Veilige toegang voor RA VPNaaS configureren met Entra ID

Downloadopties

PDF (1.0 MB)
Met Adobe Reader op diverse apparaten bekijken
ePub (897.9 KB)
Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
Mobi (Kindle) (1.3 MB)
Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken

Bijgewerkt:18 augustus 2026

Document-id:222972

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Azure Configuration

Cisco Secure Access-configuratie

Verifiëren

Probleemoplossing

Azure

Cisco Secure Access

Inleiding

In dit document wordt stap voor stap beschreven hoe u RA VPN op Cisco Secure Access configureert om te verifiëren met Entra ID.

Voorwaarden

Cisco raadt kennis van de volgende onderwerpen aan:

Kennis met Azure/Entra ID.
Kennis met Cisco Secure Access.

Vereisten

Aan deze eisen moet worden voldaan voordat verder wordt gegaan:

Toegang tot uw Cisco Secure Access Dashboard als volledige beheerder.
Toegang tot Azure als Admin.
Gebruikersprovisioning is al voltooid voor Cisco Secure Access.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

Cisco Secure Access Dashboard.
Microsoft Azure Portal.
Cisco Secure Client AnyConnect VPN versie 5.1.8.105

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configureren

Azure Configuration

1. Log in op het Cisco Secure Access-dashboard en kopieer het VPN Global FQDN. U gebruikt dit FQDN in de Azure Enterprise Application-configuratie.

Verbinding maken > Eindgebruikersconnectiviteit > Virtueel particulier netwerk > FQDN > Globaal

VPN Global FQDN

2. Log in bij Azure en maak een Enterprise Application voor de RA VPN-verificatie. U kunt de vooraf gedefinieerde toepassing Cisco Secure Firewall - Secure Client (voorheen AnyConnect)-verificatie gebruiken.

Home > Bedrijfstoepassingen > Nieuwe toepassing > Cisco Secure Firewall - Secure Client (voorheen AnyConnect)-verificatie > Maken

Create App in Azure App maken in Azure

3. Wijzig de naam van de toepassing.
Eigenschappen > Naam

Rename the Application De naam van de toepassing wijzigen

4. Wijs binnen de Enterprise Application de gebruikers toe om te verifiëren met behulp van de AnyConnect VPN.
Gebruikers en groepen toewijzen > + Gebruiker/groep toevoegen > Toewijzen

Users/Groups Assigned Gebruikers/groepen toegewezen

5. Klik op Eenmalige aanmelding en configureer de SAML-parameters. Hier gebruikt u de FQDN gekopieerd in stap 1, en ook de VPN-profielnaam die u configureert in Configuration Cisco Secure Access later in stap 2.

Als u bijvoorbeeld VPN Global FQDN gebruikt als example1.vpn.sse.cisco.com en uw Cisco Secure Access VPN-profielnaam VPN_EntraID is, zijn de waarden voor (Entity ID) en de Reply URL (Assertion Consumer Service URL):

Identifier (entiteit-ID): https://example1.vpn.sse.cisco.com/saml/sp/metadata/VPN_EntraID
URL voor antwoorden (URL voor beweringen van consumentenservice): https://example1.vpn.sse.cisco.com/+CSCOE+/saml/sp/acs?tgname=VPN_EntraID

SAML Parameters in Azure SAML-parameters in Azure

6. Download de Federatie Metadata XML.

Download Federation Metadata XML

Cisco Secure Access-configuratie

1. Log in op uw Cisco Secure Access-dashboard en voeg een IP-pool toe.

Verbinding maken > Eindgebruikersconnectiviteit > Virtueel privénetwerk > IP-pool toevoegen

Regio: Selecteer de regio waar uw RA VPN zal worden geïmplementeerd.
Display name: De naam voor de VPN IP Pool.
DNS-server: de DNS-server maken of toewijzen die gebruikers gebruiken voor de DNS-resolutie zodra verbinding is gemaakt.
IP-pool van het systeem: gebruikt door Secure Access voor functies zoals Radius-verificatie, wordt het verificatieverzoek ingekocht door een IP binnen dit bereik.
IP Pool: Voeg een nieuwe IP Pool toe en geef de IP's op die gebruikers krijgen als ze eenmaal zijn verbonden met de RA VPN.

Add VPN Profile VPN-profiel toevoegen

Config of IP Pool - Part 1 Configuratie van IP Pool - Deel 1

Config of IP Pool - Part 2 Configuratie van IP Pool - Deel 2

2. Voeg een VPN-profiel toe.

Verbinden > Eindgebruikersconnectiviteit > Virtueel privénetwerk > VPN + Profiel

Algemene instellingen

Opmerking: de naam van het VPN-profiel moet overeenkomen met de naam die u hebt geconfigureerd in Configuration Azure in stap 5. In deze configuratiegids hebt u VPN_EntraID gebruikt, zodat u in Cisco Secure Access hetzelfde configureert als de naam van het VPN-profiel.

VPN-profielnaam: naam voor dit VPN-profiel, alleen zichtbaar in het dashboard.

Weergavenaam: Naam van eindgebruikers die wordt weergegeven in het vervolgkeuzemenu Veilige client - AnyConnect, zie bij het maken van een verbinding met dit RA VPN-profiel.
Default Domain: Domeingebruikers krijgen, eenmaal verbonden met de VPN.
DNS-servers: DNS-server waarmee de VPN-gebruikers verbinding kunnen maken met de VPN.
Gebied opgegeven: gebruikt de DNS-server die is gekoppeld aan de VPN IP-pool.
Aangepast opgegeven: u kunt de gewenste DNS handmatig toewijzen.
IP Pools: IP's die de gebruikers krijgen toegewezen zodra ze zijn verbonden met de VPN.
Profielinstellingen: om dit VPN-profiel voor de machinetunnel op te nemen of om regionaal FQDN op te nemen, zodat de eindgebruiker de regio selecteert waarmee hij verbinding wil maken (afhankelijk van de implementatie van IP-pools).
Protocollen: Selecteer het protocol dat u wilt dat uw VPN-gebruikers gebruiken voor het tunnelen van het verkeer.
Verbindingstijdhouding (optioneel): Indien nodig om VPN-houding op het verbindingstijdstip te doen. Meer informatie hier

VPN Profile Config - Part 1 VPN-profielconfiguratie - Deel 1

VPN Profile Config - Part 2 VPN-profielconfiguratie - Deel 2

Verificatie, autorisatie en accounting

Protocollen: SAML selecteren.

Verificatie met CA-certificaten: als u wilt verifiëren met behulp van een SSL-certificaat en autoriseren tegen een IdP SAML-provider.
Forceer re-authenticatie: Forceert een re-authenticatie wanneer een VPN-verbinding wordt gemaakt. Gedwongen re-authenticatie is gebaseerd op Session Timeout. Dit kan worden onderworpen aan de SAML IdP-instellingen (in dit geval Azure).

Upload het XML-bestand Federation Metadata XML-bestand gedownload in Configure Azure in stap 6.

SAML Config SAML-configuratie

Verkeerssturing (gesplitste tunnel)

Tunnelmodus:
Verbinding maken met beveiligde toegang: al het verkeer wordt verzonden via de tunnel (alle tunnels).
Veilige toegang omzeilen: alleen het specifieke verkeer dat is gedefinieerd in het gedeelte Uitzonderingen is getunneld (gesplitste tunnel).
DNS-modus:
Standaard DNS: Alle DNS-query's worden door de DNS-servers geleid, die worden gedefinieerd door het VPN-profiel. In het geval van een negatieve reactie kunnen de DNS-query's ook naar de DNS-servers gaan die op de fysieke adapter zijn geconfigureerd.
Tunnel All DNS: Tunnels Alle DNS-query's via de VPN.
DNS splitsen: Alleen specifieke DNS-query's worden door het VPN-profiel verplaatst, afhankelijk van de hieronder opgegeven domeinen.

Traffic Steering Config Verkeersstuurconfiguratie

Cisco Secure Client Configuration
Voor de toepassing van deze handleiding configureert u geen van deze geavanceerde instellingen. Geavanceerde functies kunnen hier worden geconfigureerd. Bijvoorbeeld: TND, Always-On, Certificate Matching, Local LAN Access, enzovoort. Sla de instellingen hier op.

Advanced Settings Geavanceerde instellingen

3. Uw VPN-profiel moet er zo uitzien. U kunt het xml-profiel downloaden en vooraf implementeren bij de eindgebruikers (onder C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile) om de VPN te gebruiken of hen de profiel-URL geven die moet worden ingevoerd in de Cisco Secure Client - AnyConnect VPN UI.

Global FQDN and Profile URL Globale FQDN en profiel URL

Verifiëren

Op dit moment moet uw RA VPN-configuratie klaar zijn voor testen.
Let op: de eerste keer dat de gebruikers verbinding maken, moeten ze het profiel-URL-adres krijgen of het xml-profiel vooraf implementeren op hun pc's onder C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile, de VPN-service opnieuw starten en ze moeten in het vervolgkeuzemenu de optie zien om verbinding te maken met dit VPN-profiel.

In dit voorbeeld geeft u het profiel-URL-adres aan de gebruiker voor de eerste verbindingspoging.

Voorafgaand aan de eerste verbinding:

Prior VPN Connection Eerdere VPN-verbinding

Voer uw referenties in en maak verbinding met de VPN:

Connected to VPN Verbonden met VPN

Nadat u de eerste keer verbinding hebt gemaakt, moet u in het vervolgkeuzemenu de optie zien om verbinding te maken met het VPN - Lab VPN-profiel:

After the First VPN Connection Na de eerste VPN-verbinding

Controleer in de externe toegangslogboeken dat de gebruiker verbinding kon maken:

Monitor > Log voor externe toegang

Logs in Cisco Secure Access

Probleemoplossing

Dit is de basis probleemoplossing die kan worden uitgevoerd voor een aantal veelvoorkomende problemen:

Azure

Zorg er in Azure voor dat de gebruikers zijn toegewezen aan de Enterprise-toepassing die is gemaakt voor de verificatie tegen Cisco Secure Access:

Home > Bedrijfstoepassingen > Cisco Secure Access RA VPN > Beheren > Gebruikers en groepen

Verify Assignment of Users Toewijzing van gebruikers verifiëren

Cisco Secure Access

Zorg er in Cisco Secure Access voor dat u de gebruikers hebt voorzien die verbinding mogen maken via RA VPN, en dat ook de gebruikers die zijn voorzien in Cisco Secure Access (onder gebruikers, groepen en eindpuntapparaten) overeenkomen met de gebruikers in Azure (de gebruikers die zijn toegewezen in de bedrijfstoepassing).

Verbinden > Gebruikers, groepen en eindpuntapparaten

Users in Cisco Secure Access Gebruikers in Cisco Secure Access

Controleer of de gebruiker het juiste XML-bestand op de pc heeft ontvangen of dat de gebruiker de profiel-URL heeft gekregen, zoals vermeld in de stap Verifiëren.

Verbinden > Eindgebruikersconnectiviteit > Virtueel particulier netwerk

Profile URL and .xml Profile Profiel URL en .xml profiel