Remote Access VPN configureren op FTD beheerd door FDM

Downloadopties

  • PDF     (1.3 MB)
    Met Adobe Reader op diverse apparaten bekijken
Bijgewerkt:29 mei 2026
Document-id:215532

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inleiding

In dit document wordt beschreven hoe de implementatie van een RAVPN op FTD kan worden geconfigureerd, beheerd door de FDM-manager die versie 6.5.0 en hoger uitvoert.

Voorwaarden

Vereisten

Cisco raadt u aan kennis te hebben van de configuratie van het Virtual Private Network (RAVPN) voor externe toegang op Firepower Device Manager (FDM).

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

  • Cisco Firepower Threat Defense (FTD) met versie 6.5.0-115
  • Cisco AnyConnect Secure Mobility Client, versie 4.7.01076

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

vergunning

  • Firepower Threat Defense geregistreerd bij het slimme licentieportaal met Export Controlled Features ingeschakeld (om het tabblad RAVPN-configuratie in te schakelen)
  • Alle AnyConnect-licenties zijn ingeschakeld (APEX, Plus of alleen VPN)

Achtergrondinformatie

De configuratie van FTD via FDM levert problemen op wanneer u probeert verbindingen tot stand te brengen voor AnyConnect-clients via de externe interface terwijl het beheer via dezelfde interface wordt benaderd. Dit is een bekende beperking van FDM. Aanvraag voor verbetering Cisco bug ID CSCvm76499 is ingediend voor dit probleem.

Configureren

Netwerkdiagram

AnyConnect Client Authentication met behulp van Local.

Network Diagram

Licenties op de FTD verifiëren

Stap 1. Controleer of het apparaat is geregistreerd voor Smart Licensing, zoals weergegeven in de afbeelding.

Verification of Device Registration in Smart Licensing

Stap 2. Controleer of AnyConnect-licenties zijn ingeschakeld op het apparaat, zoals wordt weergegeven in de afbeelding.

Verification of AnyConnect License Enablement on the Device

Stap 3. Controleer of de door Exporteren beheerde functies zijn ingeschakeld in het token, zoals weergegeven in de afbeelding.

Verify Export-Controlled Feature Enablement in Token

Beschermde netwerken definiëren

Navigeer naar Objects > Networks > Add new Network. Configureer VPN Pool- en LAN-netwerken vanuit FDM GUI. Maak een VPN-pool om te worden gebruikt voor de toewijzing van lokale adressen aan AnyConnect-gebruikers, zoals weergegeven in de afbeelding.

Create VPN Pool for Local Address Assignment in FDM GUI

Maak een object voor het lokale netwerk achter het FDM-apparaat, zoals weergegeven in de afbeelding.

Create Object for Local Network in FDM GUI

Lokale gebruikers maken

Navigeer naar Objects > Users > Add User. Voeg VPN-lokale gebruikers toe die verbinding maken met FTD via AnyConnect. Maak lokale gebruikers zoals weergegeven in de afbeelding.

Create VPN Local Users for AnyConnect Connection in FDM GUI

Certificaat toevoegen

Navigeer naar Objects > Certificates > Add Internal Certificate. Configureer een certificaat zoals weergegeven in de afbeelding.

Configure Internal Certificate in FDM GUI

Upload zowel het certificaat als de private key zoals weergegeven in de afbeelding.

Upload Certificate and Private Key in FDM GUI

Het certificaat en de sleutel kunnen worden geüpload door te kopiëren en plakken, of de uploadknop voor elk bestand zoals weergegeven in de afbeelding.

Upload Certificate and Key via Copy-Paste or Upload Button in FDM GUI

Remote Access VPN configureren

Navigeer naar Remote Access VPN > Create Connection Profile. Navigeer door de RA VPN Wizard op FDM zoals weergegeven in de afbeelding.

Create Remote Access VPN Connection Profile with RA VPN Wizard in FDM GUI

Remote Access VPN Connection Profiles

Maak een verbindingsprofiel aan en start de configuratie zoals weergegeven in de afbeelding.

Configure Connection Profile in FDM GUI

Kies de verificatiemethoden zoals weergegeven in de afbeelding. Deze handleiding maakt gebruik van lokale verificatie.

Choose Authentication Methods for Remote Access VPN in FDM GUI

Kies het Anyconnect_Pool object zoals weergegeven in de afbeelding.

Choose AnyConnect Pool Object in FDM GUI

Op de volgende pagina wordt een overzicht van het standaardgroepsbeleid weergegeven. Een nieuw groepsbeleid kan worden gemaakt wanneer u op de vervolgkeuzelijst drukt en de optie kiest om te Create a new Group Policy. Voor deze handleiding wordt het standaardgroepsbeleid gebruikt. Kies de bewerkingsoptie bovenaan het beleid, zoals weergegeven in de afbeelding.

Edit Default Group Policy in FDM GUI

Voeg in het groepsbeleid gesplitste tunneling toe zodat gebruikers die zijn verbonden met AnyConnect alleen verkeer verzenden dat is bestemd voor het interne FTD-netwerk via de AnyConnect-client, terwijl al het andere verkeer uit de ISP-verbinding van de gebruiker gaat, zoals weergegeven in de afbeelding.

Configure Split Tunneling in Group Policy for AnyConnect Users in FDM GUI

Kies op de volgende pagina de Anyconnect_Certificate die in het gedeelte Certificaat zijn toegevoegd. Kies vervolgens de interface waarop de FTD naar AnyConnect-verbindingen luistert. Kies het Bypass Access Control-beleid voor ontsleuteld verkeer (sysopt permit-vpn). Dit is een optionele opdracht als de sysopt permit-vpn niet is gekozen. Er moet een toegangsbeheerbeleid worden gemaakt waarmee verkeer van de AnyConnect-clients toegang kan krijgen tot het interne netwerk, zoals weergegeven in de afbeelding.

Configure AnyConnect Certificate, Interface, and Access Control Policy in FDM GUI

NAT-vrijstelling kan handmatig worden geconfigureerd onder Policies > NAT of automatisch worden geconfigureerd door de wizard. Kies de binneninterface en de netwerken die AnyConnect-clients nodig hebben om toegang te krijgen, zoals weergegeven in de afbeelding.

Configure NAT Exemption for AnyConnect Clients in FDM GUI

Kies het AnyConnect-pakket voor elk besturingssysteem (Windows/Mac/Linux) waarmee gebruikers verbinding kunnen maken, zoals weergegeven in de afbeelding.

Choose AnyConnect Packages for Different Operating Systems in FDM GUI

De laatste pagina geeft een overzicht van de gehele configuratie. Controleer of de juiste parameters zijn ingesteld en druk op de knop Voltooien en implementeer de nieuwe configuratie.

Verifiëren

Gebruik deze sectie om te controleren of uw configuratie goed werkt.

Zodra de configuratie is geïmplementeerd, probeert u verbinding te maken. Als u een FQDN hebt dat wordt opgelost naar de externe IP van de FTD, voert u dit in het vak AnyConnect-verbinding in. In dit voorbeeld wordt het externe IP-adres van de FTD gebruikt. Gebruik de gebruikersnaam/het wachtwoord dat is gemaakt in de sectie Objecten van FDM, zoals weergegeven in de afbeelding.

Verify Connection to AnyConnect with FQDN and User Credentials in FDM GUI

Vanaf FDM 6.5.0 is er geen manier om de AnyConnect-gebruikers via de FDM GUI te controleren. De enige optie is om de AnyConnect-gebruikers via CLI te controleren. De CLI-console van de FDM GUI kan ook worden gebruikt om te controleren of gebruikers zijn verbonden. Gebruik dit commando, Show vpn-sessiondb anyconnect.

Monitor AnyConnect Users via CLI in FDM GUI

Dezelfde opdracht kan rechtstreeks vanuit de CLI worden uitgevoerd.

> show vpn-sessiondb anyconnect

Session Type: AnyConnect

Username     : Anyconnect_User        Index        : 15
Assigned IP  : 192.168.19.1           Public IP    : 172.16.100.15
Protocol     : AnyConnect-Parent SSL-Tunnel
License      : AnyConnect Premium
Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES-GCM-256
Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA384
Bytes Tx     : 38830                  Bytes Rx     : 172
Group Policy : DfltGrpPolicy          Tunnel Group : Anyconnect
Login Time   : 01:08:10 UTC Thu Apr 9 2020
Duration     : 0h:00m:53s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                    VLAN         : none
Audt Sess ID : 000000000000f0005e8e757a
Security Grp : none                   Tunnel Zone  : 0

Problemen oplossen

In dit gedeelte vindt u de informatie die u kunt gebruiken om problemen met uw configuratie op te lossen.

Als een gebruiker geen verbinding kan maken met de FTD met SSL, voert u de volgende stappen uit om de SSL-onderhandelingsproblemen te isoleren:

  1. Controleer of het IP-adres buiten FTD via de computer van de gebruiker kan worden gepingd.
  2. Gebruik een externe snuffelaar om te controleren of de TCP-drievoudige handdruk succesvol is.

Problemen met AnyConnect-client

Deze sectie bevat richtlijnen voor het oplossen van de twee meest voorkomende AnyConnect VPN-clientproblemen. Een handleiding voor het oplossen van problemen met de AnyConnect-client vindt u hier: AnyConnect VPN Client Troubleshooting Guide.

Aanvankelijke connectiviteitsproblemen

Als een gebruiker problemen heeft met de eerste verbindingen, schakelt u AnyConnect debuggen webvpn op de FTD in en analyseert u de foutopsporingsberichten. Foutopsporing moet worden uitgevoerd op de CLI van de FTD. Gebruik de opdracht. debug webvpn anyconnect 255 Verzamel een DART-bundel van het clientsysteem om de logbestanden van AnyConnect te verkrijgen. Instructies voor het verzamelen van een DART-bundel vindt u hier: DART-bundels verzamelen.

Verkeersspecifieke kwesties

Als een verbinding succesvol is, maar het verkeer over de SSL VPN-tunnel mislukt, bekijkt u de verkeersstatistieken op de client om te controleren of het verkeer door de client wordt ontvangen en verzonden. Gedetailleerde clientstatistieken zijn beschikbaar in alle versies van AnyConnect. Als de client aangeeft dat er verkeer wordt verzonden en ontvangen, controleert u de FTD op ontvangen en verzonden verkeer. Als de FTD een filter toepast, wordt de filternaam weergegeven en kunt u de ACL-vermeldingen bekijken om te controleren of uw verkeer wordt gedropt. Veel voorkomende verkeersproblemen die gebruikers ervaren zijn:

  • Routing problemen achter de FTD - Het interne netwerk is niet in staat om pakketten terug te routeren naar de toegewezen IP-adressen en VPN-clients.
  • Toegangscontrolelijsten blokkeren verkeer.
  • Network Address Translation wordt niet omzeild voor VPN-verkeer.

Voor meer informatie over VPN's voor externe toegang op de FTD die door FDM wordt beheerd, vindt u de volledige configuratiehandleiding hier: FTD voor externe toegang die door FDM wordt beheerd.

Revisiegeschiedenis

Revisie Publicatiedatum Opmerkingen
4.0
29-May-2026
hercertificering
3.0
02-Jun-2025
Bijgewerkte introductie, SEO, stijlvereisten en opmaak.
1.0
18-May-2020
Eerste vrijgave
TAC Authored

Bijgedragen door Cisco-engineers

  • Cameron Schaeffer
    technisch consultant

Was dit document nuttig?

FeedbackFeedback

Contact Cisco

Dit document is van toepassing op deze producten