Configurazione del tunnel di gestione VPN per client sicuri su un firewall protetto

Opzioni per il download

  • PDF     (2.3 MB)
    Visualizza con Adobe Reader su diversi dispositivi
  • ePub     (2.2 MB)
    Visualizza in diverse app su iPhone, iPad, Android, Sony Reader o Windows Phone
  • Mobi (Kindle)     (1.7 MB)
    Visualizza su dispositivo Kindle o tramite app Kindle su più dispositivi
Aggiornato:14 luglio 2026
ID documento:217040

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

Introduzione

In questo documento viene descritto come configurare un tunnel di gestione VPN per client sicuri su un sistema di difesa dalla minaccia del firewall sicuro gestito da Cisco FMC.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

  • Autenticazione certificato client
  • Cisco AnyConnect Profile Editor
  • Configurazione di AnyConnect SSL tramite Firewall Management Center (FMC)

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

  • Cisco FMC versione 6.7.0 (build 65)
  • Cisco Firewall Threat Defense (FTD) versione 6.7.0 (build 65)
  • Cisco AnyConnect 4.9.01095 installato sul computer Windows 10

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Nell'esempio, il protocollo SSL (Secure Sockets Layer) viene utilizzato per creare una VPN (Virtual Private Network) tra FTD e un client Windows 10.

A partire dalla versione 6.7, Cisco FTD supporta la configurazione dei tunnel di gestione di AnyConnect. Questo comando corregge la richiesta di miglioramento precedentemente aperta. ID bug Cisco CSCvs78215.

La funzionalità di gestione di AnyConnect consente di creare un tunnel VPN subito dopo il completamento dell'avvio dell'endpoint. Non è necessario che gli utenti avviino manualmente l'app AnyConnect. Dopo l'accensione del sistema, il servizio agente VPN di AnyConnect rileva la funzionalità VPN di gestione e avvia una sessione AnyConnect utilizzando la voce Host (definita nell'elenco dei server del profilo VPN di gestione di AnyConnect).

Limitazioni

  • È supportata solo l'autenticazione dei certificati client.
  • Per i client Windows è supportato solo l'archivio certificati del computer.
  • Non supportato in Cisco Firepower Device Manager (FDM), ID bug Cisco CSCvx90058.
  • Non supportato per i client Linux.

Limitazioni complete descritte nella Cisco Secure Client Administrator Guide, release 5.

Configurazione

Configurazioni

Passaggio 1. Creazione del profilo VPN di gestione di AnyConnect

Aprire l'Editor dei profili di AnyConnect per creare un profilo VPN di gestione di AnyConnect. Il profilo di gestione contiene tutte le impostazioni utilizzate per stabilire il tunnel VPN dopo l'avvio dell'endpoint.

1. In questo esempio, una voce dell'elenco dei server punta al nome di dominio completo (FQDN) dperezve.jyoungta-labdomain.cisco.com definito e SSL è selezionato come protocollo primario. Per aggiungere un elenco di server, passare a Elenco server e selezionare il pulsante Aggiungi. Compilare i campi obbligatori e salvare le modifiche.

AnyConnect Management Profile

2. Oltre all'elenco dei server, il profilo VPN di gestione deve contenere alcune preferenze obbligatorie:

  • AutomaticCertSelection deve essere impostato su true.
  • La riconnessione automatica deve essere impostata su true.
  • È necessario configurare AutoReconnectBehavior per ReconnectAfterResume.
  • AutoUpdate deve essere impostato su false.
  • BlockUntrustedServers deve essere impostato su true.
  • È necessario configurare CertificateStore per MachineStore.
  • CertificateStoreOverride deve essere impostato su true.
  • EnableAutomaticServerSelection deve essere impostato su false.
  • EnableScripting deve essere impostato su false.
  • RetainVPNOnLogoff deve essere impostato su true.

3. Nell'Editor di profili di AnyConnect, passare a Preferenze (Parte 1) e regolare le impostazioni come mostrato nell'immagine:

Preferences 1

4. Passare a Preferenze (Parte 2) e deselezionare l'opzione Disabilita selezione automatica certificati.

Preferences 2

Passaggio 2. Creazione del profilo VPN AnyConnect

Oltre al profilo VPN di gestione, è necessario configurare il profilo VPN AnyConnect standard. Il profilo VPN AnyConnect viene usato al primo tentativo di connessione. Durante questa sessione, il profilo VPN di gestione viene scaricato da FTD.

Usare l'Editor dei profili di AnyConnect per creare il profilo VPN di AnyConnect. In questo caso, entrambi i file contengono le stesse impostazioni, pertanto è possibile utilizzare la stessa procedura.

Passaggio 3. Caricare i profili AnyConnect Management VPN e AnyConnect VPN in FMC

1. Una volta creati i profili, caricarli in FMC come oggetti File di AnyConnect.

2. Per caricare il nuovo profilo VPN di AnyConnect Management in FMC, selezionare Oggetti > Gestione oggetti e scegliere l'opzione VPN dal sommario. Selezionare il pulsante Add AnyConnect File.

3. Fornire un nome per il file. Selezionare AnyConnect Management VPN Profile come tipo di file e salvare l'oggetto.

AnyConnect Management Profile Object

4. Per caricare il profilo VPN AnyConnect, selezionare Oggetti > Gestione oggetti e scegliere l'opzione VPN dal sommario. Selezionare il pulsante Add AnyConnect File.

5. Fornire un nome per il file e questa volta, scegliere AnyConnect VPN Profile come tipo di file e salvare il nuovo oggetto.

AnyConnect VPN Profile Object

6. I profili devono essere aggiunti all'elenco degli oggetti e contrassegnati rispettivamente come profilo VPN di gestione di AnyConnect e profilo VPN di AnyConnect.

AnyConnect Objects

Passaggio 4. Creazione di Criteri di gruppo

1. Per creare un nuovo criterio di gruppo, passare a Oggetti > Gestione oggetti e scegliere l'opzione VPN dal sommario. Selezionare Criteri di gruppo e fare clic sul pulsante Aggiungi criteri di gruppo.

2. Quando si apre la finestra Add Group Policy, assegnare un nome, definire un pool AnyConnect e aprire la scheda AnyConnect.

3. Passare al campo Profile (Profilo) e selezionare l'oggetto che rappresenta il profilo VPN AnyConnect standard nel menu a discesa Client Profile (Profilo client).

Upload AnyConnect Profile

4. Passare alla scheda Profilo di gestione e selezionare l'oggetto che contiene il Profilo VPN di gestione nel menu a discesa Profilo di gestione.

Upload Management Tunnel

5. Salvare le modifiche per aggiungere il nuovo oggetto ai Criteri di gruppo esistenti.

AnyConnect Group Policy

Passaggio 5. Creazione di una nuova configurazione di AnyConnect

1. La configurazione di SSL AnyConnect in FMC è composta da quattro passaggi diversi. Per configurare AnyConnect, selezionare Dispositivi > VPN > Accesso remoto e selezionare il pulsante Add (Aggiungi). È necessario aprire la Creazione guidata criteri VPN di Accesso remoto.

2. Nella scheda Assegnazione criteri, selezionare il dispositivo FTD in uso, definire un nome per il profilo di connessione e selezionare la casella di controllo SSL.

Policy Assignment - AnyConnect Management Tunnel

2. Nel profilo di connessione, selezionare Solo certificato client come metodo di autenticazione. Questa è l'unica autenticazione supportata per la funzionalità.

Connection Profile - Client Certificate Only

3. Selezionare quindi l'oggetto Criteri di gruppo creato al passaggio 3 nel menu a discesa Criteri di gruppo.

Connection Profile - Group Policy

4. Nella scheda AnyConnect, selezionare l'oggetto file AnyConnect in base al sistema operativo sull'endpoint.

AnyConnect for Windows

5. In Accesso e certificato, specificare il certificato che deve essere utilizzato dall'FTD per verificare la propria identità al client Windows.

Nota: Poiché gli utenti non possono interagire con l'app AnyConnect quando usano la funzionalità VPN di gestione, il certificato deve essere completamente attendibile e non deve stampare alcun messaggio di avviso.

Nota: Per evitare errori di convalida del certificato, il campo Nome comune (CN) incluso nel Nome soggetto del certificato deve corrispondere al nome di dominio completo (FQDN) definito nell'Elenco server di profili XML (Passaggio 1 e Passaggio 2).

Access and Certificate

6. Infine, selezionare il pulsante Finish (Fine) nella scheda Summary per aggiungere la nuova configurazione AnyConnect.

Summary

Passaggio 6. Creazione dell'oggetto URL

1. Selezionare Oggetti > Gestione oggetti e selezionare URL dal sommario. Quindi, selezionare Add Object (Aggiungi oggetto) dal menu a discesa Add URL (Aggiungi URL).

2. Fornire un nome per l'oggetto e definire l'URL utilizzando lo stesso FQDN/gruppo di utenti specificato nell'elenco dei server dei profili VPN di gestione (passaggio 2). Nell'esempio, l'URL deve essere dperezve.jyoungta-labdomain.cisco.com/AnyConnect_Management_Tunnel.

URL Object Config

3. Salvare le modifiche per aggiungere l'oggetto all'elenco degli oggetti.

Passaggio 7. Definizione dell'alias dell'URL

1. Per abilitare l'alias URL nella configurazione AnyConnect, selezionare Dispositivi > VPN > Accesso remoto e fare clic sull'icona a forma di matita per apportare le modifiche.

2. Nella scheda Profilo di connessione, selezionare la configurazione desiderata, passare ad Alias, fare clic sul pulsante Aggiungi. Quindi, selezionare Oggetto URL nel menu a discesa Alias URL. Verificare che la casella di controllo Abilitato sia selezionata.

Configure URL

3. Salvare le modifiche e distribuire le configurazioni in FTD.

Verifica

Al termine dell'implementazione, è necessaria una prima connessione AnyConnect manuale con il profilo VPN di AnyConnect. Durante questa connessione, il profilo VPN di gestione viene scaricato da FTD e archiviato in C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\MgmtTun. Da questo punto, le connessioni successive devono essere avviate tramite il profilo VPN di gestione senza alcuna interazione da parte dell'utente.

Risoluzione dei problemi

Per gli errori di convalida del certificato:

  • Verificare che il certificato radice per CA (Certification Authority) sia installato nel file FTD.
  • Verificare che nell'archivio computer Windows sia installato un certificato di identità firmato dalla stessa CA.
  • Verificare che il campo CN sia incluso nel certificato e che corrisponda al nome di dominio completo (FQDN) definito nell'elenco dei server del profilo VPN di gestione e al nome di dominio completo (FQDN) definito nell'alias URL.

Per il tunnel di gestione non avviato:

  • Verificare che il profilo VPN di gestione sia stato scaricato e archiviato in C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\MgmtTun.
  • Verificare che il nome del profilo VPN di gestione sia VpnMgmtTunProfile.xml.

Per problemi di connettività, raccogliere il pacchetto DART e contattare Cisco TAC per ulteriori ricerche.

Cronologia delle revisioni

Revisione Data di pubblicazione Commenti
3.0
14-Jul-2026
Introduzione aggiornata, ortografia, spaziatura, righe inserite in sezioni separate per la leggibilità e testo alternativo aggiornato.
2.0
17-Jan-2024
Traduzione e formattazione automatiche aggiornate.
1.0
14-Apr-2021
Versione iniziale
TAC Authored

Contributo dei tecnici Cisco

  • Daniel Perez Vertti Vazquez
    Cisco TAC Engineer

Questo documento ti è stato utile?

FeedbackFeedback

Contattaci

Questo documento si applica a questi prodotti