Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Limitazioni

Configurazione

Configurazioni

Passaggio 1. Creazione del profilo VPN di gestione di AnyConnect

Passaggio 2. Creazione del profilo VPN AnyConnect

Passaggio 3. Caricare i profili AnyConnect Management VPN e AnyConnect VPN in FMC

Passaggio 4. Creazione di Criteri di gruppo

Passaggio 5. Creazione di una nuova configurazione di AnyConnect

Passaggio 6. Creazione dell'oggetto URL

Passaggio 7. Definizione dell'alias dell'URL

Verifica

Risoluzione dei problemi

Introduzione

In questo documento viene descritto come configurare un tunnel di gestione VPN per client sicuri su un sistema di difesa dalla minaccia del firewall sicuro gestito da Cisco FMC.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Autenticazione certificato client

- Cisco AnyConnect Profile Editor

- Configurazione di AnyConnect SSL tramite Firewall Management Center (FMC)

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco FMC versione 6.7.0 (build 65)

- Cisco Firewall Threat Defense (FTD) versione 6.7.0 (build 65)

- Cisco AnyConnect 4.9.01095 installato sul computer Windows 10

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Nell'esempio, il protocollo SSL (Secure Sockets Layer) viene utilizzato per creare una VPN (Virtual Private Network) tra FTD e un client Windows 10.

A partire dalla versione 6.7, Cisco FTD supporta la configurazione dei tunnel di gestione di AnyConnect. Questo comando corregge la richiesta di miglioramento precedentemente aperta. ID bug Cisco CSCvs78215.

La funzionalità di gestione di AnyConnect consente di creare un tunnel VPN subito dopo il completamento dell'avvio dell'endpoint. Non è necessario che gli utenti avviino manualmente l'app AnyConnect. Dopo l'accensione del sistema, il servizio agente VPN di AnyConnect rileva la funzionalità VPN di gestione e avvia una sessione AnyConnect utilizzando la voce Host (definita nell'elenco dei server del profilo VPN di gestione di AnyConnect).

Limitazioni

- È supportata solo l'autenticazione dei certificati client.

- Per i client Windows è supportato solo l'archivio certificati del computer.

- Non supportato in Cisco Firepower Device Manager (FDM), ID bug Cisco CSCvx90058.

- Non supportato per i client Linux.

Limitazioni complete descritte nella Cisco Secure Client Administrator Guide, release 5.

Configurazione

Configurazioni

Passaggio 1. Creazione del profilo VPN di gestione di AnyConnect

Aprire l'Editor dei profili di AnyConnect per creare un profilo VPN di gestione di AnyConnect. Il profilo di gestione contiene tutte le impostazioni utilizzate per stabilire il tunnel VPN dopo l'avvio dell'endpoint.

1. In questo esempio, una voce dell'elenco dei server punta al nome di dominio completo (FQDN) dperezve.jyoungta-labdomain.cisco.com definito e SSL è selezionato come protocollo primario. Per aggiungere un elenco di server, passare a Elenco server e selezionare il pulsante Aggiungi. Compilare i campi obbligatori e salvare le modifiche.

2. Oltre all'elenco dei server, il profilo VPN di gestione deve contenere alcune preferenze obbligatorie:

- AutomaticCertSelection deve essere impostato su true.

- La riconnessione automatica deve essere impostata su true.

- È necessario configurare AutoReconnectBehavior per ReconnectAfterResume.

- AutoUpdate deve essere impostato su false.

- BlockUntrustedServers deve essere impostato su true.

- È necessario configurare CertificateStore per MachineStore.

- CertificateStoreOverride deve essere impostato su true.

- EnableAutomaticServerSelection deve essere impostato su false.

- EnableScripting deve essere impostato su false.

- RetainVPNOnLogoff deve essere impostato su true.

3. Nell'Editor di profili di AnyConnect, passare a Preferenze (Parte 1) e regolare le impostazioni come mostrato nell'immagine:

4. Passare a Preferenze (Parte 2) e deselezionare l'opzione Disabilita selezione automatica certificati.

Passaggio 2. Creazione del profilo VPN AnyConnect

Oltre al profilo VPN di gestione, è necessario configurare il profilo VPN AnyConnect standard. Il profilo VPN AnyConnect viene usato al primo tentativo di connessione. Durante questa sessione, il profilo VPN di gestione viene scaricato da FTD.

Usare l'Editor dei profili di AnyConnect per creare il profilo VPN di AnyConnect. In questo caso, entrambi i file contengono le stesse impostazioni, pertanto è possibile utilizzare la stessa procedura.

Passaggio 3. Caricare i profili AnyConnect Management VPN e AnyConnect VPN in FMC

1. Una volta creati i profili, caricarli in FMC come oggetti File di AnyConnect.

2. Per caricare il nuovo profilo VPN di AnyConnect Management in FMC, selezionare Oggetti > Gestione oggetti e scegliere l'opzione VPN dal sommario. Selezionare il pulsante Add AnyConnect File.

3. Fornire un nome per il file. Selezionare AnyConnect Management VPN Profile come tipo di file e salvare l'oggetto.

4. Per caricare il profilo VPN AnyConnect, selezionare Oggetti > Gestione oggetti e scegliere l'opzione VPN dal sommario. Selezionare il pulsante Add AnyConnect File.

5. Fornire un nome per il file e questa volta, scegliere AnyConnect VPN Profile come tipo di file e salvare il nuovo oggetto.

6. I profili devono essere aggiunti all'elenco degli oggetti e contrassegnati rispettivamente come profilo VPN di gestione di AnyConnect e profilo VPN di AnyConnect.

Passaggio 4. Creazione di Criteri di gruppo

1. Per creare un nuovo criterio di gruppo, passare a Oggetti > Gestione oggetti e scegliere l'opzione VPN dal sommario. Selezionare Criteri di gruppo e fare clic sul pulsante Aggiungi criteri di gruppo.

2. Quando si apre la finestra Add Group Policy, assegnare un nome, definire un pool AnyConnect e aprire la scheda AnyConnect.

3. Passare al campo Profile (Profilo) e selezionare l'oggetto che rappresenta il profilo VPN AnyConnect standard nel menu a discesa Client Profile (Profilo client).

4. Passare alla scheda Profilo di gestione e selezionare l'oggetto che contiene il Profilo VPN di gestione nel menu a discesa Profilo di gestione.

5. Salvare le modifiche per aggiungere il nuovo oggetto ai Criteri di gruppo esistenti.

Passaggio 5. Creazione di una nuova configurazione di AnyConnect

1. La configurazione di SSL AnyConnect in FMC è composta da quattro passaggi diversi. Per configurare AnyConnect, selezionare Dispositivi > VPN > Accesso remoto e selezionare il pulsante Add (Aggiungi). È necessario aprire la Creazione guidata criteri VPN di Accesso remoto.

2. Nella scheda Assegnazione criteri, selezionare il dispositivo FTD in uso, definire un nome per il profilo di connessione e selezionare la casella di controllo SSL.

2. Nel profilo di connessione, selezionare Solo certificato client come metodo di autenticazione. Questa è l'unica autenticazione supportata per la funzionalità.

3. Selezionare quindi l'oggetto Criteri di gruppo creato al passaggio 3 nel menu a discesa Criteri di gruppo.

4. Nella scheda AnyConnect, selezionare l'oggetto file AnyConnect in base al sistema operativo sull'endpoint.

5. In Accesso e certificato, specificare il certificato che deve essere utilizzato dall'FTD per verificare la propria identità al client Windows.

Nota: Poiché gli utenti non possono interagire con l'app AnyConnect quando usano la funzionalità VPN di gestione, il certificato deve essere completamente attendibile e non deve stampare alcun messaggio di avviso.

Nota: Per evitare errori di convalida del certificato, il campo Nome comune (CN) incluso nel Nome soggetto del certificato deve corrispondere al nome di dominio completo (FQDN) definito nell'Elenco server di profili XML (Passaggio 1 e Passaggio 2).

6. Infine, selezionare il pulsante Finish (Fine) nella scheda Summary per aggiungere la nuova configurazione AnyConnect.

Passaggio 6. Creazione dell'oggetto URL

1. Selezionare Oggetti > Gestione oggetti e selezionare URL dal sommario. Quindi, selezionare Add Object (Aggiungi oggetto) dal menu a discesa Add URL (Aggiungi URL).

2. Fornire un nome per l'oggetto e definire l'URL utilizzando lo stesso FQDN/gruppo di utenti specificato nell'elenco dei server dei profili VPN di gestione (passaggio 2). Nell'esempio, l'URL deve essere dperezve.jyoungta-labdomain.cisco.com/AnyConnect_Management_Tunnel.

3. Salvare le modifiche per aggiungere l'oggetto all'elenco degli oggetti.

Passaggio 7. Definizione dell'alias dell'URL

1. Per abilitare l'alias URL nella configurazione AnyConnect, selezionare Dispositivi > VPN > Accesso remoto e fare clic sull'icona a forma di matita per apportare le modifiche.

2. Nella scheda Profilo di connessione, selezionare la configurazione desiderata, passare ad Alias, fare clic sul pulsante Aggiungi. Quindi, selezionare Oggetto URL nel menu a discesa Alias URL. Verificare che la casella di controllo Abilitato sia selezionata.

3. Salvare le modifiche e distribuire le configurazioni in FTD.

Verifica

Al termine dell'implementazione, è necessaria una prima connessione AnyConnect manuale con il profilo VPN di AnyConnect. Durante questa connessione, il profilo VPN di gestione viene scaricato da FTD e archiviato in C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\MgmtTun. Da questo punto, le connessioni successive devono essere avviate tramite il profilo VPN di gestione senza alcuna interazione da parte dell'utente.

Risoluzione dei problemi

Per gli errori di convalida del certificato:

- Verificare che il certificato radice per CA (Certification Authority) sia installato nel file FTD.

- Verificare che nell'archivio computer Windows sia installato un certificato di identità firmato dalla stessa CA.

- Verificare che il campo CN sia incluso nel certificato e che corrisponda al nome di dominio completo (FQDN) definito nell'elenco dei server del profilo VPN di gestione e al nome di dominio completo (FQDN) definito nell'alias URL.

Per il tunnel di gestione non avviato:

- Verificare che il profilo VPN di gestione sia stato scaricato e archiviato in C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\MgmtTun.

- Verificare che il nome del profilo VPN di gestione sia VpnMgmtTunProfile.xml.

Per problemi di connettività, raccogliere il pacchetto DART e contattare Cisco TAC per ulteriori ricerche.