Beveiligde VPN-beheertunnel voor clients configureren in een beveiligde firewall

Downloadopties

  • PDF     (2.3 MB)
    Met Adobe Reader op diverse apparaten bekijken
  • ePub     (2.2 MB)
    Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
  • Mobi (Kindle)     (1.7 MB)
    Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken
Bijgewerkt:14 juli 2026
Document-id:217040

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inleiding

In dit document wordt beschreven hoe u een VPN-beheertunnel voor een beveiligde client configureert op een beveiligde firewallbeveiliging die wordt beheerd door de Cisco FMC.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

  • Verificatie clientcertificaat
  • Cisco AnyConnect-profieleditor
  • SSL AnyConnect-configuratie via Firewall Management Center (FMC)

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

  • Cisco FMC versie 6.7.0 (build 65)
  • Cisco Firewall Threat Defense (FTD) versie 6.7.0 (Build 65)
  • Cisco AnyConnect 4.9.01095 geïnstalleerd op Windows 10-systeem

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

In dit voorbeeld wordt Secure Sockets Layer (SSL) gebruikt om een Virtual Private Network (VPN) te maken tussen FTD en een Windows 10-client.

Vanaf versie 6.7 ondersteunt Cisco FTD de configuratie van AnyConnect-beheertunnels. Hiermee wordt een eerder geopend uitbreidingsverzoek opgelost Cisco bug ID CSCvs78215.

Met de AnyConnect-beheerfunctie kunt u een VPN-tunnel maken onmiddellijk nadat het eindpunt is opgestart. Gebruikers hoeven de AnyConnect-app niet handmatig te starten. Zodra het systeem is ingeschakeld, detecteert de AnyConnect VPN-agentservice de VPN-beheerfunctie en start een AnyConnect-sessie met behulp van de hostvermelding (gedefinieerd in de serverlijst van het AnyConnect VPN-beheerprofiel).

Beperkingen

  • Alleen verificatie van clientcertificaten wordt ondersteund.
  • Alleen de systeemcertificaatopslag wordt ondersteund voor Windows-clients.
  • Niet ondersteund op Cisco Firepower Device Manager (FDM) Cisco bug ID CSCvx90058.
  • Niet ondersteund voor Linux-clients.

Volledige beperkingen die worden beschreven in de Beheerdershandleiding voor Cisco Secure Client, versie 5.

Configureren

Configuraties

Stap 1. AnyConnect Management VPN-profiel maken

Open de AnyConnect-profieleditor om een AnyConnect VPN-beheerprofiel te maken. Het beheerprofiel bevat alle instellingen die worden gebruikt om de VPN-tunnel tot stand te brengen nadat het eindpunt is opgestart.

1. In dit voorbeeld wordt een serverlijstvermelding gedefinieerd voor Fully Qualified Domain Name (FQDN) dperezve.jyoungta-labdomain.cisco.com en wordt SSL geselecteerd als het primaire protocol. Als u een serverlijst wilt toevoegen, gaat u naar Serverlijst en selecteert u de knop Toevoegen. Vul de vereiste velden in en sla de wijzigingen op.

AnyConnect Management Profile

2. Naast de serverlijst moet het VPN-beheerprofiel een aantal verplichte voorkeuren bevatten:

  • AutomaticCertSelection moet worden ingesteld op true.
  • AutoReconnect moet worden ingesteld op true.
  • AutoReconnectBehavior moet worden geconfigureerd voor ReconnectAfterResume.
  • AutoUpdate moet worden ingesteld op false.
  • BlockUntrustedServers moet zijn ingesteld op true.
  • CertificateStore moet worden geconfigureerd voor MachineStore.
  • CertificateStoreOverride moet zijn ingesteld op true.
  • EnableAutomaticServerSelection moet op false worden ingesteld.
  • EnableScripting moet op false zijn ingesteld.
  • KeepVPNlogoff moet op true zijn ingesteld.

3. Navigeer in de AnyConnect-profieleditor naar Voorkeuren (deel 1) en pas de instellingen aan zoals in de afbeelding wordt weergegeven:

Preferences 1

4. Navigeer naar Voorkeuren (deel 2) en schakel de optie Automatische certificaatselectie uitschakelen uit.

Preferences 2

Stap 2. AnyConnect VPN-profiel maken

Als aanvulling op het VPN-beheerprofiel moet het normale AnyConnect VPN-profiel worden geconfigureerd. Het AnyConnect VPN-profiel wordt gebruikt bij de eerste poging tot verbinding. Tijdens deze sessie wordt het VPN-beheerprofiel gedownload van FTD.

Gebruik de AnyConnect-profieleditor om het AnyConnect VPN-profiel te maken. In dit geval bevatten beide bestanden dezelfde instellingen, zodat dezelfde procedure kan worden gebruikt.

Stap 3. AnyConnect Management VPN-profiel en AnyConnect VPN-profiel uploaden naar FMC

1. Upload de profielen naar de FMC als AnyConnect-bestandsobjecten zodra ze zijn gemaakt.

2. Als u het nieuwe AnyConnect Management VPN-profiel naar de FMC wilt uploaden, gaat u naar Objecten > Objectbeheer en kiest u de optie VPN in de inhoudsopgave. Selecteer de knop AnyConnect-bestand toevoegen.

3. Geef een naam op voor het bestand. Kies AnyConnect Management VPN Profile als bestandstype en sla het object op.

AnyConnect Management Profile Object

4. Als u het AnyConnect VPN-profiel wilt uploaden, gaat u naar Objecten > Objectbeheer en kiest u de optie VPN in de inhoudsopgave. Selecteer de knop AnyConnect-bestand toevoegen.

5. Geef een naam op voor het bestand en kies dit keer het AnyConnect VPN-profiel als bestandstype en sla het nieuwe object op.

AnyConnect VPN Profile Object

6. Profielen moeten worden toegevoegd aan de objectlijst en worden gemarkeerd als respectievelijk AnyConnect Management VPN Profile en AnyConnect VPN Profile.

AnyConnect Objects

Stap 4. Groepsbeleid maken

1. Als u een nieuw groepsbeleid wilt maken, gaat u naar Objecten > Objectbeheer en kiest u de optie VPN in de inhoudsopgave. Selecteer Groepsbeleid en klik op de knop Groepsbeleid toevoegen.

2. Als het venster Groepsbeleid toevoegen wordt geopend, wijst u een naam toe, definieert u een AnyConnect-groep en opent u het tabblad AnyConnect.

3. Navigeer naar het profiel en selecteer het object dat het normale AnyConnect VPN-profiel vertegenwoordigt in het vervolgkeuzemenu Clientprofiel.

Upload AnyConnect Profile

4. Navigeer naar het tabblad Beheerprofiel en selecteer het object dat het Beheerprofiel bevat in het vervolgkeuzemenu Beheerprofiel.

Upload Management Tunnel

5. Sla uw wijzigingen op om het nieuwe object toe te voegen aan het bestaande groepsbeleid.

AnyConnect Group Policy

Stap 5. Nieuwe AnyConnect-configuratie maken

1. De configuratie van SSL AnyConnect in FMC bestaat uit 4 verschillende stappen. Als u AnyConnect wilt configureren, gaat u naar Apparaten > VPN > Externe toegang en selecteert u de knop Toevoegen. Hiervoor moet de wizard VPN-beleid voor externe toegang worden geopend.

2. Selecteer op het tabblad Beleidstoewijzing het FTD-apparaat dat u wilt gebruiken, geef een naam op voor het verbindingsprofiel en vink het selectievakje SSL aan.

Policy Assignment - AnyConnect Management Tunnel

2. Selecteer Alleen clientcertificaat als verificatiemethode in het verbindingsprofiel. Dit is de enige authenticatie die wordt ondersteund voor de functie.

Connection Profile - Client Certificate Only

3. Selecteer vervolgens het object Groepsbeleid dat is gemaakt in stap 3 in het vervolgkeuzemenu Groepsbeleid.

Connection Profile - Group Policy

4. Selecteer op het tabblad AnyConnect het AnyConnect-bestandsobject volgens het besturingssysteem (OS) op het eindpunt.

AnyConnect for Windows

5. Geef op de Access & Certificate het certificaat op dat door de FTD moet worden gebruikt om de identiteit van de Windows-client te onderzoeken.

Opmerking: omdat gebruikers geen interactie kunnen hebben met de AnyConnect-app wanneer ze de VPN-beheerfunctie gebruiken, moet het certificaat volledig vertrouwd zijn en mag het geen waarschuwingsbericht afdrukken.

Opmerking: om fouten in de certificaatvalidatie te voorkomen, moet het veld Common Name (CN) in de onderwerpnaam van het certificaat overeenkomen met de FQDN die is gedefinieerd in de serverlijst met XML-profielen (stap 1 en stap 2).

Access and Certificate

6. Selecteer ten slotte de knop Voltooien op het tabblad Overzicht om de nieuwe AnyConnect-configuratie toe te voegen.

Summary

Stap 6. URL-object maken

1. Navigeer naar Objecten > Objectbeheer en selecteer URL in de inhoudsopgave. Selecteer vervolgens Object toevoegen in het vervolgkeuzemenu URL toevoegen.

2. Geef een naam op voor het object en definieer de URL met dezelfde FQDN/gebruikersgroep die is opgegeven in de lijst met VPN-profielservers voor beheer (stap 2). In dit voorbeeld moet de URL dperezve.jyoungta-labdomain.cisco.com/AnyConnect_Management_Tunnel zijn.

URL Object Config

3. Sla de wijzigingen op om het object aan de objectlijst toe te voegen.

Stap 7. URL-alias definiëren

1. Als u de URL-alias in de AnyConnect-configuratie wilt inschakelen, gaat u naar Apparaten > VPN > Externe toegang en klikt u op het potloodpictogram om deze te bewerken.

2. Selecteer op het tabblad Verbindingsprofiel de gewenste configuratie, ga naar Aliassen en klik op de knop Toevoegen. Selecteer vervolgens het URL-object in het vervolgkeuzemenu URL Alias. Controleer of het selectievakje Ingeschakeld is geselecteerd.

Configure URL

3. Sla uw wijzigingen op en implementeer de configuraties naar FTD.

Verifiëren

Nadat de implementatie is voltooid, is een eerste handmatige AnyConnect-verbinding met het AnyConnect VPN-profiel vereist. Tijdens deze verbinding wordt het VPN-beheerprofiel gedownload van FTD en opgeslagen in C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\MgmtTun. Vanaf dit punt moeten volgende verbindingen worden geïnitieerd via het VPN-beheerprofiel zonder enige gebruikersinteractie.

Problemen oplossen

Voor fouten in certificaatvalidatie:

  • Zorg ervoor dat het basiscertificaat voor de certificeringsinstantie (CA) is geïnstalleerd op FTD.
  • Controleer of een identiteitscertificaat dat door dezelfde certificeringsinstantie is ondertekend, is geïnstalleerd in de Windows Machine Store.
  • Zorg ervoor dat het CN-veld in het certificaat is opgenomen en hetzelfde is als de FQDN die is gedefinieerd in de serverlijst van het VPN-beheerprofiel en de FQDN die is gedefinieerd in de URL-alias.

Voor tunnel management niet gestart:

  • Controleer of het VPN-beheerprofiel is gedownload en opgeslagen in C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\ManagementTun.
  • Controleer of de naam voor het VPN-beheerprofiel VpnManagementTunProfile.xml is.

Voor connectiviteitsproblemen, verzamel de DART-bundel en neem contact op met Cisco TAC voor verder onderzoek.

Revisiegeschiedenis

Revisie Publicatiedatum Opmerkingen
3.0
14-Jul-2026
Bijgewerkte inleiding, spelling, spatiëring, ingevoegd lijnen om secties te scheiden voor leesbaarheid en bijgewerkte alt-tekst.
2.0
17-Jan-2024
Bijgewerkte machinevertaling en opmaak.
1.0
14-Apr-2021
Eerste vrijgave
TAC Authored

Bijgedragen door Cisco-engineers

  • Daniel Perez Vertti Vazquez
    Cisco TAC Engineer

Was dit document nuttig?

FeedbackFeedback

Contact Cisco

Dit document is van toepassing op deze producten