Inhoud

Inleiding

Voorwaarden

Een alias configureren en neerzetten inschakelen

ASDM

CLI

Een URL configureren en de vervolgkeuzelijst inschakelen

ASDM

CLI

Vraag en antwoord

Verifiëren

Problemen oplossen

Gerelateerde informatie

Inleiding

SSL VPN-gebruikers (zowel AnyConnect/SVC als Clientless) kunnen kiezen welke tunnelgroep [Connection Profile in Adaptieve Security Adapter Manager (ASDM)] met deze verschillende methoden toegang heeft:

- groepshuis

- groep-alias (vervolgkeuzelijst voor tunnelgroep op loginpagina)

- certificaten, indien gebruik gemaakt van certificaten

Dit document toont aan hoe u de adaptieve security applicatie (ASA) kunt configureren, zodat gebruikers een groep kunnen selecteren via een vervolgkeuzemenu wanneer ze inloggen op de WebVPN-service. De groepen die in het menu verschijnen zijn of aliases of URL's van echte verbindingsprofielen (tunnelgroepen) ingesteld in de ASA. Dit document illustreert hoe u aliases en URL’s kunt maken voor verbindingsprofielen (tunnelgroepen) en vervolgens de vervolgkeuzemogelijkheid configureren die moet worden weergegeven. Deze configuratie wordt uitgevoerd met ASDM 6.0(2) op een ASA-softwareversie 8.0(2).

Opmerking: ASA versie 7.2.x ondersteunt twee methoden: lijst van groepsurl en groepsalias.

Opmerking: ASA versie 8.0.x ondersteunt drie methoden: groepshuis, groepsalias, en certificatie-kaarten.

Voorwaarden

Basis WebVPN-configuratie

Een alias configureren en neerzetten inschakelen

In deze sectie, wordt u voorgesteld met de informatie om een alias voor een verbindingsprofiel (tunnelgroep) te configureren en deze aliases vervolgens te configureren om in het vervolgkeuzemenu van de Groep op de inlogpagina van WebVPN te verschijnen.

ASDM

Voltooi deze stappen om een alias te vormen voor een verbindingsprofiel (tunnelgroep) in de ASDM. Herhaal dit zo nodig voor elke groep waarvoor u een alias wilt configureren.

1. Kies Configuration > Clientless SSL VPN Access > Connection profielen.

2. Selecteer een verbindingsprofiel en klik op Bewerken.

3. Voer een alias in het veld Aliases in.

4. Klik op OK en pas de wijziging toe.

5. In het venster Connection profielen staat controle gebruiker toe om verbinding te selecteren, geïdentificeerd door alias in de tabel hierboven, op loginpagina.

CLI

Gebruik deze opdrachten op de opdrachtregel om een alias te configureren voor een verbindingsprofiel (tunnelgroep) en de uitrollijst van de tunnelgroep mogelijk te maken. Herhaal dit zo nodig voor elke groep waarvoor u een alias wilt configureren.

ciscoasa#configure terminal

ciscoasa(config)#tunnel-group ExampleGroup1 webvpn-att

ciscoasa(config-tunnel-webvpn)#group-alias Group1 enable

ciscoasa(config-tunnel-webvpn)#exit

ciscoasa(config)#webvpn

ciscoasa(config-webvpn)#tunnel-group-list enable

Een URL configureren en de vervolgkeuzelijst inschakelen

In deze sectie, wordt u voorgesteld met de informatie om een URL voor een verbindingsprofiel (tunnelgroep) te configureren en deze URL's vervolgens te configureren om in het vervolgkeuzemenu van de Groep op de inlogpagina van WebVPN te verschijnen. Eén voordeel van het gebruik van group-url over group-alias (groepdruppel-down) is dat u de groepsnamen niet blootstelt zoals de laatste methode.

ASDM

Er zijn twee methoden gebruikt om de Group-URL in ASDM te specificeren:

- Profielmethode - volledig operationeel

Bewerk het AC-profiel en wijzig het veld <HostAddress>.

In Windows 2000/XP bevindt het standaardprofielbestand (bijvoorbeeld Cisco AnyConnectProfile.xml) zich in de map: C:\Documents and Settings\All Users\Application Data\Cisco\Cisco AnyConnect VPN Client\Profile.

De locatie voor Vista is iets anders: C:\ProgramData\Cisco\Cisco AnyConnect VPN Client\Profile.

- Voer de groep URL-string in in het veld Connect To.

Drie formaten van groep URL strings worden ondersteund:

- https://asa-vpn1.companyA.com/Employees

- asa-vpn1.companyA.com/Employees

- asa-vpn1.companyA.com (alleen-domein, geen pad)

Voltooi deze stappen om een URL voor een verbindingsprofiel (tunnelgroep) in de ASDM te configureren. Herhaal dit zo nodig voor elke groep waarvoor u een URL wilt configureren.

1. Kies Configuration > Clientless SSL VPN Access > Connection Profiles>Advanced>Clientloze SSL VPN-paneel.

2. Selecteer een verbindingsprofiel en klik op Bewerken.

3. Voer een URL in het veld URL’s van de groep in.

4. Klik op OK en pas de wijziging toe.

CLI

Gebruik deze opdrachten op de opdrachtregel om een URL te configureren voor een verbindingsprofiel (tunnelgroep) en de vervolgkeuzelijst voor de tunnelgroep mogelijk te maken. Herhaal dit zo nodig voor elke groep waarvoor u een URL wilt configureren.

ciscoasa#configure terminal

ciscoasa(config)#tunnel-group Trusted-Employees type remote-access

ciscoasa(config)#tunnel-group Trusted-Employees general-attributes

ciscoasa(config)#authentication-server-group (inside) LDAP-AD11

ciscoasa(config)#accounting-server-group RadiusACS12

ciscoasa(config)#default-group-policy Employees

ciscoasa(config)#tunnel-group Trusted-Employees webvpn-attributes

ciscoasa(config)#group-url https://asa-vpn1.companyA.com/Employees enable

ciscoasa(config)#webvpn

ciscoasa(config-webvpn)#tunnel-group-list enable

Vraag en antwoord

Vraag:

Hoe stel je de groep-URL in als de ASA VPN-gateway achter een NAT-apparaat zit?

Antwoord:

De host/URL die de gebruiker invoert, wordt gebruikt voor groepstoewijzing. Daarom moet je het NAT-adres gebruiken, niet het echte adres op de ASA-interface. Het beste alternatief is om FQDN in plaats van IP adres te gebruiken voor group-url mapping.

Alle mapping wordt uitgevoerd op HTTP-protocolniveau (gebaseerd op informatie die de browser verstuurt) en een URL wordt gecomponeerd om in kaart te brengen vanuit informatie in inkomende HTTP-headers. De naam van de host of IP komt uit de host header en de rest van de URL uit de HTTP request line. Dit betekent dat de host/URL die de gebruiker invoert, gebruikt zal worden voor de groepstoewijzing.

Verifiëren

Navigeer naar de inlogpagina van WebVPN van de ASA om te verifiëren dat de vervolgkeuzelijst is ingeschakeld en dat de aliases verschijnen.

Navigeer naar de inlogpagina van WebVPN van de ASA om te verifiëren dat de vervolgkeuzelijst is ingeschakeld en dat de URL verschijnt.

Problemen oplossen

- Als de vervolgkeuzelijst niet verschijnt, is het zeker dat u deze heeft ingeschakeld en dat de aliases zijn ingesteld. Gebruikers doen vaak het ene en het andere niet.

- Zorg ervoor dat u aansluit op de basis-URL van de ASA. De vervolgkeuzelijst verschijnt niet als u met de ASA verbinding maakt via een groep-URL, omdat het doel van de groepsselectie is om de groepsselectie uit te voeren.

Gerelateerde informatie

- Cisco ASA 5500 Series adaptieve security applicaties

- Technische ondersteuning en documentatie – Cisco Systems