Inhoud
Inleiding
Dit document beschrijft de stappen die nodig zijn om het AnyConnect-slot te activeren en de AnyConnect te verbergen in de lijst Software voor Windows-machines.
Bijgedragen door Christian G. Hernandez R, Cisco TAC Engineer.
Voorwaarden
Vereisten
Cisco raadt kennis van de volgende onderwerpen aan:
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardwareversies:
- Cisco ASA versie 9.14.2.13
- Cisco Adaptieve Security Adapter Manager (ASDM) versie 7.14.1
- Cisco AnyConnect-versies 4.9.040/53 en 4.9.060/37
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk levend is, zorg er dan voor dat u de mogelijke impact van om het even welke opdracht begrijpt.
Achtergrondinformatie
AnyConnect Lockdown voor Windows: Cisco raadt aan eindgebruikers beperkte rechten op de Cisco AnyConnect beveiligde mobiliteit-client op hun apparaat. Als de eindgebruiker extra rechten garandeert, kunnen de installateurs een afsluitingsmogelijkheid bieden die gebruikers en lokale beheerders belet de AnyConnect-services uit te schakelen of te stoppen.
U hebt drie verschillende opties om de AnyConnect Lockdown-functie in te schakelen:
1. MSI-installatieprogramma's van de Windows-opdrachtregel.
2. Afsluiten van de optie uit de installatiewizard van AnyConnect voor de implementatie.
3. ASDM - Voer een installatieprogramma in om het bestand in de ASA op te nemen.
AnyConnect uit de lijst Software voor Windows verbergen: U kunt de geïnstalleerde AnyConnect-modules verbergen in de lijst Software van het Configuratiescherm van Windows in het Control Panel en een programma verwijderen.
U hebt twee opties om AnyConnect verbergen in de functie Software:
1. MSI-installatieprogramma's van de Windows-opdrachtregel.
2. ASDM - Importeer een voorbeeldinstallateur verstoppertje-verwijdert transformeert bestand naar de ASA.
Configureren
Netwerkdiagram
AnyConnect-vergrendeling instellen
MSI-installatieprogramma's van de Windows-opdrachtregel.
Configuratiestappen
Stap 1. Download het AnyConnect-implementatiepakket voor Windows.
Stap 1.1 Navigeer naar de downloadpagina van Cisco-software en download de AnyConnect-versie om op de Windows-machine te installeren.
Download bijvoorbeeld het voorimplementatiepakket van Windows AnyConnect dat de individuele MSI omvat bestanden voor versie 4.9.04053 (anyconnect-win-4.9.04053-preputs-k9.zip).
Stap 2. Download het AnyConnect-installatiebestand voor Windows.
Stap 2.1 Navigeer naar de downloadpagina van Cisco-software en download het bestand AnyConnect Installer Transformer voor Windows dat overeenkomt met dezelfde AnyConnect-versie die in de Windows-machine moet worden geïnstalleerd.
Download bijvoorbeeld het transformatiebestand voor de AnyConnect versie 4.9.04053 (tools-anyconnect-win-4.9.04053-transformaties.zip).
Stap 3. Verwijder de AnyConnect-bestanden die in verschillende mappen zijn gedownload.
Stap 3.1 Het bestand AnyConnect-win-4.9.04053-preimplementatie-k9.zip wordt op de volgende map ontbonden: C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preimplementatie-k9.
Stap 3.2 De tools-anyconnect-win-4.9.04053-transformaties.zipHet bestand is uit het menu volgende map verwijderd: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transformaties.
Stap 4. Kopieer en plak de AnyConnect-vergrendeling om het bestand in dezelfde map te zetten als de AnyConnect MSI-installatiebestanden.
Stap 4.1 Van de tools-anyconnect-win-4.9.04053-transformatie map, kopieert de _anyconnect-win-lockdown.mst lockdown het bestand om en verspreidt het naar de anyconnect-win-4.9.04053-pre-implementatie-k9 map als volgt.
Stap 5. CD naar het mappenpad met de MSI AnyConnect-installatiebestanden.
Stap 5.1 Open een Windows-opdrachtprompt en cd naar het mappenpad met de installatiebestanden van MSI AnyConnect en de blokkering van de _anyconnect-win-lockdown.mst transformeert het bestand dat in de bovenstaande stap is gekopieerd/geplakt.
Dit voorbeeld wordt weergegeven in de volgende map C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preputs-k9.
Stap 6. Installeer de AnyConnect-modules met de vergrendeling waarmee het bestand wordt aangepast.
Stap 6.1 I
Installeer elk van de AnyConnect-modules die bij de volgende MSI-installatieopdracht vereist zijn en die wijst op het AnyConnect.msi-modulebestand en de _anyconnect-win-lockdown.mst-blokkering verandert het bestand.
msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Opmerking:Met de instelling van de waarde in LOCKDOWN als "1" kunt u de afsluitfunctie voor de AnyConnect-module installeren.
Opmerking: Cisco raadt aan dat u het bestand voor het omzetten van de steekproef gebruikt om deze eigenschap in te stellen, de transformatie op elke MSI-installateur toepassen voor elke module die u wilt vergrendeld worden. U kunt de voorbeeldtransformaties downloaden van de downloadpagina van de Cisco AnyConnect Secure Mobility Client-software.
Opmerking:Als u de core client plus een of meer optionele modules implementeert, moet u de LOCKDOWN eigenschap op elk van de installateurs toepassen. Deze bewerking is slechts één manier en kan niet worden verwijderd zonder dat u het product opnieuw installeert.
Stap 6.2 Dit voorbeeld installeert de AnyConnect CORE & VPN-module en de _anyconnect-win-lockdown.mst-vergrendeling transformeert het bestand, beide overeenkomen met de bestanden voor de AnyConnect versie 4.9.04053.
msiexec -i anyconnect-win-4.9.04053-core-vpn-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Stap 6.3 Dit voorbeeld installeert de AnyConnect Umbrella Roaming Security module en de _anyconnect-win-lockdown.mst lockdown transformeert bestand, beide overeenkomen met de bestanden voor de AnyConnect versie 4.9.04053.
msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Optie vergrendelen met AnyConnect pre-implementatiepakket installatiewizard.
Configuratiestappen
Stap 1. Download het AnyConnect-implementatiepakket voor Windows.
Stap 1.1 Navigeer naar de downloadpagina van Cisco-software en download de AnyConnect-versie om op de Windows-machine te installeren.
Download bijvoorbeeld het Windows AnyConnect-pre-implementatiepakket dat de individuele MSI-bestanden voor versie 4.9.04053 bevat (anyconnect-win-4.9.04053-preputs-k9.zip).
Stap 2. Open het AnyConnect-setup-bestand.
Stap 2.1 Unzip het anyconnect-win-4.9.04053-pre-implementatie-k9.zip bestand gedownload en geopend.
Stap 2.2 Dubbelklik vervolgens op het AnyConnect-setup-bestand.
Stap 3. Werk met de wizard AnyConnect-installatie.
Stap 3.1 Selecteer de AnyConnect-modules die u wilt installeren uit de weergegeven opties.
Selecteer bijvoorbeeld de AnyConnect CORE & VPN-en de Umbrella Roaming security modules.
Stap 4. Schakel de AnyConnect-vergrendelingsfunctie in.
Stap 4.1 Selecteer de optie Onderdeelservices vergrendelen voor zowel de optie CORE & VPN als de Umbrella Roaming security modules en ga verder met de installatie.
Stap 5. Bevestig de installatie van de AnyConnect-modules.
Stap 5.1 De installatie van de AnyConnect-modules wordt voltooid met 100% wanneer het volgende bericht wordt weergegeven.
AnyConnect verbergen in de lijst Software
MSI-installatieprogramma's van de Windows-opdrachtregel.
Configuratiestappen
Stap 1. Download het AnyConnect-implementatiepakket voor Windows.
Stap 1.1 Navigeer naar de downloadpagina van Cisco-software en download de AnyConnect-versie om op de Windows-machine te installeren.
Download bijvoorbeeld het voorimplementatiepakket van Windows AnyConnect dat de individuele MSI omvat bestanden voor versie 4.9.04053 (anyconnect-win-4.9.04053-preputs-k9.zip).
Stap 2. Download het AnyConnect-installatiebestand voor Windows.
Stap 2.1 Navigeer naar de downloadpagina van Cisco-software en download het bestand AnyConnect Installer Transformer voor Windows dat overeenkomt met dezelfde AnyConnect-versie die in de Windows-machine moet worden geïnstalleerd.
Download bijvoorbeeld het transformatiebestand voor de AnyConnect versie 4.9.04053 (tools-anyconnect-win-4.9.04053-transformaties.zip).
Stap 3. Verwijder de AnyConnect-bestanden die in verschillende mappen zijn gedownload.
Stap 3.1 Het bestand AnyConnect-win-4.9.04053-preimplementatie-k9.zip wordt op de volgende map ontbonden: C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preimplementatie-k9.
Stap 3.2 De tools-anyconnect-win-4.9.04053-transformaties.zipHet bestand is uit het menu volgende map verwijderd: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transformaties.
Stap 4. Kopieer en plak het AnyConnect-verstoppingsbestand om het bestand in dezelfde map te zetten als de AnyConnect MSI-installatiebestanden.
Stap 4.1 Van de tools-anyconnect-win-4.9.04053-transformatie map kopieert u de _anyconnect-win-hide-verberg-display.mst transformeert u het bestand tot de anyconnect-win-4.9.04053-pre-implementatie-k9 map als volgt.
Stap 5. CD naar het mappenpad met de MSI AnyConnect-installatiebestanden.
Stap 5.1 Open een Windows-opdrachtregel en cd naar het mappenpad met de installatiebestanden van MSI AnyConnect en de _anyconnect-win-hide-display .mst transformeert het bestand dat in de bovenstaande stap is gekopieerd/geplakt.
Dit voorbeeld wordt weergegeven in de volgende map C:\Users\calo\Downloads\anyconnect-win-4.9.04053-preputs-k9.
Stap 6. Installeer de AnyConnect-modules met het bestand dat is aangepast voor het verstopperen van het bestand.
Stap 6.1 I
Installeer elk van de AnyConnect-modules die bij de volgende MSI-installatieopdracht vereist zijn en die wijst op het AnyConnect.msi-modulebestand en het _anyconnect-win-hide-hide-display.mst transformeert het bestand.
msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log
Opmerking: Met de instelling van de ARPSYSTEMCOMPONENT-waarde als "1" kunt u AnyConnect verbergen vanuit de functie Software Program List voor de AnyConnect-module.
Opmerking: Cisco raadt aan dat u het bestand voor het omzetten van de steekproef gebruikt om deze eigenschap in te stellen, de transformatie op elke MSI-installateur toepassen voor elke module die u wilt verbergen. U kunt de voorbeeldtransformaties downloaden van de downloadpagina van de Cisco AnyConnect Secure Mobility Client-software.
Opmerking: Als u de kernclient plus een of meer optionele modules implementeert, moet u de HIDE-AnyConnect-eigenschap op elk van de installateurs toepassen. Deze bewerking is slechts één manier en kan niet worden verwijderd zonder dat u het product opnieuw installeert.
Stap 6.2 Dit voorbeeld installeert de AnyConnect CORE & VPN-module en de _anyconnect-win-hide-verberg-display.mst transformeert het bestand, beide overeenkomen met de bestanden voor de AnyConnect versie 4.9.04053.
Stap 6.3 Dit voorbeeld installeert de AnyConnect Umbrella Roaming Security module en de _anyconnect-win-hide-verberg-display.mst transformeert het bestand, beide overeenkomen met de bestanden voor de AnyConnect versie 4.9.04053.
msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log
AnyConnect-vergrendeling en AnyConnect verbergen in de lijst Software met ASDM
Deze procedure is alleen van toepassing op AnyConnect-webimplementatieupdates. Dit voorbeeld houdt rekening met een AnyConnect-webimplementatieupdate van versie 4.9.04053 tot 4.9.0.6037.
Configuratiestappen
Stap 1. Bevestig de AnyConnect-versie die op de Windows-machine draait.
Stap 1.1 De Windows-machine in dit voorbeeld heeft de AnyConnect versie 4.9.04053 al geïnstalleerd voor zowel de Core- als VPN-modules en de Umbrella-roamingbeveiligingsmodules.
Stap 2. Download het AnyConnect head-end implementatiepakket voor Windows.
Stap 2.1 Navigeer naar de downloadpagina van de Cisco-software en download de AnyConnect head-end implementatiepakket met de versie die op de Windows-machine moet worden geïnstalleerd voor de update van de webimplementatie.
Download bijvoorbeeld het implementatiepakket van Windows AnyConnect head-end versie 4.9.06037 (anyconnect-win-4.9.06037-web-k9.pkg).
Stap 3. Download het AnyConnect-installatiebestand voor Windows.
Stap 3.1 Navigeer naar de downloadpagina van Cisco-software en download de AnyConnect Installer om bestand voor Windows te wijzigen dat overeenkomt met dezelfde AnyConnect-versie die in de Windows-machine moet worden geïnstalleerd.
Download bijvoorbeeld het transformatiebestand voor de AnyConnect versie 4.9.06037 (tools-anyconnect-win-4.9.06037-transformaties.zip).
Stap 4. Ontgrendel het AnyConnect-bestand dat is gedownload.
Stap 4.1 T
De tools-anyconnect-win-4.9.06037-transformaties.zipHet bestand is uit het menu volgende map verwijderd: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transformaties.
Stap 5. Open de ASDM-modus en sluit de ASA-functie aan met uw referenties.
Stap 6. Breng het AnyConnect head-end implementatiepakket van uw PC naar het ASA-flitsgeheugen over.
Stap 6.1 Navigeer naar Gereedschappen > File Management > File Transfer > Tussen Local PC en Flash en breng het AnyConnect head-end implementatiepakket versie 4.9.06037 (anyconnect-win-4.9.06037-web-k9.pkg) over naar het ASA-geheugen.
Stap 7. Configureer de overgedragen AnyConnect head-end implementatiepakketversie voor de webimplementatieupdate.
Stap 7.1 Navigeer naar de ASDM-configuratie > Remote Access VPN > AnyConnect-clientsoftware en selecteer het AnyConnect head-end implementatiepakket versie 4.9.04053 geïnstalleerd.
Stap 7.2 Kies vervolgens Vervang en Bladeren door het oude AnyConnect head-end implementatiepakket versie 4.9.04053 te vervangen met het 4.9.06037 dat eerder naar het flash-geheugen is overgebracht.
Stap 7.3 Pas de configuratieveranderingen toe en Verzend ze naar de ASA.
Stap 8. Importeer de AnyConnect-voorbeeldbestanden.
Stap 8.1 Navigeer naar de ASDM Configuration > Remote Access VPN > Aangepaste Installer Transforms > Importeren en importeren van de vereiste voorbeeldbestanden.
Stap 8.2 Voer de AnyConnect versie 4.9.06037 _anyconnect-win-lockdown.mst om het bestand met de vergrendeling voor zowel de CORE als VPN en de Umbrella Roaming security modules te vertalen.
Voer de volgende waarden in:
Name: _anyconnect-afsluiting
Platform: winnen
Selecteer een bestand - Local computer: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transformaties\_anyconnect-win-lockdown.mst
Opmerking: De AnyConnect _anyconnect-win-lockdown.mst verandert het bestand voor elke AnyConnect-module die nodig is.
Stap 8.3 Importeer de AnyConnect versie 4.9.06037 _anyconnect-win-verberg-display.mst transformeert het bestand om de verberg van de add/drop-programmalijst voor zowel de CORE als VPN en de Umbrella Roaming security modules mogelijk te maken.
Voer de volgende waarden in:
Name: _anyconnect-hidedisdispositief
Platform: winnen
Selecteer een file: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms\anyconnect-win-hide-hide-addremodellatie.mst
Opmerking: The _anyconnect-win-hide-verberg-display.mSamsmonster transformeert het bestand voor om het even welke AnyConnect module nodig.
Stap 8.4 Save the configuratie change en Verzend deze naar de ASA.
Opmerking: Tegen de tijd dat dit artikel werd geschreven, moet de naam die wordt gebruikt om de voorbeeldbestanden te importeren een onderstreepteken "_" hebben aan het begin van de naam, dit dwingt de voorbeeldtransformaties die worden geïmporteerd om voor elke AnyConnect-module te werken. Als u een andere naam zonder een underscore aan het begin van de naam gebruikt, dan transformeert de steekproef geïmporteerde werken alleen voor de module CORE & VPN Any Connect (CSC38427).
Stap 9. Auto-update voor AnyConnect-webimplementatie.
Stap 9.1 Dwing de AnyConnect-webimplementatie met de automatische update voor de CORE & VPN-en de Umbrella-roamingbeveiligingsmodules.
Hier is de ASA AnyConnect-configuratie geïnstalleerd zodat CORE & VPN en de Umbrella-roamingbeveiligingsmodules automatisch worden bijgewerkt:
webvpn
enable outside
anyconnect image disk0:/anyconnect-win-4.9.06037-webdeploy-k9.pkg 1
anyconnect enable
tunnel-group-list enable
group-policy ANYCONNECT_GP1 internal
group-policy ANYCONNECT_GP1 attributes
vpn-tunnel-protocol ssl-client ssl-clientless
split-tunnel-policy tunnelspecified
split-tunnel-network-list value SPLIT_TUNNEL1
webvpn
anyconnect modules value umbrella
tunnel-group MY_TUNNEL1 type remote-access
tunnel-group MY_TUNNEL1 general-attributes
address-pool VPN_POOL1
default-group-policy ANYCONNECT_GP1
tunnel-group MY_TUNNEL1 webvpn-attributes
group-alias SSL_TUNNEL1 enable
Stap 9.2 Start een verbinding met het ASA-uiteinde van de AnyConnect-client met versie 4.9.04053 op de Windows-machine.
Stap 9.3 Na dit worden de AnyConnect Core & VPN-en de Umbrella Roaming Security modules bijgewerkt naar versie 4.9.06037 met de afsluiter en de huid van de add/drop-opties voor de programmalijst.
Verifiëren
Controleer of de Lock-optie is ingeschakeld voor de geïnstalleerde AnyConnect-modules
Stap 1. Open de Windows-services (services.msc) als volgt.
Stap 2. Daarna, ofklik met de rechtermuisknop op CORE & VPN en Umbrella Roaming Security services.
U kunt bevestigen dat de afsluitfunctie is ingeschakeld omdat het u niet is toegestaan de services voor deze AnyConnect-modules te starten, stop, pauze te zetten, te hervatten of opnieuw te starten.
Bevestig het Van de programmalijst toevoegen/verwijderen Deze optie is ingeschakeld voor de geïnstalleerde AnyConnect-modules
Stap 1. Open de AnyConnect-client als volgt.
Stap 2. Bevestig de geïnstalleerde AnyConnect-versie.
Selecteer hiervoor het pictogram INFO onder de AnyConnect-client als volgt:
Stap 2.1 Voor de AnyConnect versie 4.9.04053:
Stap 2.2 Voor de AnyConnect versie 4.9.060/37:
Stap 3. Controleer dat zowel de AnyConnect CORE & VPN-modules en de Umbrella Roaming security modules niet in de programmalijst van Add/Remove Windows worden opgenomen.
Raadpleeg voor deze functie het Configuratiescherm van Windows > Een programma verwijderen.
Problemen oplossen
Er volgt voor dit document geen procedure voor probleemoplossing.
Verwante bellen
CSC38427 ASDM: Omzetten van bestandsnaam moet beginnen met "_"-score om effect te hebben op meerdere AC-modules
Gerelateerde informatie
Technische ondersteuning en documentatie – Cisco Systems
Cisco AnyConnect Secure Mobility Client-beheerdershandleiding, release 4.0
Feedback