Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Configurazione

Esempio di rete

Configurazione del blocco AnyConnect

Programmi di installazione MSI dal terminale del prompt dei comandi di Windows.

Opzione Lockdown dell'installazione guidata del pacchetto pre-distribuzione AnyConnect.

Configurare per nascondere AnyConnect dall'elenco di Installazione applicazioni

Programmi di installazione MSI dal terminale del prompt dei comandi di Windows.

Configurazione di AnyConnect Lockdown e della funzione Hide AnyConnect da Add/Remove Program List con ASDM

Verifica

Confermare che la funzione Lockdown sia abilitata per i moduli AnyConnect installati

Verificare che la funzionalità Nascondi dall'elenco dei programmi di aggiunta/rimozione sia abilitata per i moduli AnyConnect installati

Risoluzione dei problemi

Bug correlati

Informazioni correlate

Sommario

Introduzione

In questo documento viene descritto come abilitare i comandi AnyConnect Lockdown e Hide AnyConnect dall'elenco dei programmi di aggiunta/rimozione per i computer Windows.

Contributo di Christian G. Hernandez R, Cisco TAC Engineer.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Configurazione di Cisco Adaptive Security Appliance (ASA)

- Configurazione di Cisco AnyConnect

- Conoscenze base di Windows

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco ASA versione 9.14.2.13

- Cisco Adaptive Security Device Manager (ASDM) versione 7.14.1

- Cisco AnyConnect versioni 4.9.04053 e 4.9.06037

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

AnyConnect Lockdown per Windows: Cisco consiglia di concedere agli utenti finali diritti limitati sui Cisco AnyConnect Secure Mobility Client sul loro dispositivo. Se l'utente finale garantisce diritti aggiuntivi, i programmi di installazione possono fornire una funzionalità di blocco che impedisce agli utenti e agli amministratori locali di disattivare o interrompere i servizi AnyConnect.

Per abilitare la funzione AnyConnect Lockdown, sono disponibili tre opzioni:

1. I programmi di installazione MSI dal terminale del prompt dei comandi di Windows.

2. Opzione di blocco dalla procedura guidata di installazione del pacchetto pre-distribuzione di AnyConnect.

3. ASDM - Importare un esempio di blocco del programma di installazione per trasformare il file nell'appliance ASA.

Nascondere AnyConnect dall'elenco Installazione applicazioni di Windows: è possibile nascondere i moduli AnyConnect installati dall'elenco Installazione applicazioni nel Pannello di controllo di Windows. Disinstallare un programma.

Per abilitare la funzione Nascondi AnyConnect dall'elenco dei programmi da aggiungere o rimuovere, sono disponibili due opzioni:

1. I programmi di installazione MSI dal terminale del prompt dei comandi di Windows.

2. ASDM - Importare un esempio di file di trasformazioni hide-address del programma di installazione nell'appliance ASA.

Configurazione

Esempio di rete

Configurazione del blocco AnyConnect

Programmi di installazione MSI dal terminale del prompt dei comandi di Windows.

Procedura di configurazione

Passaggio 1. Scaricare il file del pacchetto pre-distribuzione di AnyConnect per Windows.

Passaggio 1.1. Accedere alla pagina di download del software Cisco e scaricare la versione di AnyConnect da installare sul computer Windows.

Per questo esempio, scaricare il pacchetto pre-distribuzione di Windows AnyConnect che include il singolo MSI file per la versione 4.9.04053 (anyconnect-win-4.9.04053-predeploy-k9.zip).

Passaggio 2. Scaricare il file di trasformazione del programma di installazione di AnyConnect per Windows.

2.1 Passare alla pagina di download del software Cisco e scaricare il file delle trasformazioni di AnyConnect Installer per Windows che corrisponde alla stessa versione di AnyConnect da installare sul computer Windows.

Per questo esempio, scaricare il file delle trasformazioni per AnyConnect versione 4.9.04053 (tools-anyconnect-win-4.9.04053-transforms.zip).

Passaggio 3. Decomprimere i file AnyConnect scaricati in cartelle diverse.

Passaggio 3.1 Il file anyconnect-win-4.9.04053-predeploy-k9.zip viene decompresso sul percorso della cartella successiva: C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.

Fase 3.2 The tools-anyconnect-win-4.9.04053-transforms.zipil file viene decompresso nel percorso successivo della cartella: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transforms.

Passaggio 4. Copiare e incollare il file di trasformazione dei blocchi di AnyConnect nella stessa cartella dei file del programma di installazione di AnyConnect MSI.

Passaggio 4.1 Dalla cartella tools-anyconnect-win-4.9.04053-transforms, copiare il file _anyconnect-win-lockdown.mst lockdown lo trasforma e lo incolla nella cartella anyconnect-win-4.9.04053-predeploy-k9, come segue.

Passaggio 5. Inserire il CD nel percorso della cartella contenente i file di installazione di MSI AnyConnect.

Passaggio 5.1 Aprire un terminale del prompt dei comandi di Windows e inserire il CD nel percorso della cartella in cui sono stati copiati/incollati i file di installazione di MSI AnyConnect e il file di trasformazione _anyconnect-win-lockdown.mst lockdown nel passaggio precedente.

Nell'esempio seguente, il cd viene inserito nel percorso della cartella C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.

Passaggio 6. Installare i moduli AnyConnect con il file di trasformazione dei blocchi.

Passaggio 6.1 I Installare tutti i moduli AnyConnect richiesti con il comando MSI installer successivo che punti al file del modulo .msi di AnyConnect e al file di trasformazione _anyconnect-win-lockdown.mst lockdown.

msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log

Nota:L'impostazione del valore LOCKDOWN su "1" abilita la funzione di blocco per il modulo AnyConnect.

Nota: Cisco consiglia di utilizzare il file di trasformazioni di esempio fornito per impostare questa proprietà, applicare la trasformazione a ciascun programma di installazione MSI per ciascun modulo che si desidera bloccare. Le trasformazioni di esempio possono essere scaricate dalla pagina di download del software Cisco AnyConnect Secure Mobility Client.

Nota:Se si distribuisce il client di base più uno o più moduli facoltativi, è necessario applicare la proprietà LOCKDOWN a ogni programma di installazione. L'operazione è unidirezionale e non può essere rimossa a meno che non si reinstalli il prodotto.

Passaggio 6.2 In questo esempio vengono installati il modulo CORE e VPN di AnyConnect e il file di trasformazione _anyconnect-win-lockdown.mst lockdown, entrambi corrispondenti ai file della versione 4.9.04053 di AnyConnect.

msiexec -i anyconnect-win-4.9.04053-core-vpn-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log

Passaggio 6.3 In questo esempio vengono installati il modulo AnyConnect Umbrella Roaming Security e il file di trasformazione _anyconnect-win-lockdown.mst lockdown, entrambi corrispondenti ai file della versione 4.9.04053 di AnyConnect.

msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log

Opzione di blocco da AnyConnect pacchetto pre-distribuzione installazione guidata.

Procedura di configurazione

Passaggio 1. Scaricare il file del pacchetto pre-distribuzione di Anyconnect per Windows.

Passaggio 1.1. Accedere alla pagina di download del software Cisco e scaricare la versione di AnyConnect da installare sul computer Windows.

Per questo esempio, scaricare il pacchetto pre-distribuzione di Windows AnyConnect che include i singoli file MSI della versione 4.9.04053 (anyconnect-win-4.9.04053-predeploy-k9.zip).

Passaggio 2. Aprire il file di installazione di AnyConnect.

2.1 Estrarre il file anyconnect-win-4.9.04053-pre-deploy-k9.zip scaricato e aprirlo.

2.2 Quindi, fare doppio clic sul file di installazione di AnyConnect.

Passaggio 3. Usare l'installazione guidata di AnyConnect.

Passaggio 3.1 Tra le opzioni visualizzate, selezionare i moduli AnyConnect da installare.

Per questo esempio, selezionare i moduli AnyConnect CORE e VPN e Umbrella Roaming Security.

Passaggio 4. Abilitare la funzione di blocco di AnyConnect.

Passaggio 4.1 Per abilitare la funzione di blocco per i moduli CORE e VPN e Umbrella Roaming Security, selezionare l'opzione Lock Down Component Services e procedere con l'installazione.

Passaggio 5. Confermare l'installazione dei moduli AnyConnect.

Passaggio 5.1 L'installazione dei moduli AnyConnect è completata al 100% quando viene visualizzato il messaggio successivo.

Configurare per nascondere AnyConnect dall'elenco di Installazione applicazioni

Programmi di installazione MSI dal terminale del prompt dei comandi di Windows.

Procedura di configurazione

Passaggio 1. Scaricare il file del pacchetto pre-distribuzione di AnyConnect per Windows.

Passaggio 1.1. Accedere alla pagina di download del software Cisco e scaricare la versione di AnyConnect da installare sul computer Windows.

Per questo esempio, scaricare il pacchetto pre-distribuzione di Windows AnyConnect che include il singolo MSI file per la versione 4.9.04053 (anyconnect-win-4.9.04053-predeploy-k9.zip).

Passaggio 2. Scaricare il file di trasformazione del programma di installazione di AnyConnect per Windows.

2.1 Passare alla pagina di download del software Cisco e scaricare il file delle trasformazioni di AnyConnect Installer per Windows che corrisponde alla stessa versione di AnyConnect da installare sul computer Windows.

Per questo esempio, scaricare il file delle trasformazioni per AnyConnect versione 4.9.04053 (tools-anyconnect-win-4.9.04053-transforms.zip).

Passaggio 3. Decomprimere i file AnyConnect scaricati in cartelle diverse.

Passaggio 3.1 Il file anyconnect-win-4.9.04053-predeploy-k9.zip viene decompresso sul percorso della cartella successiva: C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.

Fase 3.2 The tools-anyconnect-win-4.9.04053-transforms.zipil file viene decompresso nel percorso successivo della cartella: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transforms.

Passaggio 4. Copiare e incollare il file di trasformazione degli indirizzi nascosti di AnyConnect nella stessa cartella dei file del programma di installazione di AnyConnect MSI.

Passaggio 4.1 Dalla cartella tools-anyconnect-win-4.9.04053-transforms, copiare il file _anyconnect-win-hide-addremove-display.mst e incollarlo nella cartella anyconnect-win-4.9.04053-predeploy-k9, come segue.

Passaggio 5. Inserire il CD nel percorso della cartella contenente i file di installazione di MSI AnyConnect.

Passaggio 5.1 Aprire un terminale del prompt dei comandi di Windows e il cd nel percorso della cartella in cui sono stati copiati/incollati i file di installazione MSI AnyConnect e _anyconnect-win-hide-addremove-display.mst nel passaggio precedente.

Nell'esempio seguente, il cd viene inserito nel percorso della cartella C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.

Passaggio 6. Installare i moduli AnyConnect con il file di trasformazione hide-addremove.

Passaggio 6.1 I Installare tutti i moduli AnyConnect richiesti con il comando MSI installer successivo che punta al file del modulo .msi di AnyConnect e al file di trasformazione _anyconnect-win-hide-addremove-display.mst.

msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log

Nota: il valore "1" impostato per ARPSYSTEMCOMPONENT consente di nascondere AnyConnect dalla funzionalità Add/Remove Program List per il modulo AnyConnect da installare.

Nota: Cisco consiglia di utilizzare il file di trasformazioni di esempio fornito per impostare questa proprietà, applicare la trasformazione a ciascun programma di installazione MSI per ciascun modulo che si desidera nascondere. Le trasformazioni di esempio possono essere scaricate dalla pagina di download del software Cisco AnyConnect Secure Mobility Client.

Nota: Se si distribuisce il client di base più uno o più moduli facoltativi, è necessario applicare la proprietà HIDE-AnyConnect a ogni programma di installazione. L'operazione è unidirezionale e non può essere rimossa a meno che non si reinstalli il prodotto.

Passaggio 6.2 In questo esempio vengono installati il modulo AnyConnect CORE e VPN e il file AnyConnect-win-hide-addremove-display.mst. I due file corrispondono a quelli della versione 4.9.04053 di AnyConnect.

Passaggio 6.3 In questo esempio vengono installati il modulo AnyConnect Umbrella Roaming Security e il file _anyconnect-win-hide-addremove-display.mst. I due file corrispondono a quelli della versione 4.9.04053 di AnyConnect.

msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log

Configurazione di AnyConnect Lockdown e della funzione Hide AnyConnect da Add/Remove Program List con ASDM

Questa procedura è valida solo per gli aggiornamenti della distribuzione Web di AnyConnect. Nell'esempio viene preso in considerazione un aggiornamento della distribuzione Web di AnyConnect dalla versione 4.9.04053 alla versione 4.9.0.6037.

Procedura di configurazione

Passaggio 1. Confermare la versione di AnyConnect in esecuzione sul computer Windows.

Passaggio 1.1 Sul computer Windows in questo esempio, è già installata la versione 4.9.04053 di AnyConnect per i moduli Core e VPN e Umbrella Roaming Security.

Passaggio 2. Scaricare il file del pacchetto di distribuzione dell'headend AnyConnect per Windows.

Passaggio 2.1 Passare alla pagina di download del software Cisco e scaricare la versione del file del pacchetto di distribuzione dell'headend AnyConnect da installare sul computer Windows per l'aggiornamento della distribuzione Web.

Per questo esempio, scaricare il pacchetto di distribuzione dell'headend Windows AnyConnect versione 4.9.06037 (anyconnect-win-4.9.06037-webdeploy-k9.pkg).

Passaggio 3. Scaricare il file di trasformazione del programma di installazione di AnyConnect per Windows.

3.1 Accedere alla pagina di download del software Cisco e scaricare il file di trasformazione AnyConnect Installer per Windows che corrisponde alla stessa versione di AnyConnect da installare sul computer Windows.

Per questo esempio, scaricare il file delle trasformazioni per AnyConnect versione 4.9.06037 (tools-anyconnect-win-4.9.06037-transforms.zip).

Passaggio 4. Decomprimere il file delle trasformazioni AnyConnect scaricato.

Passaggio 4.1 T the tools-anyconnect-win-4.9.06037-transforms.zipil file viene decompresso nel percorso successivo della cartella: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms.

Passaggio 5. Aprire ASDM e connettersi all'appliance ASA con le credenziali dell'utente.

Passaggio 6. Trasferire il pacchetto di implementazione dell'headend AnyConnect dal PC alla memoria flash ASA.

6.1 Passare a Strumenti > Gestione file > Trasferimento file > Tra PC locale e flash e trasferire il pacchetto di implementazione headend AnyConnect versione 4.9.06037 (anyconnect-win-4.9.06037-webdeploy-k9.pkg) alla memoria flash ASA.

Passaggio 7. Configurare la versione trasferita del pacchetto di distribuzione dell'headend AnyConnect per l'aggiornamento della distribuzione Web.

7.1 Passare a Configurazione ASDM > VPN ad accesso remoto > Software client Anyconnect e selezionare il pacchetto di distribuzione dell'headend AnyConnect versione 4.9.04053 installato.

7.2. Quindi, selezionare Replace and Browse Flash per sostituire il vecchio pacchetto di implementazione dell'headend AnyConnect versione 4.9.04053 con la versione 4.9.06037 precedentemente trasferita alla memoria flash.

Passaggio 7.3 Applicare le modifiche alla configurazione e inviarle all'appliance ASA.

Passaggio 8. Importare i file di trasformazione di esempio di AnyConnect.

Passare alla fase 8.1 Configurazione ASDM > VPN ad accesso remoto > Trasformazioni installatore personalizzate > Importa e importa i file di trasformazione di esempio richiesti.

Passaggio 8.2. Importare il file AnyConnect versione 4.9.06037 _anyconnect-win-lockdown.mst.sample per trasformare il file e abilitare il blocco per entrambi i moduli CORE e VPN e Umbrella Roaming Security.

Immettere i valori nel modo seguente:

Nome: _anyconnect-lockdown

Piattaforma: vincere

Selezionare un file - Computer locale: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms\_anyconnect-win-lockdown.mst

Nota: l'esempio di AnyConnect _anyconnect-win-lockdown.mst trasforma il file in modo che funzioni sul modulo AnyConnect richiesto.

Passaggio 8.3. Importare il file AnyConnect versione 4.9.06037 _anyconnect-win-hide-addremove-display.mst.sample per trasformare il file in modo da abilitare la funzione di rimozione/aggiunta dei programmi per i moduli CORE e VPN e Umbrella Roaming Security.

Immettere i valori nel modo seguente:

Nome: _anyconnect-hideaddremove

Piattaforma: vincere

Selezionare un indirizzo file: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms\_anyconnect-win-hide-addremove-display.mst

Nota: il file _anyconnect-win-hide-addremove-display.mstsample trasforma il file in base alle esigenze del modulo AnyConnect.

Passaggio 8.4 Salvare le modifiche alla configurazione e inviarle all'appliance ASA.

Nota: Quando questo articolo è stato scritto, il nome usato per importare i file delle trasformazioni di esempio deve avere un carattere di sottolineatura "_" all'inizio del nome. In questo modo, le trasformazioni di esempio importate funzionano per qualsiasi modulo AnyConnect. Se si utilizza un nome diverso senza un carattere di sottolineatura all'inizio del nome, l'esempio delle trasformazioni importate funziona solo per il modulo CORE e VPN Anyconnect (CSCvy38427).

Passaggio 9. Aggiornamento automatico della distribuzione Web di AnyConnect.

Passaggio 9.1 Forza l'aggiornamento automatico dell'implementazione Web di AnyConnect per i moduli CORE e VPN e Umbrella Roaming Security.

Di seguito viene riportata la configurazione ASA AnyConnect in uso per consentire l'aggiornamento automatico dei moduli CORE e VPN e Umbrella Roaming Security:

webvpn

enable outside

anyconnect image disk0:/anyconnect-win-4.9.06037-webdeploy-k9.pkg 1

anyconnect enable

tunnel-group-list enable

group-policy ANYCONNECT_GP1 internal

group-policy ANYCONNECT_GP1 attributes

vpn-tunnel-protocol ssl-client ssl-clientless

split-tunnel-policy tunnelspecified

split-tunnel-network-list value SPLIT_TUNNEL1

webvpn

anyconnect modules value umbrella

tunnel-group MY_TUNNEL1 type remote-access

tunnel-group MY_TUNNEL1 general-attributes

address-pool VPN_POOL1

default-group-policy ANYCONNECT_GP1

tunnel-group MY_TUNNEL1 webvpn-attributes

group-alias SSL_TUNNEL1 enable

Passaggio 9.2. Avviare una connessione all'headend ASA dal client AnyConnect con versione 4.9.04053 sul computer Windows.

Passaggio 9.3. Quindi, i moduli AnyConnect Core e VPN e Umbrella Roaming Security vengono aggiornati alla versione 4.9.06037 con le funzionalità di blocco e di rimozione dall'elenco dei programmi abilitate.

Verifica

Confermare che la funzione Lockdown sia abilitata per i moduli AnyConnect installati

Passaggio 1. Aprire i servizi di Windows (services.msc) come indicato di seguito.

Passaggio 2. Quindi, rFare clic con il pulsante destro del mouse sui servizi CORE e VPN e Umbrella Roaming Security.

È possibile verificare che la funzione di blocco sia abilitata, in quanto non è possibile avviare, arrestare, sospendere, riprendere o riavviare i servizi di questi moduli AnyConnect.

Confermare Nascondi dall'elenco Installazione applicazioni è abilitata per i moduli AnyConnect installati

Passaggio 1. Aprire il client AnyConnect come segue.

Passaggio 2. Confermare la versione di AnyConnect installata.

A tale scopo, selezionare l'icona INFO sul client AnyConnect come segue:

Passaggio 2.1 Per AnyConnect versione 4.9.04053:

Passaggio 2.2 Per AnyConnect versione 4.9.06037:

Passaggio 3. Confermare che i moduli AnyConnect CORE e VPN e Umbrella Roaming Security siano nascosti nell'elenco di Installazione applicazioni di Windows.

A tale scopo, selezionare Pannello di controllo di Windows > Disinstalla un programma.

Risoluzione dei problemi

Non è disponibile la procedura di risoluzione dei problemi da seguire per questo documento.

Bug correlati

CSCvy38427     ASDM: Il nome del file di trasformazione deve iniziare con il carattere di sottolineatura "_" per rendere effettivi più moduli CA

Informazioni correlate

Documentazione e supporto tecnico – Cisco Systems

Guida dell'amministratore di Cisco AnyConnect Secure Mobility Client, versione 4.0