ASA 8.X: AnyConnect 로그온 전 시작 기능 컨피그레이션

소개

SBL(Start Before Logon)을 활성화하면 Windows^® 로그온 대화 상자가 나타나기 전에 AnyConnect GUI 로그온 대화 상자가 표시됩니다. 이렇게 하면 먼저 VPN 연결이 설정됩니다. Windows 플랫폼에서만 사용할 수 있는 [로그온 전 시작]을 사용하면 관리자가 로그인 스크립트 사용, 암호 캐싱, 네트워크 드라이브를 로컬 드라이브에 매핑하는 등의 작업을 제어할 수 있습니다. SBL 기능을 사용하여 로그온 시퀀스의 일부로 VPN을 활성화할 수 있습니다. SBL은 기본적으로 비활성화되어 있습니다.

AnyConnect VPN 클라이언트 기능 구성에 대한 자세한 내용은 Cisco AnyConnect Secure Mobility Client 관리자 설명서의 AnyConnect VPN 구성 장을 참조하십시오.

참고: AnyConnect 클라이언트 내에서 SBL에 대해 수행하는 유일한 컨피그레이션은 기능을 활성화하는 것입니다. 네트워크 관리자는 상황의 요구 사항에 따라 로그온 전에 진행되는 처리를 처리합니다. 로그온 스크립트는 도메인 또는 개별 사용자에게 할당할 수 있습니다. 일반적으로 도메인의 관리자는 Active Directory의 사용자 또는 그룹으로 정의된 배치 파일 등을 갖습니다. 사용자가 로그온하는 즉시 로그인 스크립트가 실행됩니다.

사전 요구 사항

요구 사항

이 문서에 대한 특정 요건이 없습니다.

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

• 소프트웨어 버전 8.x를 실행하는 Cisco ASA 5500 Series Adaptive Security Appliance

• Cisco AnyConnect VPN 버전 2.0

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

표기 규칙

문서 규칙에 대한 자세한 내용은 Cisco 기술 팁 표기 규칙을 참조하십시오.

배경 정보

SBL의 핵심은 PC에 로그온하기 전에 원격 컴퓨터를 회사 인프라에 연결하는 것입니다. 예를 들어, 사용자는 물리적 기업 네트워크 외부에 있을 수 있으며, 자신의 PC가 기업 네트워크에 연결될 때까지 기업 리소스에 액세스할 수 없습니다. SBL이 활성화되면 AnyConnect 클라이언트는 사용자가 Microsoft 로그인 창을 보기 전에 연결됩니다. Microsoft 로그인 창이 나타나면 사용자는 평소와 같이 Windows에 로그인해야 합니다.

다음은 SBL을 사용하는 몇 가지 이유입니다.

• 사용자의 PC가 Active Directory 인프라에 조인됩니다.

• 사용자는 PC에서 캐시된 자격 증명을 가질 수 없습니다. 즉, 그룹 정책에서 캐시된 자격 증명을 허용하지 않는 경우.

• 사용자는 네트워크 리소스에서 실행되거나 네트워크 리소스에 액세스해야 하는 로그인 스크립트를 실행해야 합니다.

• 사용자에게 Active Directory 인프라와의 인증이 필요한 네트워크 매핑 드라이브가 있습니다.

• MS NAP/CS NAC와 같은 네트워킹 구성 요소는 인프라에 연결해야 할 수 있습니다.

SBL은 로컬 기업 LAN에 포함되는 것과 동등한 네트워크를 생성합니다. SBL을 활성화하면 사용자가 로컬 인프라에 액세스할 수 있으므로 원격 사용자도 사무실에서 사용자에 대해 일반적으로 실행되는 로그온 스크립트를 사용할 수 있습니다.

로그온 스크립트를 만드는 방법에 대한 자세한 내용은 이 Microsoft TechNet 문서를 참조하십시오.

Windows XP에서 로컬 로그온 스크립트를 사용하는 방법에 대한 자세한 내용은 이 Microsoft 문서를 참조하십시오.

다른 예에서, 시스템은 PC에 로그온하기 위해 캐시된 자격 증명을 허용하지 않도록 구성될 수 있다. 이 시나리오에서 사용자는 PC에 액세스하기 전에 자격 증명을 검증받기 위해 기업 네트워크의 도메인 컨트롤러와 통신할 수 있어야 합니다. SBL은 호출될 때 네트워크 연결이 있어야 합니다. 무선 연결이 사용자 자격 증명에 따라 무선 인프라에 연결할 수 있기 때문에 이 방법이 불가능한 경우도 있습니다. SBL 모드가 로그인의 자격 증명 단계 앞에 있기 때문에 이 시나리오에서는 연결을 사용할 수 없습니다. 이 경우 로그인 시 자격 증명을 캐시하도록 무선 연결을 구성해야 합니다. 또는 SBL이 작동하도록 다른 무선 인증을 구성해야 합니다.

로그온 전 시작 구성 요소 설치(Windows에만 해당)

Start Before Logon 구성 요소는 코어 클라이언트가 설치된 후에 설치해야 합니다. 또한 AnyConnect 2.2 로그온 전 시작 구성 요소에는 코어 AnyConnect 클라이언트 소프트웨어의 버전 2.2 이상이 설치되어 있어야 합니다. AnyConnect 클라이언트 및 로그온 전 시작 구성 요소를 MSI 파일과 함께 사전 배포하는 경우(예: 자체 소프트웨어 배포(Altiris, Active Directory 또는 SMS)가 있는 대기업에 있는 경우), 주문을 올바르게 받아야 합니다. AnyConnect가 웹 배포 및/또는 웹 업데이트된 경우 관리자가 AnyConnect를 로드하면 설치 순서가 자동으로 처리됩니다. 전체 설치 정보는 Cisco AnyConnect VPN Client, 릴리스 2.2의 릴리스 정보를 참조하십시오.

Windows-Vista\Windows 7과 Pre-Vista Start Before Logon의 차이점

SBL을 활성화하는 절차는 Windows Vista 및 Windows 7 시스템에서 약간 다릅니다. Pre-Vista 시스템은 SBL을 구현하기 위해 VPNGINA(Virtual Private Network Graphical Identification and Authentication)라는 구성 요소를 사용합니다. Vista 및 Windows 7 시스템은 PLAP라는 구성 요소를 사용하여 SBL을 구현합니다.

AnyConnect 클라이언트에서 Windows Vista 로그온 전 시작 기능은 연결 가능한 자격 증명 공급자인 PLAP(Pre-Login Access Provider)라고 합니다. 이 기능을 사용하면 네트워크 관리자가 로그인 전에 자격 증명 수집이나 네트워크 리소스에 대한 연결과 같은 특정 작업을 수행할 수 있습니다. PLAP는 Windows Vista, Windows 7 및 Windows 2008 서버에서 로그온 전 시작 기능을 제공합니다. PLAP는 vpnplap.dll 및 vpnplap64.dll을 사용하여 각각 운영 체제의 32비트 및 64비트 버전을 지원합니다. PLAP 기능은 Windows Vista x86 및 x64 버전을 지원합니다.

참고: 이 섹션에서 VPNGINA는 Vista 이전 버전 플랫폼의 로그온 전 시작 기능을 참조하고, PLAP는 Windows Vista 및 Windows 7 시스템의 로그온 전 시작 기능을 참조합니다.

Vista 이전 시스템에서 로그온 전 시작은 VPN 그래픽 식별 및 인증 동적 연결 라이브러리(vpngina.dll)라는 구성 요소를 사용하여 로그온 전 시작 기능을 제공합니다. Windows Vista의 일부인 Windows PLAP 구성 요소가 Windows GINA 구성 요소를 대체합니다.

사용자가 Ctrl+Alt+Del 키 조합을 누르면 GINA가 활성화됩니다. PLAP를 사용하면 Ctrl+Alt+Del 키 조합을 통해 사용자가 시스템에 로그인하거나 창 오른쪽 아래 모서리에 있는 네트워크 연결 버튼을 사용하여 네트워크 연결(PLAP 구성 요소)을 활성화할 수 있는 창이 열립니다.

바로 뒤에 나오는 섹션에서는 VPNGINA 및 PLAP SBL 모두에 대한 설정 및 절차에 대해 설명합니다. Windows Vista 플랫폼에서 PLAP(SBL 기능) 활성화 및 사용에 대한 자세한 내용은 Windows Vista 시스템에서 PLAP(Start Before Logon) 구성을 참조하십시오.

SBL을 활성화하는 XML 설정

UseStartBeforeLogon의 요소 값을 사용하면 이 기능을 켜거나(true) 끌 수 있습니다(false). 프로파일에서 이 값을 true로 설정하면 로그온 시퀀스의 일부로 추가 처리가 수행됩니다. 자세한 내용은 로그온 전 시작 설명을 참조하십시오. SBL을 활성화하려면 CiscoAnyConnect.xml 파일의 <UseStartBefore Logon> 값을 true로 설정합니다.

<?xml version="1.0" encoding="UTF-8" ?> 
<Configuration> 
<ClientInitialization> 
<UseStartBeforeLogon>true</UseStartBeforeLogon> 
</ClientInitialization>

SBL을 비활성화하려면 동일한 값을 false로 설정합니다.

UserControllable 기능을 활성화하려면 SBL을 활성화할 때 다음 명령문을 사용합니다.

<UseStartBeforeLogon userControllable="false">true</UseStartBeforeLogon>

이 특성과 연결된 사용자 설정은 다른 곳에 저장됩니다.

SBL 활성화

다운로드 시간을 최소화하기 위해 AnyConnect 클라이언트는 지원하는 각 기능에 필요한 핵심 모듈만 (보안 어플라이언스에서) 다운로드하도록 요청합니다. SBL과 같은 새 기능을 활성화하려면 그룹 정책 WebVPN 또는 사용자 이름 WebVPN 컨피그레이션 모드에서 svc modules 명령을 사용하여 모듈 이름을 지정해야 합니다.

[no] svc modules {none | value string}

SBL의 문자열 값은 vpngina입니다.

이 예에서 네트워크 관리자는 그룹 정책 재택 근무자에 대해 그룹 정책 특성 모드를 시작합니다. 그룹 정책에 대한 WebVPN 컨피그레이션 모드를 시작합니다. SBL을 활성화할 문자열 VPNGINA를 지정합니다.

hostname(config)# group-policy telecommuters attributes
hostname(config-group-policy)# webvpn
hostame(config-group-webvpn)# svc modules value vpngina

또한 관리자는 네트워크 관리자가 XML 파일에 할당한 이름인 AnyConnect <profile.xml> 파일의 <UseStartBeforeLogon> 문이 true로 설정되어 있는지 확인해야 합니다. 예를 들면 다음과 같습니다.

UseStartBeforeLogon UserControllable="false">true

Start Before Logon(로그온 전 시작)을 적용하려면 시스템을 재부팅해야 합니다. 또한 SBL을 허용할 보안 어플라이언스 또는 추가 기능을 위한 기타 모듈에서도 지정해야 합니다. 자세한 내용은 Cisco AnyConnect Secure Mobility Client Administrator Guide의 Enable Additional AnyConnect Modules 섹션에 있는 설명을 참조하십시오.

CLI를 사용하여 로그온 전 컨피그레이션 시작

이 시나리오에서는 CLI를 사용하여 XML 파일을 설정하는 방법을 보여 줍니다.

1. 다음과 유사한 클라이언트 PC로 푸시할 프로파일을 생성합니다.

   <?xml version="1.0" encoding="UTF-8" ?> 
   <AnyConnectProfile xmlns="http://schemas.xmlsoap.org/encoding/" 
   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  
   xsi :schemaLocation=
      "http://schemas.xmlsoap.org/encoding/ AnyConnectProfile.xsd">
   <ClientInitialization> 
   <UseStartBeforeLogon>true</UseStartBeforeLogon> 
   </ClientInitialization> 
   <ServerList>
   <HostEntry>
   <HostName>text.cisco.com</HostName>
   </HostEntry>
   <HostEntry>
   <HostName>test1.cisco.com</HostName>
   <HostAddress>1.1.1.1</HostAddress>
   </HostEntry>
   .
   .
   .
   <HostEntry>
   <HostName>test2.cisco.com</HostName>
   <HostAddress>1.1.1.2</HostAddress>
   </HostEntry>
   </ServerList>
   </AnyConnectProfile>

2. 파일을 보안 어플라이언스의 플래시에 복사합니다.

   Copy tftp://x.x.x.x/AnyConnectProfile.xml AnyConnectProfile.xml
   

3. 다른 모든 항목이 AnyConnect 연결에 대해 올바르게 설정되어 있는 경우 보안 어플라이언스에서 WebVPN 전역 섹션에 사용 가능한 프로필로 프로필을 추가합니다.

   hostname(config-group-policy)# webvpn
   hostame(config-group-webvpn)#  
      svc profiles ReallyNewProfile disk0:/AnyConnectProfile.xml
   

4. 사용하는 그룹 정책을 수정하고 svc 모듈 및 svc profile 명령을 추가합니다.

   hostname(config)# group-policy GroupPolicy internal
   hostname(config)# group-policy GroupPolicy attributes
   hostname(config-group-policy)# webvpn
   hostame(config-group-webvpn)# svc modules value vpngina
   hostame(config-group-webvpn)# svc profiles value ReallyNewProfile
   

ASDM을 사용하여 로그온 전 컨피그레이션 시작

ASDM을 사용하여 SBL을 구성하려면 다음 단계를 완료합니다.

1. 다음과 유사한 클라이언트 PC로 푸시할 프로파일을 생성합니다.

   <?xml version="1.0" encoding="UTF-8" ?> 
   <AnyConnectProfile xmlns="http://schemas.xmlsoap.org/encoding/" 
   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  
   xsi :schemaLocation=
      "http://schemas.xmlsoap.org/encoding/ AnyConnectProfile.xsd">
   <ClientInitialization> 
   <UseStartBeforeLogon>true</UseStartBeforeLogon> 
   </ClientInitialization> 
   <ServerList>
   <HostEntry>
   <HostName>text.cisco.com</HostName>
   </HostEntry>
   <HostEntry>
   <HostName>test1.cisco.com</HostName>
   <HostAddress>1.1.1.1</HostAddress>
   </HostEntry>
   .
   .
   .
   <HostEntry>
   <HostName>test2.cisco.com</HostName>
   <HostAddress>1.1.1.2</HostAddress>
   </HostEntry>
   </ServerList>
   </AnyConnectProfile>

2. 프로파일을 로컬 컴퓨터에 AnyConnectProfile.xml로 저장합니다.

3. ASDM을 시작하고 홈 페이지로 이동합니다.

4. Configuration(컨피그레이션) > Remote Access VPN(원격 액세스 VPN) > Network (Client) Access(네트워크(클라이언트) 액세스) > Group Policies(그룹 정책) > Add(추가)로 이동하고 Internal Group Policy(내부 그룹 정책)를 클릭합니다.

   

5. 그룹 정책의 이름(예: SBL)을 입력합니다.

   

6. Advanced(고급) > SSL VPN Client(SSL VPN 클라이언트)로 이동합니다. 다운로드할 선택적 클라이언트 모듈에서 Inherit(상속) 확인 표시를 제거하고 드롭다운 상자에서 vpngina를 선택합니다.

   

7. 로컬 컴퓨터에서 AnyConnectProfile.xml 프로파일을 Flash로 전송하려면 도구로 이동하여 파일 관리를 클릭합니다.

   

8. File Transfer(파일 전송) 버튼을 클릭합니다.

   

9. 로컬 컴퓨터에서 ASA 플래시 메모리로 프로파일을 전송하려면 요구 사항에 따라 소스 파일, XML 파일의 경로(로컬 컴퓨터) 및 대상 파일 경로를 선택합니다.

   

10. 전송 후 Refresh(새로 고침) 버튼을 클릭하여 프로파일 파일이 플래시 메모리에 있는지 확인합니다.

    

11. 프로파일을 내부 그룹 정책(SBL)에 할당합니다.

    이 경로를 따라 Configuration(구성) > Remote Access VPN(원격 액세스 VPN) > Network (Client) Access(네트워크(클라이언트) 액세스) > Group Policies(그룹 정책) > Edit SBL (Internal Group Policy)(SBL(내부 그룹 정책) 편집) > Advanced(고급) > SSL VPN Client(SSL VPN 클라이언트) > Client Profile to Download(다운로드할 클라이언트 프로파일)를 선택하고 New(새로 만들기) 버튼을 클릭합니다.

    Add SSL VPN Client Profiles(SSL VPN 클라이언트 프로파일 추가)에서 Browse(찾아보기) 버튼을 클릭하여 ASA 플래시 메모리에 저장된 프로파일(AnyConnectProfile.xml)의 위치를 선택합니다. 프로파일의 이름(예: SBL)을 할당합니다. OK(확인)를 클릭하여 완료합니다.

    

12. Inherit(상속) 확인란을 제거하고 Client Profile to Download(다운로드할 클라이언트 프로파일) 필드에서 SBL을 선택합니다. OK(확인)를 클릭합니다.

    

13. Apply(적용)를 클릭하여 완료합니다.

    

매니페스트 파일 사용

보안 어플라이언스에 업로드되는 AnyConnect 패키지에는 VPNManifest.xml이라는 파일이 포함되어 있습니다. 다음 예에서는 이 파일의 샘플 내용을 보여 줍니다.

<?xml version="1.0" encoding="UTF-7"?> <vpn rev="1.0"> 
<file version="2.1.0150" id="VPNCore" 
   is_core="yes" type="exe" action="install">
   <uri>binaries/anyconnect-win-2.1.0150-web-deploy-k9.exe</uri>
 </file>
 <file version="2.1.0150" id="gina" 
   is_core="yes" type="exe" action="install" module="vpngina">
   <uri>binaries/anyconnect-gina-win-2.1.0150-web-deploy-k9.exe</uri>
 </file>
</vpn>

보안 어플라이언스는 1단계에서 설명한 대로 구성된 프로파일에 저장되었으며, AnyConnect 클라이언트 자체, 다운로더 유틸리티, 매니페스트 파일 및 기타 선택적 모듈이나 지원 파일을 포함하는 하나 이상의 AnyConnect 패키지도 저장합니다.

원격 사용자가 WebLaunch 또는 현재 독립형 클라이언트를 사용하여 보안 어플라이언스에 연결할 경우, 다운로더가 먼저 다운로드되고 실행됩니다. 매니페스트 파일을 사용하여 원격 사용자 PC에 업그레이드해야 하는 현재 클라이언트가 있는지 또는 새로 설치해야 하는지 확인합니다. 매니페스트 파일에는 다운로드하고 설치해야 하는 선택적 모듈이 있는지 여부에 대한 정보도 포함됩니다(이 경우 VPNGINA). 클라이언트 프로파일도 보안 어플라이언스에서 푸시다운됩니다. VPNGINA 설치는 4단계에 설명된 대로 group-policy(webvpn) 명령 모드에 구성된 명령 svc 모듈 값 vpngina에 의해 활성화됩니다. AnyConnect 클라이언트와 VPNGINA가 설치되며 Windows 도메인에 로그온하기 전에 다음에 재부팅할 때 AnyConnect 클라이언트가 사용자에게 표시됩니다.

사용자가 연결하면 클라이언트와 프로필이 사용자 PC에 전달됩니다. 클라이언트와 VPNGINA가 설치되어 있습니다. 다음 재부팅 시 사용자가 로그온 전에 AnyConnect 클라이언트를 볼 수 있습니다.

샘플 프로필은 AnyConnect를 설치할 때 클라이언트 PC에 제공됩니다. C:\Documents and Settings\All Users\Application Data\Cisco\Cisco\AnyConnect VPN Client\Profile\AnyConnectProfile.

SBL 문제 해결

SBL에 문제가 발생하는 경우 다음 절차를 사용하십시오.

1. 프로파일이 푸시되었는지 확인합니다.

2. 이전 프로파일 삭제; 하드 드라이브에서 해당 위치를 검색합니다. *.xml.

3. Add/Remove programs(프로그램 추가/제거)로 이동할 때 AnyConnect 설치와 AnyConnect VPNGINA 설치가 모두 완료되었습니까?

4. AnyConnect 클라이언트를 제거합니다.

5. 이벤트 뷰어에서 사용자의 AnyConnect 로그를 지우고 다시 테스트합니다.

6. 웹 브라우저에서 보안 어플라이언스로 돌아가서 클라이언트를 다시 설치합니다.

7. 프로필도 나타나는지 확인합니다.

8. 한 번 재부팅합니다. 다음 재부팅 시 Start Before Logon 프롬프트가 표시됩니다.

9. AnyConnect 이벤트 로그를 .evt 형식으로 Cisco에 전송합니다.

10. 이 오류가 표시되면 사용자 프로필을 삭제하고 기본 프로필을 사용합니다.

    Description: Unable to parse the profile 
    C:\Documents and Settings\All Users\Application Data\Cisco
    \Cisco AnyConnect VPN Client\Profile\VABaseProfile.xml. 
    Host data not available.
    		

문제 1

이 오류 메시지는 AnyConnect 프로파일을 업로드하는 동안 나타납니다. 최신 스키마를 기준으로 XML 파일의 유효성을 검사하는 동안 오류가 발생했습니다. 이 오류는 어떻게 해결됩니까?

해결 방법 1

이 오류 메시지는 대부분 AnyConnect 프로파일의 구문 또는 컨피그레이션 문제로 인해 발생합니다. 이 문제를 해결하려면 Cisco AnyConnect Secure Mobility Client 관리자 설명서의 AnyConnect 프로파일 편집기 장을 참조하십시오.

관련 정보

• Cisco AnyConnect VPN 클라이언트 관리자 설명서, 버전 2.0
• 로그온 스크립트 만들기 - Windows TechNet
• Windows Vista 시스템에서 PLAP(Start Before Logon) 구성
• AnyConnect SSL VPN 클라이언트 컨피그레이션을 사용한 ASA 8.x VPN 액세스 예
• Cisco AnyConnect VPN 클라이언트
• Cisco ASA 5500 Series Adaptive Security Appliance
• 기술 지원 및 문서 − Cisco Systems