Sommario
Introduzione
In questo documento viene descritto come abilitare i comandi AnyConnect Lockdown e Hide AnyConnect dall'elenco dei programmi di aggiunta/rimozione per i computer Windows.
Contributo di Christian G. Hernandez R, Cisco TAC Engineer.
Prerequisiti
Requisiti
Cisco raccomanda la conoscenza dei seguenti argomenti:
Componenti usati
Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:
- Cisco ASA versione 9.14.2.13
- Cisco Adaptive Security Device Manager (ASDM) versione 7.14.1
- Cisco AnyConnect versioni 4.9.04053 e 4.9.06037
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Premesse
AnyConnect Lockdown per Windows: Cisco consiglia di concedere agli utenti finali diritti limitati sui Cisco AnyConnect Secure Mobility Client sul loro dispositivo. Se l'utente finale garantisce diritti aggiuntivi, i programmi di installazione possono fornire una funzionalità di blocco che impedisce agli utenti e agli amministratori locali di disattivare o interrompere i servizi AnyConnect.
Per abilitare la funzione AnyConnect Lockdown, sono disponibili tre opzioni:
1. I programmi di installazione MSI dal terminale del prompt dei comandi di Windows.
2. Opzione di blocco dalla procedura guidata di installazione del pacchetto pre-distribuzione di AnyConnect.
3. ASDM - Importare un esempio di blocco del programma di installazione per trasformare il file nell'appliance ASA.
Nascondere AnyConnect dall'elenco Installazione applicazioni di Windows: è possibile nascondere i moduli AnyConnect installati dall'elenco Installazione applicazioni nel Pannello di controllo di Windows. Disinstallare un programma.
Per abilitare la funzione Nascondi AnyConnect dall'elenco dei programmi da aggiungere o rimuovere, sono disponibili due opzioni:
1. I programmi di installazione MSI dal terminale del prompt dei comandi di Windows.
2. ASDM - Importare un esempio di file di trasformazioni hide-address del programma di installazione nell'appliance ASA.
Configurazione
Esempio di rete
Configurazione del blocco AnyConnect
Programmi di installazione MSI dal terminale del prompt dei comandi di Windows.
Procedura di configurazione
Passaggio 1. Scaricare il file del pacchetto pre-distribuzione di AnyConnect per Windows.
Passaggio 1.1. Accedere alla pagina di download del software Cisco e scaricare la versione di AnyConnect da installare sul computer Windows.
Per questo esempio, scaricare il pacchetto pre-distribuzione di Windows AnyConnect che include il singolo MSI file per la versione 4.9.04053 (anyconnect-win-4.9.04053-predeploy-k9.zip).
Passaggio 2. Scaricare il file di trasformazione del programma di installazione di AnyConnect per Windows.
2.1 Passare alla pagina di download del software Cisco e scaricare il file delle trasformazioni di AnyConnect Installer per Windows che corrisponde alla stessa versione di AnyConnect da installare sul computer Windows.
Per questo esempio, scaricare il file delle trasformazioni per AnyConnect versione 4.9.04053 (tools-anyconnect-win-4.9.04053-transforms.zip).
Passaggio 3. Decomprimere i file AnyConnect scaricati in cartelle diverse.
Passaggio 3.1 Il file anyconnect-win-4.9.04053-predeploy-k9.zip viene decompresso sul percorso della cartella successiva: C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.
Fase 3.2 The tools-anyconnect-win-4.9.04053-transforms.zipil file viene decompresso nel percorso successivo della cartella: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transforms.
Passaggio 4. Copiare e incollare il file di trasformazione dei blocchi di AnyConnect nella stessa cartella dei file del programma di installazione di AnyConnect MSI.
Passaggio 4.1 Dalla cartella tools-anyconnect-win-4.9.04053-transforms, copiare il file _anyconnect-win-lockdown.mst lockdown lo trasforma e lo incolla nella cartella anyconnect-win-4.9.04053-predeploy-k9, come segue.
Passaggio 5. Inserire il CD nel percorso della cartella contenente i file di installazione di MSI AnyConnect.
Passaggio 5.1 Aprire un terminale del prompt dei comandi di Windows e inserire il CD nel percorso della cartella in cui sono stati copiati/incollati i file di installazione di MSI AnyConnect e il file di trasformazione _anyconnect-win-lockdown.mst lockdown nel passaggio precedente.
Nell'esempio seguente, il cd viene inserito nel percorso della cartella C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.
Passaggio 6. Installare i moduli AnyConnect con il file di trasformazione dei blocchi.
Passaggio 6.1 I
Installare tutti i moduli AnyConnect richiesti con il comando MSI installer successivo che punti al file del modulo .msi di AnyConnect e al file di trasformazione _anyconnect-win-lockdown.mst lockdown.
msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Nota:L'impostazione del valore LOCKDOWN su "1" abilita la funzione di blocco per il modulo AnyConnect.
Nota: Cisco consiglia di utilizzare il file di trasformazioni di esempio fornito per impostare questa proprietà, applicare la trasformazione a ciascun programma di installazione MSI per ciascun modulo che si desidera bloccare. Le trasformazioni di esempio possono essere scaricate dalla pagina di download del software Cisco AnyConnect Secure Mobility Client.
Nota:Se si distribuisce il client di base più uno o più moduli facoltativi, è necessario applicare la proprietà LOCKDOWN a ogni programma di installazione. L'operazione è unidirezionale e non può essere rimossa a meno che non si reinstalli il prodotto.
Passaggio 6.2 In questo esempio vengono installati il modulo CORE e VPN di AnyConnect e il file di trasformazione _anyconnect-win-lockdown.mst lockdown, entrambi corrispondenti ai file della versione 4.9.04053 di AnyConnect.
msiexec -i anyconnect-win-4.9.04053-core-vpn-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Passaggio 6.3 In questo esempio vengono installati il modulo AnyConnect Umbrella Roaming Security e il file di trasformazione _anyconnect-win-lockdown.mst lockdown, entrambi corrispondenti ai file della versione 4.9.04053 di AnyConnect.
msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Opzione di blocco da AnyConnect pacchetto pre-distribuzione installazione guidata.
Procedura di configurazione
Passaggio 1. Scaricare il file del pacchetto pre-distribuzione di Anyconnect per Windows.
Passaggio 1.1. Accedere alla pagina di download del software Cisco e scaricare la versione di AnyConnect da installare sul computer Windows.
Per questo esempio, scaricare il pacchetto pre-distribuzione di Windows AnyConnect che include i singoli file MSI della versione 4.9.04053 (anyconnect-win-4.9.04053-predeploy-k9.zip).
Passaggio 2. Aprire il file di installazione di AnyConnect.
2.1 Estrarre il file anyconnect-win-4.9.04053-pre-deploy-k9.zip scaricato e aprirlo.
2.2 Quindi, fare doppio clic sul file di installazione di AnyConnect.
Passaggio 3. Usare l'installazione guidata di AnyConnect.
Passaggio 3.1 Tra le opzioni visualizzate, selezionare i moduli AnyConnect da installare.
Per questo esempio, selezionare i moduli AnyConnect CORE e VPN e Umbrella Roaming Security.
Passaggio 4. Abilitare la funzione di blocco di AnyConnect.
Passaggio 4.1 Per abilitare la funzione di blocco per i moduli CORE e VPN e Umbrella Roaming Security, selezionare l'opzione Lock Down Component Services e procedere con l'installazione.
Passaggio 5. Confermare l'installazione dei moduli AnyConnect.
Passaggio 5.1 L'installazione dei moduli AnyConnect è completata al 100% quando viene visualizzato il messaggio successivo.
Configurare per nascondere AnyConnect dall'elenco di Installazione applicazioni
Programmi di installazione MSI dal terminale del prompt dei comandi di Windows.
Procedura di configurazione
Passaggio 1. Scaricare il file del pacchetto pre-distribuzione di AnyConnect per Windows.
Passaggio 1.1. Accedere alla pagina di download del software Cisco e scaricare la versione di AnyConnect da installare sul computer Windows.
Per questo esempio, scaricare il pacchetto pre-distribuzione di Windows AnyConnect che include il singolo MSI file per la versione 4.9.04053 (anyconnect-win-4.9.04053-predeploy-k9.zip).
Passaggio 2. Scaricare il file di trasformazione del programma di installazione di AnyConnect per Windows.
2.1 Passare alla pagina di download del software Cisco e scaricare il file delle trasformazioni di AnyConnect Installer per Windows che corrisponde alla stessa versione di AnyConnect da installare sul computer Windows.
Per questo esempio, scaricare il file delle trasformazioni per AnyConnect versione 4.9.04053 (tools-anyconnect-win-4.9.04053-transforms.zip).
Passaggio 3. Decomprimere i file AnyConnect scaricati in cartelle diverse.
Passaggio 3.1 Il file anyconnect-win-4.9.04053-predeploy-k9.zip viene decompresso sul percorso della cartella successiva: C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.
Fase 3.2 The tools-anyconnect-win-4.9.04053-transforms.zipil file viene decompresso nel percorso successivo della cartella: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transforms.
Passaggio 4. Copiare e incollare il file di trasformazione degli indirizzi nascosti di AnyConnect nella stessa cartella dei file del programma di installazione di AnyConnect MSI.
Passaggio 4.1 Dalla cartella tools-anyconnect-win-4.9.04053-transforms, copiare il file _anyconnect-win-hide-addremove-display.mst e incollarlo nella cartella anyconnect-win-4.9.04053-predeploy-k9, come segue.
Passaggio 5. Inserire il CD nel percorso della cartella contenente i file di installazione di MSI AnyConnect.
Passaggio 5.1 Aprire un terminale del prompt dei comandi di Windows e il cd nel percorso della cartella in cui sono stati copiati/incollati i file di installazione MSI AnyConnect e _anyconnect-win-hide-addremove-display.mst nel passaggio precedente.
Nell'esempio seguente, il cd viene inserito nel percorso della cartella C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.
Passaggio 6. Installare i moduli AnyConnect con il file di trasformazione hide-addremove.
Passaggio 6.1 I
Installare tutti i moduli AnyConnect richiesti con il comando MSI installer successivo che punta al file del modulo .msi di AnyConnect e al file di trasformazione _anyconnect-win-hide-addremove-display.mst.
msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log
Nota: il valore "1" impostato per ARPSYSTEMCOMPONENT consente di nascondere AnyConnect dalla funzionalità Add/Remove Program List per il modulo AnyConnect da installare.
Nota: Cisco consiglia di utilizzare il file di trasformazioni di esempio fornito per impostare questa proprietà, applicare la trasformazione a ciascun programma di installazione MSI per ciascun modulo che si desidera nascondere. Le trasformazioni di esempio possono essere scaricate dalla pagina di download del software Cisco AnyConnect Secure Mobility Client.
Nota: Se si distribuisce il client di base più uno o più moduli facoltativi, è necessario applicare la proprietà HIDE-AnyConnect a ogni programma di installazione. L'operazione è unidirezionale e non può essere rimossa a meno che non si reinstalli il prodotto.
Passaggio 6.2 In questo esempio vengono installati il modulo AnyConnect CORE e VPN e il file AnyConnect-win-hide-addremove-display.mst. I due file corrispondono a quelli della versione 4.9.04053 di AnyConnect.
Passaggio 6.3 In questo esempio vengono installati il modulo AnyConnect Umbrella Roaming Security e il file _anyconnect-win-hide-addremove-display.mst. I due file corrispondono a quelli della versione 4.9.04053 di AnyConnect.
msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log
Configurazione di AnyConnect Lockdown e della funzione Hide AnyConnect da Add/Remove Program List con ASDM
Questa procedura è valida solo per gli aggiornamenti della distribuzione Web di AnyConnect. Nell'esempio viene preso in considerazione un aggiornamento della distribuzione Web di AnyConnect dalla versione 4.9.04053 alla versione 4.9.0.6037.
Procedura di configurazione
Passaggio 1. Confermare la versione di AnyConnect in esecuzione sul computer Windows.
Passaggio 1.1 Sul computer Windows in questo esempio, è già installata la versione 4.9.04053 di AnyConnect per i moduli Core e VPN e Umbrella Roaming Security.
Passaggio 2. Scaricare il file del pacchetto di distribuzione dell'headend AnyConnect per Windows.
Passaggio 2.1 Passare alla pagina di download del software Cisco e scaricare la versione del file del pacchetto di distribuzione dell'headend AnyConnect da installare sul computer Windows per l'aggiornamento della distribuzione Web.
Per questo esempio, scaricare il pacchetto di distribuzione dell'headend Windows AnyConnect versione 4.9.06037 (anyconnect-win-4.9.06037-webdeploy-k9.pkg).
Passaggio 3. Scaricare il file di trasformazione del programma di installazione di AnyConnect per Windows.
3.1 Accedere alla pagina di download del software Cisco e scaricare il file di trasformazione AnyConnect Installer per Windows che corrisponde alla stessa versione di AnyConnect da installare sul computer Windows.
Per questo esempio, scaricare il file delle trasformazioni per AnyConnect versione 4.9.06037 (tools-anyconnect-win-4.9.06037-transforms.zip).
Passaggio 4. Decomprimere il file delle trasformazioni AnyConnect scaricato.
Passaggio 4.1 T
the tools-anyconnect-win-4.9.06037-transforms.zipil file viene decompresso nel percorso successivo della cartella: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms.
Passaggio 5. Aprire ASDM e connettersi all'appliance ASA con le credenziali dell'utente.
Passaggio 6. Trasferire il pacchetto di implementazione dell'headend AnyConnect dal PC alla memoria flash ASA.
6.1 Passare a Strumenti > Gestione file > Trasferimento file > Tra PC locale e flash e trasferire il pacchetto di implementazione headend AnyConnect versione 4.9.06037 (anyconnect-win-4.9.06037-webdeploy-k9.pkg) alla memoria flash ASA.
Passaggio 7. Configurare la versione trasferita del pacchetto di distribuzione dell'headend AnyConnect per l'aggiornamento della distribuzione Web.
7.1 Passare a Configurazione ASDM > VPN ad accesso remoto > Software client Anyconnect e selezionare il pacchetto di distribuzione dell'headend AnyConnect versione 4.9.04053 installato.
7.2. Quindi, selezionare Replace and Browse Flash per sostituire il vecchio pacchetto di implementazione dell'headend AnyConnect versione 4.9.04053 con la versione 4.9.06037 precedentemente trasferita alla memoria flash.
Passaggio 7.3 Applicare le modifiche alla configurazione e inviarle all'appliance ASA.
Passaggio 8. Importare i file di trasformazione di esempio di AnyConnect.
Passare alla fase 8.1 Configurazione ASDM > VPN ad accesso remoto > Trasformazioni installatore personalizzate > Importa e importa i file di trasformazione di esempio richiesti.
Passaggio 8.2. Importare il file AnyConnect versione 4.9.06037 _anyconnect-win-lockdown.mst.sample per trasformare il file e abilitare il blocco per entrambi i moduli CORE e VPN e Umbrella Roaming Security.
Immettere i valori nel modo seguente:
Nome: _anyconnect-lockdown
Piattaforma: vincere
Selezionare un file - Computer locale: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms\_anyconnect-win-lockdown.mst
Nota: l'esempio di AnyConnect _anyconnect-win-lockdown.mst trasforma il file in modo che funzioni sul modulo AnyConnect richiesto.
Passaggio 8.3. Importare il file AnyConnect versione 4.9.06037 _anyconnect-win-hide-addremove-display.mst.sample per trasformare il file in modo da abilitare la funzione di rimozione/aggiunta dei programmi per i moduli CORE e VPN e Umbrella Roaming Security.
Immettere i valori nel modo seguente:
Nome: _anyconnect-hideaddremove
Piattaforma: vincere
Selezionare un indirizzo file: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms\_anyconnect-win-hide-addremove-display.mst
Nota: il file _anyconnect-win-hide-addremove-display.mstsample trasforma il file in base alle esigenze del modulo AnyConnect.
Passaggio 8.4 Salvare le modifiche alla configurazione e inviarle all'appliance ASA.
Nota: Quando questo articolo è stato scritto, il nome usato per importare i file delle trasformazioni di esempio deve avere un carattere di sottolineatura "_" all'inizio del nome. In questo modo, le trasformazioni di esempio importate funzionano per qualsiasi modulo AnyConnect. Se si utilizza un nome diverso senza un carattere di sottolineatura all'inizio del nome, l'esempio delle trasformazioni importate funziona solo per il modulo CORE e VPN Anyconnect (CSCvy38427).
Passaggio 9. Aggiornamento automatico della distribuzione Web di AnyConnect.
Passaggio 9.1 Forza l'aggiornamento automatico dell'implementazione Web di AnyConnect per i moduli CORE e VPN e Umbrella Roaming Security.
Di seguito viene riportata la configurazione ASA AnyConnect in uso per consentire l'aggiornamento automatico dei moduli CORE e VPN e Umbrella Roaming Security:
webvpn
enable outside
anyconnect image disk0:/anyconnect-win-4.9.06037-webdeploy-k9.pkg 1
anyconnect enable
tunnel-group-list enable
group-policy ANYCONNECT_GP1 internal
group-policy ANYCONNECT_GP1 attributes
vpn-tunnel-protocol ssl-client ssl-clientless
split-tunnel-policy tunnelspecified
split-tunnel-network-list value SPLIT_TUNNEL1
webvpn
anyconnect modules value umbrella
tunnel-group MY_TUNNEL1 type remote-access
tunnel-group MY_TUNNEL1 general-attributes
address-pool VPN_POOL1
default-group-policy ANYCONNECT_GP1
tunnel-group MY_TUNNEL1 webvpn-attributes
group-alias SSL_TUNNEL1 enable
Passaggio 9.2. Avviare una connessione all'headend ASA dal client AnyConnect con versione 4.9.04053 sul computer Windows.
Passaggio 9.3. Quindi, i moduli AnyConnect Core e VPN e Umbrella Roaming Security vengono aggiornati alla versione 4.9.06037 con le funzionalità di blocco e di rimozione dall'elenco dei programmi abilitate.
Verifica
Confermare che la funzione Lockdown sia abilitata per i moduli AnyConnect installati
Passaggio 1. Aprire i servizi di Windows (services.msc) come indicato di seguito.
Passaggio 2. Quindi, rFare clic con il pulsante destro del mouse sui servizi CORE e VPN e Umbrella Roaming Security.
È possibile verificare che la funzione di blocco sia abilitata, in quanto non è possibile avviare, arrestare, sospendere, riprendere o riavviare i servizi di questi moduli AnyConnect.
Confermare Nascondi dall'elenco Installazione applicazioni è abilitata per i moduli AnyConnect installati
Passaggio 1. Aprire il client AnyConnect come segue.
Passaggio 2. Confermare la versione di AnyConnect installata.
A tale scopo, selezionare l'icona INFO sul client AnyConnect come segue:
Passaggio 2.1 Per AnyConnect versione 4.9.04053:
Passaggio 2.2 Per AnyConnect versione 4.9.06037:
Passaggio 3. Confermare che i moduli AnyConnect CORE e VPN e Umbrella Roaming Security siano nascosti nell'elenco di Installazione applicazioni di Windows.
A tale scopo, selezionare Pannello di controllo di Windows > Disinstalla un programma.
Risoluzione dei problemi
Non è disponibile la procedura di risoluzione dei problemi da seguire per questo documento.
Bug correlati
CSCvy38427 ASDM: Il nome del file di trasformazione deve iniziare con il carattere di sottolineatura "_" per rendere effettivi più moduli CA
Informazioni correlate
Documentazione e supporto tecnico – Cisco Systems
Guida dell'amministratore di Cisco AnyConnect Secure Mobility Client, versione 4.0
Feedback