nom d’utilisateur dans un certificat numérique. La valeur par défaut est --None (Aucun)--.

  • Add or Edit (Ajouter ou Modifier) : ouvre la boîte de dialogue Add or Edit Script Content (Ajouter ou modifier le contenu du script) à utiliser pour mapper le nom d’utilisateur du certificat.

  • Delete (Supprimer) : supprime le script sélectionné. Il n’y a ni confirmation ni annulation.

  • Use the Entire DN as the Username (Utiliser le DN entier comme nom d’utilisateur) : spécifie que vous souhaitez utiliser l’intégralité du champ Distinguished Name du certificat comme nom d’utilisateur.

  • Specify the Certificate Fields to Be Used as the Username (Préciser les champs du certificat à utiliser comme nom d’utilisateur) : spécifie un ou plusieurs champs à combiner dans le nom d’utilisateur.

    Les valeurs possibles pour les attributs principaux et secondaires sont les suivantes :

    Attribut	Définition
    C	Country (Pays) : l’abréviation du pays à deux lettres. Ces codes sont conformes aux abréviations de pays ISO 3166.
    NC	Common Name (Nom commun) : le nom d’une personne, d’un système ou d’une autre entité. Non disponible en tant qu’attribut secondaire.
    DNQ	Domain Name Qualifier (Qualificatif du nom de domaine).
    CE	E-mail Address (Adresse e-mail).
    GENQ	Generational Qualifier (Qualificatif de génération).
    GN	Given Name (Prénom).
    I	Initials (Initiales).
    L	Locality (Localité) : la ville ou la localité où se trouve l’organisation.
    N	Name (Nom).
    O	Organization (Organisation) : le nom de l’entreprise, de l’établissement, de l’agence, de l’association ou de toute autre entité.
    OU	Organizational Unit (Unité organisationnelle) : le sous-groupe dans l’organisation (O).
    SER	Numéro de série.
    SN	Surname (Nom de famille).
    SP	State/Province (État/Province) : l’état ou la province où se trouve l’organisation
    T	Title (Titre).
    UID	User Identifier (Identifiant d’utilisateur).
    UPN	User Principal Name (Nom d’utilisateur principal).

  • Primary Field (Champ principal) : sélectionne le premier champ à utiliser dans le certificat pour le nom d’utilisateur. Si cette valeur est trouvée, le champ secondaire est ignoré.

  • Secondary Field (Champ secondaire) : sélectionne le champ à utiliser si le champ principal est introuvable.

• Certificate Mapping for Multi-Certificate Authentication (Mappage de certificat pour l’authentification multi-certificat) : gère l’affectation du certificat à utiliser pour l’authentification principale.

  • First Certificate (Premier certificat) : cliquez sur cette option si vous souhaitez que le certificat émis par la machine soit utilisé pour l’authentification principale.

  • Second Certificate (Deuxième certificat) : cliquez sur cette option si vous souhaitez que le certificat utilisateur émis par le client soit utilisé pour l’authentification principale.

• Find (Rechercher) : saisissez une étiquette d’interface graphique ou une commande CLI à utiliser comme chaîne de recherche, puis cliquez sur Next (Suivant) ou Previous (Précédent) pour commencer la recherche.

Secondary Authentication (Authentification secondaire) sous Connection Profile (Profil de connexion) > Advanced (Avancé) vous permet de configurer l’authentification secondaire, également appelée double authentification. Lorsque l’authentification secondaire est activée, l’utilisateur final doit présenter deux ensembles d’informations d’authentification valides pour se connecter. Vous pouvez utiliser l’authentification secondaire conjointement avec le préremplissage du nom d’utilisateur à partir d’un certificat. Les champs dans cette boîte de dialogue sont similaires à ceux que vous configurez pour l’authentification principale, mais ces champs sont liés uniquement à l’authentification secondaire.

Lorsque la double authentification est activée, ces attributs choisissent un ou plusieurs champs dans un certificat à utiliser comme nom d’utilisateur. La configuration du nom d’utilisateur secondaire à partir de l’attribut de certificat force l’appareil de sécurité à utiliser le champ de certificat spécifié comme deuxième nom d’utilisateur pour la deuxième authentification par nom d’utilisateur/mot de passe.

Remarque

Si vous spécifiez également le groupe de serveurs d’authentification secondaire, ainsi que le nom d’utilisateur secondaire du certificat, seul le nom d’utilisateur principal est utilisé pour l’authentification.

• Secondary Authorization Server Group (Groupe de serveurs d’autorisation secondaire) : spécifie un groupe de serveurs d’autorisation à partir duquel extraire les informations d’authentification secondaires.

  • Server Group (Groupe de serveurs) : sélectionnez un groupe de serveurs d’autorisation à utiliser comme groupe AAA de serveurs secondaires. La valeur par défaut est «none». Le groupe de serveurs secondaire ne peut pas être un groupe de serveurs SDI.

  • Manage (Gérer) : ouvre la boîte de dialogue Configure AAA Server Groups (Configurer les groupes de serveurs AAA).

  • Use LOCAL if Server Group fails (Utiliser LOCAL si le groupe de serveurs échoue) : spécifie d’utiliser la base de données LOCAL comme solution de repli si le groupe de serveurs spécifié échoue.

  • Use primary username (Utiliser le nom d’utilisateur principal) : spécifie que la boîte de dialogue de connexion ne doit demander qu’un seul nom d’utilisateur.

  • Attributes Server (Serveur d’attributs) : sélectionnez s’il s’agit du serveur d’attributs principal ou secondaire.

    Remarque

    Si vous spécifiez également un serveur d’autorisation pour ce profil de connexion, les paramètres du serveur d’autorisation prévalent : l’ASA ignore ce serveur d’authentification secondaire.

  • Session Username Server (Serveur de nom d’utilisateur de session) : sélectionnez s’il s’agit du serveur de nom d’utilisateur de session principal ou secondaire.

• Interface-Specific Authorization Server Groups (Groupes de serveurs d’autorisation spécifiques à l’interface) : gère l’affectation de groupes de serveurs d’autorisation à des interfaces spécifiques.

  • Add or Edit (Ajouter ou Modifier) : ouvre la boîte de dialogue Assign Authentication Server Group to Interface (Affecter un groupe de serveurs d’authentification à l’interface), dans laquelle vous pouvez spécifier l’interface et le groupe de serveurs, et préciser s’il faut autoriser le retour à la base de données LOCAL en cas d’échec du groupe de serveurs sélectionné. Le bouton Manage (Gérer) dans cette boîte de dialogue ouvre la boîte de dialogue Configure AAA Server Groups (Configurer les groupes de serveurs AAA). Vos sélections s’affichent dans le tableau Interface/Server Group (Interface/Groupe de serveurs).

  • Delete (Supprimer) : supprime le groupe de serveurs sélectionné du tableau. Il n’y a ni confirmation ni annulation.

• Username Mapping from Certificate (Mappage du nom d’utilisateur à partir du certificat) : précisez les champs d’un certificat numérique à partir desquels extraire le nom d’utilisateur.

• Pre-fill Username from Certificate (Préremplir le nom d’utilisateur à partir du certificat) : cochez cette option pour extraire les noms à utiliser pour l’authentification secondaire à partir des champs principal et secondaire spécifiés dans ce panneau. Vous devez configurer la méthode d’authentification pour AAA et les certificats avant de sélectionner cet attribut. Pour ce faire, revenez au panneau Basic (Base) dans la même fenêtre et cochez Both (Les deux) à côté de Method (Méthode).

• Hide username from end user (Masquer le nom d’utilisateur de l’utilisateur final) : cochez cette option pour masquer le nom d’utilisateur à utiliser pour l’authentification secondaire de l’utilisateur VPN.

• Fallback when a certificate is unavailable (Utiliser l’option de rechange lorsqu’un certificat n’est pas disponible) : cet attribut n’est configurable que si Hide username from end user (Masquer le nom d’utilisateur de l’utilisateur final) est sélectionné. Utilise les données HostScan (maintenant appelées Secure Firewall Posture) pour préremplir le nom d’utilisateur pour l’authentification secondaire si un certificat n’est pas disponible.

• Password (Mot de passe) : choisissez l’une des méthodes suivantes pour récupérer le mot de passe à utiliser pour l’authentification secondaire :

  • Prompt (Invite) : invitez l’utilisateur à saisir le mot de passe.

  • Use Primary (Utiliser le mot de passe d’authentification principal) : réutilise le mot de passe d’authentification principal pour toutes les authentifications secondaires.

  • Use (Utiliser) : saisissez un mot de passe secondaire commun pour toutes les authentifications secondaires.

• Specify the certificate fields to be used as the username (Préciser les champs de certificat à utiliser comme nom d’utilisateur) : spécifie un ou plusieurs champs à mettre en correspondance comme nom d’utilisateur. Pour utiliser ce nom d’utilisateur dans la fonctionnalité Pre-fill Username from Certificate (Préremplir le nom d’utilisateur à partir du certificat) pour l’authentification ou l’autorisation secondaire de nom d’utilisateur/mot de passe, vous devez également configurer pre-fill-username et secondary-pre-fill-username.

  • Primary Field (Champ principal) : sélectionne le premier champ du certificat à utiliser pour le nom d’utilisateur. Si cette valeur est trouvée, le champ secondaire est ignoré.

  • Secondary Field (Champ secondaire) : sélectionne le champ à utiliser si le champ principal est introuvable.

Les options pour les attributs de champ principal et secondaire sont les suivantes :

• Use the entire DN as the username (Utiliser le DN entier comme nom d’utilisateur) : utilise le DN entier du sujet (RFC1779) pour obtenir un nom et une requête d’autorisation à partir d’un certificat numérique.

• Use script to select username (Utiliser le script pour sélectionner le nom d’utilisateur) : nomme le script à partir duquel extraire le nom d’utilisateur d’un certificat numérique. La valeur par défaut est --None (Aucun)--.

  • Add or Edit (Ajouter ou Modifier) : ouvre la boîte de dialogue Add or Edit Script Content (Ajouter ou modifier le contenu du script) à utiliser pour mapper le nom d’utilisateur du certificat.

  • Delete (Supprimer) : supprime le script sélectionné. Il n’y a ni confirmation ni annulation.

• Certificate Mapping for Multi-Certificate Authentication (Mappage de certificat pour l’authentification multi-certificat) : gère l’affectation du certificat à utiliser pour l’authentification secondaire.

  • First Certificate (Premier certificat) : cliquez sur cette option si vous souhaitez que le certificat émis par la machine soit utilisé pour l’authentification secondaire.

  • Second Certificate (Deuxième certificat) : cliquez sur cette option si vous souhaitez que le certificat utilisateur émis par le client soit utilisé pour l’authentification secondaire.

La boîte de dialogue Autorisation dans un profil de connexion Secure Client vous permet d’afficher, d’ajouter, de modifier ou de supprimer des groupes de serveurs d’autorisation propres à l’interface. Chaque ligne du tableau dans cette boîte de dialogue affiche l’état d’un groupe de serveurs spécifique à l’interface : le nom de l’interface, le groupe de serveurs associé et si le retour à la base de données locale est activé en cas d’échec du groupe de serveurs sélectionné.

Les champs de ce volet sont identiques pour les profils de connexion Secure Client, IKEv1, IKEv2 et SSL sans client.

• Authorization Server Group (Groupe de serveurs d’autorisation) : spécifie un groupe de serveurs d’autorisation à partir duquel extraire les paramètres d’autorisation.

  • Server Group (Groupe de serveurs) : sélectionne un groupe de serveurs d’autorisation à utiliser. La valeur par défaut est «none».

  • Manage (Gérer) : ouvre la boîte de dialogue Configure AAA Server Groups (Configurer les groupes de serveurs AAA).

  • Users Must Exist in the Authorization Database to Connect (Les utilisateurs doivent exister dans la base de données d’autorisation pour se connecter) : cochez cette case pour exiger que les utilisateurs répondent à ce critère

• Interface-Specific Authorization Server Groups (Groupes de serveurs d’autorisation spécifiques à l’interface) : gère l’affectation de groupes de serveurs d’autorisation à des interfaces spécifiques.

  • Add or Edit (Ajouter ou Modifier) : ouvre la boîte de dialogue Assign Authentication Server Group to Interface (Affecter un groupe de serveurs d’authentification à l’interface), dans laquelle vous pouvez spécifier l’interface et le groupe de serveurs, et préciser s’il faut autoriser le retour à la base de données LOCAL en cas d’échec du groupe de serveurs sélectionné. Le bouton Manage (Gérer) dans cette boîte de dialogue ouvre la boîte de dialogue Configure AAA Server Groups (Configurer les groupes de serveurs AAA). Vos sélections s’affichent dans le tableau Interface/Server Group (Interface/Groupe de serveurs).

  • Delete (Supprimer) : supprime le groupe de serveurs sélectionné du tableau. Il n’y a ni confirmation ni annulation.

• Username Mapping from Certificate (Mappage du nom d’utilisateur à partir du certificat) : précisez les champs d’un certificat numérique à partir desquels extraire le nom d’utilisateur.

  • Use Script to Select Username (Utiliser un script pour sélectionner le nom d’utilisateur) : spécifie le nom d’un script à utiliser pour choisir un nom d’utilisateur à partir d’un certificat numérique. La valeur par défaut est --None (Aucun)--. Pour plus d’informations sur la création de scripts afin de sélectionner créer un nom d’utilisateur à partir des champs de certificat, consultez

  • Add or Edit (Ajouter ou Modifier) : ouvre la boîte de dialogue Add or Edit Script Content (Ajouter ou modifier le contenu du script) à utiliser pour mapper le nom d’utilisateur du certificat.

  • Delete (Supprimer) : supprime le script sélectionné. Il n’y a ni confirmation ni annulation.

  • Use the Entire DN as the Username (Utiliser le DN entier comme nom d’utilisateur) : spécifie que vous souhaitez utiliser l’intégralité du champ Distinguished Name du certificat comme nom d’utilisateur.

  • Specify the Certificate Fields to Be Used as the Username (Préciser les champs du certificat à utiliser comme nom d’utilisateur) : spécifie un ou plusieurs champs à combiner dans le nom d’utilisateur.

  • Primary Field (Champ principal)  : sélectionne le premier champ du certificat à utiliser pour le nom d’utilisateur. Si cette valeur est trouvée, le champ secondaire est ignoré.

  • Secondary Field (Champ secondaire) : sélectionne le champ à utiliser si le champ principal est introuvable.

• Find (Rechercher) : saisissez une étiquette d’interface graphique ou une commande CLI à utiliser comme chaîne de recherche, puis cliquez sur Next (Suivant) ou Previous (Précédent) pour commencer la recherche.

Le volet Accounting (Comptabilité) dans Connection Profile > Advanced (Profil de connexion > Avancé) définit les options de comptabilité globalement dans l’ASA.

• Accounting Server Group (Groupe de serveurs de comptabilité) : choisissez le groupe de serveurs défini précédemment à utiliser pour la comptabilité.

• Manage (Gérer) : ouvre la boîte de dialogue Configure AAA Server Groups (Configurer les groupes de serveurs AAA), dans laquelle vous pouvez créer un groupe de serveurs AAA.

La boîte de dialogue GroupAlias/Group URL dans Connection Profile (Profil de connexion) > Advanced (Avancé) configure les attributs qui affectent ce que l’utilisateur distant voit lors de la connexion.

Le nom de l’onglet dans le profil de connexion est Group URL/Group Alias pour Secure Client.

• Login and Logout (Portal) Page Customization (Clientless SSL VPN only) (Personnalisation de la page de connexion et de déconnexion [portail] [VPN SSL sans client uniquement]) : configure l’apparence de la page de connexion utilisateur en précisant les attributs de personnalisation préconfigurés à appliquer. La valeur par défaut est DfltCustomization. Cliquez sur Manage (Gérer) pour créer un nouvel objet de personnalisation.

• Enable the display of Radius Reject-Message on the login screen (Activer l’affichage de Radius Reject-Message sur l’écran de connexion) : cochez cette case pour afficher le message de rejet RADIUS dans la boîte de dialogue de connexion lorsque l’authentification est rejetée.

• Enable the display of SecurId message on the login screen (Activer l’affichage du message SecurID sur l’écran de connexion) : cochez cette case pour afficher les messages SecurID dans la boîte de dialogue de connexion.

• Connection Aliases (Alias de connexion) : les alias de connexion et leur état. Un alias de connexion s’affiche sur la page de connexion de l’utilisateur si la connexion est configurée pour permettre aux utilisateurs de choisir une connexion particulière (groupe de tunnels) lors de la connexion. Cliquez sur les boutons Add (Ajouter) ou Delete (Supprimer) pour ajouter ou supprimer des alias. Pour modifier un alias, double-cliquez sur l’alias dans le tableau et modifiez l’entrée. Pour modifier l’état activé, cochez ou désélectionnez la case dans le tableau.

• Group URLs (URL de groupe) : les URL de groupe et leur état. Une URL de groupe s’affiche sur la page de connexion de l’utilisateur si la connexion est configurée pour permettre aux utilisateurs de choisir un groupe particulier lors de la connexion. Cliquez sur les boutons Add (Ajouter) ou Delete (Supprimer) pour ajouter ou supprimer des URL. Pour Edit (Modifier) une URL, double-cliquez sur l’URL dans le tableau et modifiez l’entrée. Pour modifier l’état activé, cochez ou décochez la case dans le tableau.

Secure Client avec le module Secure Firewall Posture/HostScan nécessite les composants ASA suivants au minimum :

• ASA 8.4

• ASDM 6.4

Vous devez installer Secure Firewall Posture/HostScan pour utiliser la fonction d’authentification SCEP.

Reportez-vous aux plateformes VPN prises en charge, série Cisco ASA pour connaître les systèmes d’exploitation pris en charge pour l’installation de la posture de pare-feu sécurisé/HostScan.

Voici les exigences de licence pour Secure Firewall Posture/HostScan :

• Secure Client Advantage (Apex) pour la posture de base HostScan/Secure Firewall.

• Une licence d’évaluation avancée de point terminal est requise pour la correction.

Vous pouvez charger le paquet HostScan sur l’appareil de sécurité adaptable Cisco en tant que paquet autonome : hostscan-version.pkg. Ce fichier contient le logiciel HostScan ainsi que la bibliothèque et les tableaux d’assistance de HostScan.

Les noms de fichier des composants personnalisés que vous importez doivent correspondre aux noms de fichier utilisés par l’interface graphique Secure Client, qui sont différents pour chaque système d’exploitation et sont sensibles à la casse pour Mac et Linux. Par exemple, si vous souhaitez remplacer le logo d’entreprise pour les clients Windows, vous devez importer votre logo d’entreprise en tant que logo_entreprise.png. Si vous l’importez sous un autre nom de fichier, le programme d’installation Secure Client ne modifie pas le composant. Toutefois, si vous déployez votre propre exécutable pour personnaliser l’interface graphique, l’exécutable peut appeler des fichiers de ressources en utilisant n’importe quel nom de fichier.

Si vous importez une image en tant que fichier de ressource (comme par exemple) : l’image que vous importez est personnalisée Secure Client jusqu’à ce que vous réimportez une autre image utilisant le même nom de fichier. Par exemple, si vous remplacez le fichier company_ logo.bmp par une image personnalisée, puis supprimez l’image, le client continue d’afficher votre image jusqu’à ce que vous importiez une nouvelle image (ou l’image du logo Cisco d’origine) utilisant le même nom de fichier.

Personnalisation et localisation Secure Client, binaire

Pour les ordinateurs Windows, Linux ou Mac (powerPC ou Intel), vous pouvez déployer votre propre client qui utilise l’API Secure Client. Vous remplacez l’interface graphique Secure Client et l’interface de ligne de commande Secure Client en remplaçant toutefois les fichiers binaires clients.

Champs de la boîte de dialogue Import :

• Name Saisissez le nom du fichier Secure Client que vous remplacez.

• Platform Sélectionnez la plateforme de système d’exploitation sur laquelle votre fichier est exécuté.

• Select a file Le nom de fichier n’a pas besoin d’être le même que le nom du fichier importé.

Personnalisation et localisation Secure Client, Script

Pour des informations complètes sur le déploiement de scripts, ainsi que sur leurs limites et restrictions, consultez le module AnyConnect VPN du Guide de l’administrateur Cisco Secure Client.

Champs de la boîte de dialogue Import  :

• Name  : saisissez un nom pour le script. Assurez-vous de préciser la bonne extension avec le nom. Par exemple, monscript.bat.

• Script Type  : choisissez quand exécuter le script.

  Secure Client Ajoute le préfixe scripts_ et le préfixe OnConnect ou OnDisconnect à votre nom de fichier pour identifier le fichier en tant que script sur l’ASA. Lorsque le client se connecte, l’ASA télécharge le script dans le répertoire cible approprié sur l’ordinateur distant, en supprimant le préfixe scripts_ et en conservant le préfixe OnConnect ou OnDisconnect restant. Par exemple, si vous importez le script monscript.bat, le script apparaît sur l’ASA sous le nom de scripts_OnConnect_myscript.bat. Sur l’ordinateur distant, le script s’affiche sous le nom OnConnect_myscript.bat.

  Pour vous assurer que les scripts fonctionnent de manière fiable, configurez tous les ASA pour déployer les mêmes scripts. Si vous souhaitez modifier ou remplacer un script, utilisez le même nom que la version précédente et attribuez le script de remplacement à tous les ASA auxquels les utilisateurs peuvent se connecter. Lorsque l’utilisateur se connecte, le nouveau script remplace celui du même nom.

• Platform  : sélectionnez la plateforme de système d’exploitation sur laquelle votre fichier est exécuté.

• Select a file  : le nom de fichier n’a pas besoin d’être le même que le nom que vous avez fourni pour le script.

ASDM importe le fichier à partir de n’importe quel fichier source, créant le nouveau nom que vous spécifiez pour le nom.

Vous pouvez modifier la table de traduction par défaut ou en créer de nouvelles pour modifier le texte et les messages affichés sur l’interface graphique Secure Client. Ce volet partage également des fonctionnalités avec le volet Language Localization (Localisation de la langue). Pour une traduction linguistique plus approfondie, accédez à Configuration > Remote Access VPN (VPN d’accès à distance) > Language Localization (Localisation de la langue).

En plus des boutons habituels dans la barre d’outils supérieure, ce volet comporte également un Add bouton , ainsi qu’une zone Template (Modèle) avec des boutons supplémentaires.

Add : le bouton Add (Ajouter) ouvre une copie de la table de traduction par défaut, que vous pouvez modifier directement ou enregistrer. Vous pouvez choisir la langue du fichier enregistré et modifier ultérieurement la langue du texte dans le fichier.

Lorsque vous personnalisez les messages dans la table de traduction, ne modifiez pas msgid. Modifiez le texte dans msgstr.

Précisez une langue pour le modèle. Le modèle devient un tableau de traduction dans la mémoire cache avec le nom que vous spécifiez. Utilisez une abréviation compatible avec les options linguistiques de votre navigateur. Par exemple, si vous créez un tableau pour la langue chinoise et que vous utilisez IE, utilisez l’abréviation zh, reconnue par IE.

Section Modèle

• Cliquez sur Template (Modèle) pour développer la zone des modèles, qui permet d’accéder à la table de traduction anglaise par défaut.

• Cliquez sur View pour afficher et éventuellement enregistrer la table de traduction anglaise par défaut.

• Cliquez sur Export pour enregistrer une copie de la table de traduction anglaise par défaut sans l’afficher.

Vous pouvez effectuer une personnalisation plus approfondie de l’interface graphique Secure Client (Windows uniquement) en créant votre propre transformation qui se déploie avec le programme d’installation client. Vous importez la transformation dans l’ASA, qui la déploie avec le programme d’installation.

Windows est le seul choix valide pour l’application d’une transformation. Pour plus d’informations sur les transformations, consultez le Guide de l’administrateur de Cisco .

Vous pouvez traduire les messages affichés par le programme d’installation du client avec une transformation. La transformation modifie l’installation, mais laisse le MSI d’origine signé par la sécurité intact. Ces transformations ne font que traduire les écrans du programme d’installation et non les écrans de l’interface graphique utilisateur du client.