Étape 1

Créez l’objet FlexConfig deploy-once/append qui crée l’attribut personnalisé de tunnellisation fractionnée dynamique et affecte à l’attribut les noms de domaine qui doivent être exclus du tunnel VPN et être plutôt envoyés sur l’Internet public.

1. Choisissez Objects > Object Management (Objets, Gestion des objets).

2. Choisissez FlexConfig > FlexConfig Object (FlexConfig, Objets FlexConfig) dans la table des matières.

3. Cliquez sur Add FlexConfig Object (Ajouter un objet FlexConfig), configurez les propriétés suivantes, puis cliquez sur Save (Enregistrer).

   • Name : nom de l'objet. Par exemple, Enable_Dynamic_Split_Tunnel.

   • Deployment (Déploiement) : sélectionnez Once (une fois). Ces commandes doivent être configurées une seule fois.

   • Type : conservez la valeur par défaut, Append (Ajouter). Les commandes sont envoyées à l'appareil après les commandes des fonctionnalités directement prises en charge.

   • Object body (Corps de l’objet) : dans le corps de l’objet, saisissez les commandes requises pour créer un attribut du type dynamique-split-exclude-domains, puis ajoutez les données, qui sont un nom d’attribut et une liste des noms de domaine à exclure. Par exemple, pour créer un attribut nommé excludeddomains (domaines exclus) et pour exclure les domaines webex.com et ciscospark.com, les commandes seraient les suivantes. Notez que la description est facultative, mais si elle est incluse, il ne s’agit pas d’une commande distincte, mais fait partie de la commande anyconnect-custom-attr. Pour les noms de domaine, séparez-les par une virgule, mais n’incluez pas d’espaces.

     
     webvpn 
      anyconnect-custom-attr dynamic-split-exclude-domains description traffic for these domains will not be sent to the VPN headend 
      anyconnect-custom-data dynamic-split-exclude-domains excludeddomains webex.com,ciscospark.com
     

   Le corps de l’objet doit ressembler à ce qui suit :

   
   

   

   
   

Étape 2

(Recommandé.) Si vous utilisez des politiques de groupe personnalisées, créez un objet FlexConfig deploy-once/append pour configurer l’attribut personnalisé de tunnellisation fractionnée dynamique dans les politiques de groupe.

Le système n’annulera pas les modifications que vous apportez aux politiques de groupe personnalisées. Vous devez donc déployer les modifications une fois. Si vous utilisez plusieurs politiques de groupe, vous pouvez utiliser un seul objet FlexConfig pour ajouter l’attribut personnalisé à chaque politique à tour de rôle. Vous pouvez également créer un objet FlexConfig par politique de groupe. Le résultat sera le même, le choix dépendra donc de vos propres exigences pour la modularisation de votre politique FlexConfig.

Sur la page des objets FlexConfig, Cliquez sur Add FlexConfig Object (Ajouter un objet FlexConfig), configurez les propriétés suivantes, puis cliquez sur Save (Enregistrer).

• Name : nom de l'objet. Par exemple, Add_Dynamic_Split_Tunnel_Sales.

• Deployment (Déploiement) : sélectionnez Once (une fois).

• Type : conservez la valeur par défaut, Append (Ajouter).

• Object body (Corps de l’objet) : dans le corps de l’objet, tapez les commandes requises pour ajouter l’attribut personnalisé à la politique de groupe. Par exemple, si l’attribut que vous avez créé s’intitulecludeddomains (domaines exclus) et que la politique de groupe s’intitule « sales » (ventes), les commandes sont les suivantes :

  
  group-policy sales attributes 
   anyconnect-custom dynamic-split-exclude-domains value excludeddomains 
  

Le corps de l’objet doit ressembler à ce qui suit :

Étape 3

(Non recommandé). Si vous utilisez la politique de groupe par défaut, nommée DfltGrpPolicy, créez un objet FlexConfig deploy-everytime/append pour configurer l’attribut personnalisé de tunnellisation fractionnée dynamique dans la politique de groupe.

Vous devez déployer cet objet à chaque fois, car lors de chaque déploiement, le système annulera toute modification personnalisée de la politique par défaut.

Nous vous recommandons de créer des politiques de groupe personnalisées plutôt que d’utiliser DfltGroupPolicy.

Sur la page des objets FlexConfig, Cliquez sur Add FlexConfig Object (Ajouter un objet FlexConfig), configurez les propriétés suivantes, puis cliquez sur Save (Enregistrer).

• Name : nom de l'objet. Par exemple, Add_Dynamic_Split_Tunnel_DfltGrpPolicy.

• Deployment (déploiement) : sélectionnez Anytime (À tout moment ). Ces commandes doivent être configurées une seule fois.

• Type : conservez la valeur par défaut, Append (Ajouter). La commande doit être envoyée après que le système a annulé les attributs personnalisés dans la politique de groupe par défaut.

• Object body (Corps de l’objet) : dans le corps de l’objet, tapez les commandes requises pour ajouter l’attribut personnalisé à la politique de groupe. Par exemple, si l’attribut que vous avez créé s’int), les commandes sont les suivantes :

  
  group-policy DfltGrpPolicy attributes 
   anyconnect-custom dynamic-split-exclude-domains value excludeddomains 
  

Le corps de l’objet doit ressembler à ce qui suit :

Étape 4

Créez la politique FlexConfig qui déploie ces objets.

1. Sélectionnez Devices > FlexConfig (Appareils, FlexConfig).

2. Cliquez sur New Policy (Nouvelle politique) ou si une politique FlexConfig existante doit être affectée (ou est déjà affectée) aux appareils cibles, modifiez simplement cette dernière.

   Lors de la création d’une nouvelle politique, affectez les appareils cibles à la politique dans la boîte de dialogue où vous nommez la politique.

3. Utilisez Ctrl+clic pour sélectionner l’objet FlexConfig dans le dossier User Defined (Défini par l’utilisateur) dans la table des matières, puis cliquez sur > pour l’ajouter à la politique.

   Les objets doivent être ajoutés à la liste Selected Appended FlexConfigs (FlexConfigs sélectionnées et ajoutées).

4. Utilisez le glisser-déposer pour vous assurer que les objets sont dans le bon ordre.

   L’objet qui crée l’objet d’attribut personnalisé doit venir avant les objets qui attribuent cet attribut aux politiques de groupe. Sinon, si vous essayez d’ajouter un attribut personnalisé qui n’existe pas encore, vous obtiendrez une erreur.

   La liste devrait ressembler à ce qui suit si vous avez un seul objet qui configure vos politiques de groupe personnalisées :

   
   

   

   
   

5. Cliquez sur Save (Enregistrer).

6. Si vous n’avez pas encore affecté tous les périphériques ciblés à la politique, cliquez sur le lien Policy Affectations (Affectations de politiques) ci-dessous Save and make the assignments now (Enregistrer et effectuer les affectations maintenant).

7. Cliquez sur Preview Config (Aperçu de la configuration et dans la boîte de dialogue d’aperçu, sélectionnez l’un des périphériques attribués.

   Le système génère un aperçu de l’interface de ligne de commande de configuration qui sera envoyée au périphérique. Vérifiez que les commandes générées à partir de l’objet semblent correctes. Celles-ci seront affichées à la fin de l’aperçu. Notez que vous verrez également les commandes générées à partir d’autres modifications que vous avez apportées aux fonctionnalités gérées. Pour les commandes de tunnellisation fractionnée dynamique, vous devriez voir quelque chose de similaire à ce qui suit :

   
   ###Flex-config Appended CLI ###
   webvpn
    anyconnect-custom-attr dynamic-split-exclude-domains description traffic for these domains will not be sent to the VPN headend
    anyconnect-custom-data dynamic-split-exclude-domains excludeddomains webex.com,ciscospark.com
   group-policy sales attributes
    anyconnect-custom dynamic-split-exclude-domains value excludeddomains
   

Étape 5

Déployez vos modifications.

Étape 6

Vérifiez la configuration.

Étape 1

Créez l’objet FlexConfig deploy-once/append qui supprime l’attribut personnalisé de chaque politique de groupe qui l’utilise, puis supprime l’attribut.

1. Choisissez Objects > Object Management (Objets, Gestion des objets).

2. Choisissez FlexConfig > FlexConfig Object (FlexConfig, Objets FlexConfig) dans la table des matières.

3. Cliquez sur Add FlexConfig Object (Ajouter un objet FlexConfig), configurez les propriétés suivantes, puis cliquez sur Save (Enregistrer).

   • Name : nom de l'objet. Par exemple, Disable_Dynamic_Split_Tunnel.

   • Deployment (Déploiement) : sélectionnez Once (une fois). Ces commandes doivent être configurées une seule fois.

   • Type : conservez la valeur par défaut, Append (Ajouter). Les commandes sont envoyées à l’appareil après les commandes des fonctionnalités directement prises en charge.

   • Object body  (Corps de l’objet): dans le corps de l’objet, tapez les commandes requises pour supprimer l’attribut personnalisé de chaque politique de groupe qui l’utilise, puis supprimez l’attribut personnalisé. Par exemple, si l’attribut personnalisé est utilisé par les politiques de groupes de ventes et que l’attribut est excludeddomains, les commandes seraient les suivantes :

     
     group-policy sales attributes
      no anyconnect-custom dynamic-split-exclude-domains
     
     no anyconnect-custom-data dynamic-split-exclude-domains excludeddomains
     
     webvpn
      no anyconnect-custom-attr dynamic-split-exclude-domains
     

   Le corps de l’objet doit ressembler à ce qui suit :

   
   

   

   
   

Étape 2

Modifiez la politique FlexConfig pour retirer les objets de tunnellisation fractionnée dynamique et ajoutez l’objet qui retire la configuration.

1. Sélectionnez Devices > FlexConfig (Appareils, FlexConfig).

2. Modifiez la politique FlexConfig

3. Dans la liste Selected Appended FlexConfigs (FlexConfigs ajoutés sélectionnés), cliquez sur l’icône de suppression pour chacun des objets de tunnellisation fractionnée dynamique, ceux qui activent l’attribut personnalisé, puis l’ajoutent à l’attribut aux politiques de groupe.

4. Sélectionnez l’objet FlexConfig qui désactive la tunnellisation fractionnée dynamique dans le dossier User Defined (défini par l’utilisateur) dans la table des matières, puis cliquez sur > pour l’ajouter à la politique.

   L’objet doit être ajouté à la liste Selected Appended FlexConfigs (FlexConfigs sélectionnées et ajoutées).

   La liste devrait ressembler à ce qui suit :

   
   

   

   
   

5. Cliquez sur Save (Enregistrer).

6. Cliquez sur Preview Config (Aperçu de la configuration et dans la boîte de dialogue d’aperçu, sélectionnez l’un des périphériques attribués.

   Le système génère un aperçu de l’interface de ligne de commande de configuration qui sera envoyée au périphérique. Vérifiez que les commandes générées à partir de l’objet semblent correctes. Celles-ci seront affichées à la fin de l’aperçu. Notez que vous verrez également les commandes générées à partir d’autres modifications que vous avez apportées aux fonctionnalités gérées. Pour les commandes de tunnellisation fractionnée dynamique, vous devriez voir quelque chose de similaire à ce qui suit :

   
   ###Flex-config Appended CLI ###
   group-policy sales attributes
    no anyconnect-custom dynamic-split-exclude-domains
   
   no anyconnect-custom-data dynamic-split-exclude-domains excludeddomains
   
   webvpn
    no anyconnect-custom-attr dynamic-split-exclude-domains
   

Étape 3

Déployez vos modifications.

Étape 1

Créez l’objet FlexConfig deploy-once/append qui crée la carte LDAP, y compris les mappages d’attributs/valeurs. Cet objet crée la carte uniquement, il n’affecte pas la carte à un serveur AD/LDAP.

1. Choisissez Objects > Object Management (Objets, Gestion des objets).

2. Choisissez FlexConfig > FlexConfig Object (FlexConfig, Objets FlexConfig) dans la table des matières.

3. Cliquez sur Add FlexConfig Object (Ajouter un objet FlexConfig), configurez les propriétés suivantes, puis cliquez sur Save (Enregistrer).

   • Name : nom de l'objet. Par exemple, Create_LDAP_Map_for_VPN_Access.

   • Deployment (Déploiement) : sélectionnez Once (une fois). Ces commandes doivent être configurées une seule fois.

   • Type : conservez la valeur par défaut, Append (Ajouter). Les commandes sont envoyées à l'appareil après les commandes des fonctionnalités directement prises en charge.

   • Object body (Corps de l’objet) : dans le corps de l’objet, tapez les commandes requises pour créer la carte LDAP, mapper l’attribut AD/LDAP à un attribut Cisco, puis mapper les valeurs de cet attribut (comme retourné par AD/LDAP) aux valeurs qui sont significatifs de l’attribut Cisco.

     Dans l’exemple suivant :

     • LDAP_Map_for_VPN_Access est le nom de la carte d’attributs LDAP. Il peut s’agir du nom que vous souhaitez.

     • memberOf est le nom d’un attribut AD/LDAP, qui est défini dans le serveur lui-même. Ceci n’est pas une chaîne aléatoire.

     • Group-Policy est le nom d’un attribut Cisco et n’est pas non plus une chaîne aléatoire.

     • CN=APP-SSL-VPN Managers,CN=Users,OU=stbu,DC=example,DC=com est une valeur que vous attendez d’AD/LDAP dans l’attribut memberOf lors de l’authentification. Cette chaîne est basée sur la configuration de votre serveur AD/LDAP. Cette chaîne indique que l’utilisateur est membre du groupe d’utilisateurs APP-SSL-VPN Managers.

     • LabAdminAccessGroupPolicy est le nom d’une politique de groupe que vous avez définie dans FMC et que vous utilisez dans le profil de connexion VPN d’accès à distance. Cette chaîne doit correspondre au nom d’une politique de groupe existante.

     • CN=Engineering,CN=Users,OU=stbu,DC=example,DC=com est une valeur que vous vous attendez à renvoyer dans l’attribut memberOf. Cette chaîne indique que l’utilisateur est membre du groupe d’utilisateurs d’ingénierie.

     • VPNAccessGroupPolicy est le nom d’une politique de groupe qui existe déjà et est utilisée dans le VPN d’accès à distance.

     Les commandes pour cette configuration seraient les suivantes :

     
     ldap attribute-map LDAP_Map_for_VPN_Access
      map-name memberOf Group-Policy
      map-value memberOf CN=APP-SSL-VPN Managers,CN=Users,OU=stbu,DC=example,DC=com LabAdminAccessGroupPolicy
      map-value memberOf CN=Engineering,CN=Users,OU=stbu,DC=example,DC=com VPNAccessGroupPolicy 
     

   Le corps de l’objet doit ressembler à ce qui suit :

   
   

   

   
   

Étape 2

Créez l’objet FlexConfig deploy-everytime/append qui affecte la carte à un serveur AD/LDAP.

Comme vous définissez le domaine AD/LDAP directement dans le centre de gestion Cisco Firepower Management Center, vos modifications FlexConfig apportées au domaine seront supprimées lors de chaque déploiement. Par conséquent, vous devez les configurer à nouveau à la fin de chaque tâche de déploiement.

Sur la page des objets FlexConfig, Cliquez sur Add FlexConfig Object (Ajouter un objet FlexConfig), configurez les propriétés suivantes, puis cliquez sur Save (Enregistrer).

• Name : nom de l'objet. Par exemple, Attach_LDAP_Map_for_VPN_Access.

• Deployment (déploiement) : sélectionnez Anytime (À tout moment ).

• Type : conservez la valeur par défaut, Append (Ajouter).

• Object body (Corps de l’objet) : dans le corps de l’objet, tapez les commandes requises pour affecter la carte au serveur AD utilisé pour le VPN d’accès à distance.

  Dans l’exemple suivant :

  • LDAP_Map_for_VPN_Access est le nom de la carte d’attributs LDAP que vous avez créée dans l’objet FlexConfig précédent.

  • ad_realm est le nom du domaine AD/LDAP que vous utilisez dans le VPN d’accès à distance, et 10.100.10.10 est l’adresse IP d’un serveur du domaine. Dans cet exemple, nous supposons qu’il n’y a qu’un seul serveur. S’il y en a d’autres, vous devez relancer les commandes aaa-server et ldap-attribute-map ultérieures pour chaque serveur. Notez que le nom de domaine peut être ce que vous choisissez, mais pour cette commande, il doit correspondre exactement au nom du domaine que vous avez créé et utilisé dans la connexion VPN d’accès à distance que vous modifiez. De même, l’adresse du serveur doit en être une actuellement configurée dans le domaine.

  Les commandes pour cette configuration seraient les suivantes :

  
  aaa-server ad-realm host 10.100.10.10 
   ldap-attribute-map LDAP_Map_for_VPN_Access
   exit
  

Le corps de l’objet doit ressembler à ce qui suit :

Étape 3

Créez la politique FlexConfig qui déploie ces objets.

1. Sélectionnez Devices > FlexConfig (Appareils, FlexConfig).

2. Cliquez sur New Policy (Nouvelle politique) ou si une politique FlexConfig existante doit être affectée (ou est déjà affectée) aux appareils cibles, modifiez simplement cette dernière.

   Lors de la création d’une nouvelle politique, affectez les appareils cibles à la politique dans la boîte de dialogue où vous nommez la politique.

3. Utilisez Ctrl+clic pour sélectionner l’objet FlexConfig dans le dossier User Defined (Défini par l’utilisateur) dans la table des matières, puis cliquez sur > pour l’ajouter à la politique.

   Les objets doivent être ajoutés à la liste Selected Appended FlexConfigs (FlexConfigs sélectionnées et ajoutées).

4. Utilisez le glisser-déposer pour vous assurer que les objets sont dans le bon ordre.

   L’objet qui crée la carte d’attributs LDAP doit venir avant l’objet qui affecte la carte à un serveur AD/LDAP. Sinon, si vous essayez d’attribuer une carte d’attributs LDAP qui n’existe pas encore, vous obtiendrez une erreur.

   La liste devrait ressembler à ce qui suit :

   
   

   

   
   

5. Cliquez sur Save (Enregistrer).

6. Si vous n’avez pas encore affecté tous les périphériques ciblés à la politique, cliquez sur le lien Policy Affectations (Affectations de politiques) ci-dessous Save and make the assignments now (Enregistrer et effectuer les affectations maintenant).

7. Cliquez sur Preview Config (Aperçu de la configuration et dans la boîte de dialogue d’aperçu, sélectionnez l’un des périphériques attribués.

   Le système génère un aperçu de l’interface de ligne de commande de configuration qui sera envoyée au périphérique. Vérifiez que les commandes générées à partir de l’objet semblent correctes. Celles-ci seront affichées à la fin de l’aperçu. Notez que vous verrez également les commandes générées à partir d’autres modifications que vous avez apportées aux fonctionnalités gérées. Pour les commandes d’attribut LDAP, vous devriez voir quelque chose de similaire à ce qui suit :

   
   ###Flex-config Appended CLI ######Flex-config Appended CLI ###
   ldap attribute-map LDAP_Map_for_VPN_Access
   
    map-name memberOf Group-Policy
   
    map-value memberOf CN=APP-SSL-VPN Managers,CN=Users,OU=stbu,DC=example,DC=com LabAdminAccessGroupPolicy
   
    map-value memberOf CN=Engineering,CN=Users,OU=stbu,DC=example,DC=com VPNAccessGroupPolicy
   
   aaa-server ad-realm host 10.100.10.10 
   
    ldap-attribute-map LDAP_Map_for_VPN_Access
   
    exit
   

Étape 4

Déployez vos modifications.

Étape 5

Vérifiez la configuration.

Étape 1

Créez l’objet FlexConfig Deploy-once/append qui supprime la carte d’attributs LDAP.

1. Choisissez Objects > Object Management (Objets, Gestion des objets).

2. Choisissez FlexConfig > FlexConfig Object (FlexConfig, Objets FlexConfig) dans la table des matières.

3. Cliquez sur Add FlexConfig Object (Ajouter un objet FlexConfig), configurez les propriétés suivantes, puis cliquez sur Save (Enregistrer).

   • Name : nom de l'objet. Par exemple, Delete_LDAP_Map_for_VPN_Access.

   • Deployment (Déploiement) : sélectionnez Once (une fois). Ces commandes doivent être configurées une seule fois.

   • Type : conservez la valeur par défaut, Append (Ajouter). Les commandes sont envoyées à l'appareil après les commandes des fonctionnalités directement prises en charge. Cela est particulièrement important, car vous dépendez de la tâche de déploiement pour supprimer les commandes qui utilisent la mise en correspondance des attributs LDAP.

   • Object body (Corps de l’objet) : dans le corps de l’objet, tapez la commande requise pour supprimer la carte d’attributs LDAP. Notez que vous n’avez pas besoin de supprimer le contenu de la carte. Vous supprimez simplement la carte et son contenu est également supprimé. Par exemple, si la carte s’intitule LDAP_Map_for_VPN_Access, la commande serait la suivante :

     
     no ldap attribute-map LDAP_Map_for_VPN_Access
     

   Le corps de l’objet doit ressembler à ce qui suit :

   
   

   

   
   

Étape 2

Modifiez la politique FlexConfig pour supprimer les objets qui créent et attribuent la carte d’attributs LDAP, et ajoutez l’objet qui supprime la carte.

1. Sélectionnez Devices > FlexConfig (Appareils, FlexConfig).

2. Modifiez la politique FlexConfig

3. Dans la liste Selected Appended FlexConfigs (FlexConfigs sélectionnées et ajoutées), cliquez sur l’icône de suppression des objets qui créent et attribuent la carte d’attributs LDAP.

4. Sélectionnez l’objet FlexConfig qui supprime la carte dans le dossier User Defined (Défini par l’utilisateur) dans la table des matières, puis cliquez sur > pour l’ajouter à la politique.

   L’objet doit être ajouté à la liste Selected Appended FlexConfigs (FlexConfigs sélectionnées et ajoutées).

   La liste devrait ressembler à ce qui suit :

   
   

   

   
   

5. Cliquez sur Save (Enregistrer).

6. Cliquez sur Preview Config (Aperçu de la configuration et dans la boîte de dialogue d’aperçu, sélectionnez l’un des périphériques attribués.

   Le système génère un aperçu de l’interface de ligne de commande de configuration qui sera envoyée au périphérique. Vérifiez que les commandes générées à partir de l’objet semblent correctes. Celles-ci seront affichées à la fin de l’aperçu. Notez que vous verrez également les commandes générées à partir d’autres modifications que vous avez apportées aux fonctionnalités gérées. Pour cet exemple, vous devriez voir quelque chose de semblable à ce qui suit :

   
   ###Flex-config Appended CLI ###
   no ldap attribute-map LDAP_Map_for_VPN_Access
   

Étape 3

Déployez vos modifications.

Étape 1

Téléchargez le sélecteur d’applications Cisco AnyConnect Enterprise du site software.cisco.com. Vous pouvez trouver cette application dans la catégorie AnyConnect Secure Mobility Client v4.x.

Étape 2

Définissez la politique VPN par application en utilisant le sélecteur d’application AnyConnect Enterprise.

1. Dans le sélecteur d’application AnyConnect Enterprise, sélectionnez Android comme type de plateforme, puis complétez les options suivantes :

   • Friendly Name (Nom convivial) : quelque chose de pertinent, comme Allow_All (Tout_permettre).

   • App ID (Identifiant de l’application) : Entrer *.* pour correspondre à toutes les applications possibles.

   • Ignorez tous les autres champs. Celles-ci sont utilisées pour définir une stratégie sur des applications et des versions exactes.

   
   

   

   
   

2. Sélectionnez iOS comme type de plateforme, puis complétez les options suivantes :

   • Friendly Name (Nom convivial) : quelque chose de pertinent, comme Allow_All (Tout_permettre).

   • App ID (Identifiant de l’application) : Entrer *.* pour correspondre à toutes les applications possibles.

   • Ignorez tous les autres champs.

   
   

   

   
   

3. Sélectionnez Policy > View Policy (Politique, Afficher la politique).

   Vous obtiendrez une chaîne base64 non lisible. Cette chaîne contient en fait un fichier XML chiffré que le système FTD décompressera pour afficher les politiques que vous avez créées. Vous utiliserez une copie de cette chaîne dans les étapes ultérieures.

   
   

   

   
   

Étape 3

Créez l’objet FlexConfig deploy-once/append qui crée l’attribut personnalisé perapp et affecte à l’attribut la politique par application base64 créée dans le sélecteur d’application AnyConnect Enterprise.

1. Choisissez Objects > Object Management (Objets, Gestion des objets).

2. Choisissez FlexConfig > FlexConfig Object (FlexConfig, Objets FlexConfig) dans la table des matières.

3. Cliquez sur Add FlexConfig Object (Ajouter un objet FlexConfig), configurez les propriétés suivantes, puis cliquez sur Save (Enregistrer).

   • Name : nom de l'objet. Par exemple, Per_App_Allow_All_Policy.

   • Deployment (Déploiement) : sélectionnez Once (une fois). Ces commandes doivent être configurées une seule fois.

   • Type : conservez la valeur par défaut, Append (Ajouter). Les commandes sont envoyées à l'appareil après les commandes des fonctionnalités directement prises en charge.

   • Object body (Corps de l’objet) : dans le corps de l’objet, tapez les commandes requises pour créer un attribut de type perapp, puis ajoutez les données, qui sont un nom d’attribut et la chaîne de politique base64. Notez que l’élément de données est limité à 420 caractères, donc si la chaîne base64 est plus longue que cela, vous devez la diviser et utiliser plusieurs commandes anyconnect-custom-data . Lorsque vous utilisez plusieurs commandes de données pour une variable donnée, la deuxième et les commandes suivantes sont simplement ajoutées à la chaîne de données initiale. Vous pouvez soit couper précisément la chaîne base64 à 420 caractères, soit la couper simplement en fragments faciles à gérer. Par exemple, pour créer un attribut nommé perAppPolicy et utiliser votre politique Allow_All, les commandes seront les suivantes. Notez que la description est facultative, mais si elle est incluse, il ne s’agit pas d’une commande distincte, mais fait partie de la commande anyconnect-custom-attr . (Notez que dans cet exemple, les retours de ligne sont ajoutés pour améliorer la lecture.)

     
     webvpn 
      anyconnect-custom-attr perapp description Per-App Allow All VPN Policy 
      anyconnect-custom-data perapp perAppPolicy 
     eJyVkFtvgkAQhf8K2adWqBcUNb4hGhG8oKBFG9NsZYVVYJHlquG/d20aH/rWl5kzZ06+
     ZOYOFEyPRCFRGWPXS8AAPDX3cnzlxGazw/1kOLOkCQqowE3DYx0IYI4S6MAEgsEd6CEp
     Hn08mjNE7uvxbOnIw0VpxMb7TYTuWsWdnTQpA090gqxzUrwLSfEKuX2xsUlGUNzbs62X
     GvnNvO4z1PN5gmzN7GYmn3Ya41Ueild3hNt0i6/8Rj
      anyconnect-custom-data perapp perAppPolicy 
     pPWyd+j/NM1W2rkLrbiyEXFJ6thJ+s+b4Y3NRbsQvgxO0a1pdEbA2pQXuupyHclcVSMxW
     qFHxDlsRN09CksUZ3JOttnayFhucFqCoBjFCGj2iGKXvKx/13tMoIsQNh6MQEO+wJchQ9
     IzCKmDcAtXqNbU4hDB5Z2fdJ/skq8+BD00coiVNUHSrhLziKfPSGCf0nmqEO1TcMGZio
     

   Le corps de l’objet doit ressembler à ce qui suit :

   
   

   

   
   

Étape 4

Si vous utilisez des politiques de groupe personnalisées, créez un objet FlexConfig deploy-once/append pour configurer l’attribut personnalisé de tunnellisation fractionnée dynamique dans les politiques de groupe.

1. Choisissez Objects > Object Management (Objets, Gestion des objets).

2. Choisissez FlexConfig > FlexConfig Object (FlexConfig, Objets FlexConfig) dans la table des matières.

3. Cliquez sur Add FlexConfig Object (Ajouter un objet FlexConfig), configurez les propriétés suivantes, puis cliquez sur Save (Enregistrer).

   • Name : nom de l'objet. Par exemple, Add_Per_App_VPN.

   • Deployment (Déploiement) : sélectionnez Once (une fois).

   • Type : conservez la valeur par défaut, Append (Ajouter).

   • Object body (Corps de l’objet) : dans le corps de l’objet, tapez les commandes requises pour ajouter l’attribut personnalisé à la politique de groupe. Par exemple, si l’attribut que vous avez créé s’intitule perAppPolicy et que la politique de groupe s’intitule « sales » (ventes), les commandes sont les suivantes :

     
     group-policy sales attributes 
      anyconnect-custom perapp value perAppPolicy 
     

   Le corps de l’objet doit ressembler à ce qui suit :

   
   

   

   
   

Étape 5

Créez la politique FlexConfig qui déploie ces objets.

1. Sélectionnez Devices > FlexConfig (Appareils, FlexConfig).

2. Cliquez sur New Policy (Nouvelle politique) ou si une politique FlexConfig existante doit être affectée (ou est déjà affectée) aux appareils cibles, modifiez simplement cette dernière.

   Lors de la création d’une nouvelle politique, affectez les appareils cibles à la politique dans la boîte de dialogue où vous nommez la politique.

3. Utilisez Ctrl+clic pour sélectionner l’objet FlexConfig dans le dossier User Defined (Défini par l’utilisateur) dans la table des matières, puis cliquez sur > pour l’ajouter à la politique.

   Les objets doivent être ajoutés à la liste Selected Appended FlexConfigs (FlexConfigs sélectionnées et ajoutées).

4. Utilisez le glisser-déposer pour vous assurer que les objets sont dans le bon ordre.

   L’objet qui crée l’objet d’attribut personnalisé doit venir avant les objets qui attribuent cet attribut aux politiques de groupe. Sinon, si vous essayez d’ajouter un attribut personnalisé qui n’existe pas encore, vous obtiendrez une erreur.

   La liste devrait ressembler à ce qui suit si vous avez un seul objet qui configure vos politiques de groupe personnalisées :

   
   

   

   
   

5. Cliquez sur Save (Enregistrer).

6. Si vous n’avez pas encore affecté tous les périphériques ciblés à la politique, cliquez sur le lien Policy Affectations (Affectations de politiques) ci-dessous Save and make the assignments now (Enregistrer et effectuer les affectations maintenant).

7. Cliquez sur Preview Config (Aperçu de la configuration et dans la boîte de dialogue d’aperçu, sélectionnez l’un des périphériques attribués.

   Le système génère un aperçu de l’interface de ligne de commande de configuration qui sera envoyée au périphérique. Vérifiez que les commandes générées à partir de l’objet semblent correctes. Celles-ci seront affichées à la fin de l’aperçu. Notez que vous verrez également les commandes générées à partir d’autres modifications que vous avez apportées aux fonctionnalités gérées. En ce qui concerne ces commandes, le résultat devrait ressembler à ce qui suit :

   
   

   

   
   

Étape 6

Déployez vos modifications.

Étape 7

Vérifiez la configuration.