Machinetunnel configureren op Cisco Secure Access

Downloadopties

  • PDF     (4.3 MB)
    Met Adobe Reader op diverse apparaten bekijken
  • ePub     (4.5 MB)
    Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
  • Mobi (Kindle)     (2.9 MB)
    Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken
Bijgewerkt:9 november 2026
Document-id:223194

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inleiding

In dit document wordt beschreven hoe u Secure Access kunt configureren als de VPN-gateway en hoe u verbindingen van Secure Client via de VPN-machinetunnel kunt accepteren.

Netwerkdiagram

Secure Access Network

Voorwaarden

  • Volledige beheerdersrol in beveiligde toegang
  • IP-pool voor gebruikers op Cisco Secure Access 
  • Ten minste één VPN-gebruikersprofiel geconfigureerd op Cisco Secure Access 

Vereisten

Aanbevolen wordt om kennis te hebben van deze onderwerpen:

  • OpenSSL
  • 509-certificaten

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

  • Cisco Secure Access
  • Cisco Secure Client 5.1.10
  • Windows 11
  • Windows Server 2019 - CA

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Een Secure Access VPN-machinetunnel zorgt voor connectiviteit met het bedrijfsnetwerk wanneer het clientsysteem wordt ingeschakeld, niet alleen wanneer de eindgebruiker een VPN-verbinding tot stand brengt. U kunt patchbeheer uitvoeren op out-of-the-office eindpunten, met name apparaten die zelden door de gebruiker via VPN zijn verbonden met het kantoornetwerk. Endpoint OS-aanmeldingsscripts die netwerkconnectiviteit van het bedrijf vereisen, profiteren ook van deze functie. Voor het maken van deze tunnel zonder gebruikersinteractie wordt op certificaten gebaseerde verificatie gebruikt.

Met de tunnel voor het systeem voor beveiligde toegang kunnen beheerders de Cisco Secure Client zonder tussenkomst van de gebruiker laten aansluiten voordat de gebruiker zich aanmeldt. Secure Access-machinetunnel wordt geactiveerd wanneer het eindpunt off-premises is en wordt losgekoppeld van een door de gebruiker geïnitieerde VPN. De Secure Access VPN-machinetunnel is transparant voor de eindgebruiker en verbreekt de verbinding automatisch wanneer de gebruiker een VPN start.

Werken aan machinetunnel 

De Secure Client VPN-agentservice wordt automatisch gestart bij het opstarten van het systeem. De Secure Client VPN-agent gebruikt het VPN-profiel om te detecteren dat de machinetunnelfunctie is ingeschakeld. Als de machinetunnelfunctie is ingeschakeld, start de agent de beheerclienttoepassing om een machinetunnelverbinding te starten. De beheerclienttoepassing gebruikt de hostvermelding uit het VPN-profiel om de verbinding te initiëren. Vervolgens wordt de VPN-tunnel zoals gebruikelijk ingesteld, met één uitzondering: er wordt geen software-update uitgevoerd tijdens een machinetunnelverbinding omdat de machinetunnel bedoeld is om transparant te zijn voor de gebruiker.

De gebruiker initieert een VPN-tunnel via de Secure Client, die de beëindiging van de machinetunnel activeert. Na het beëindigen van de machinetunnel gaat de tunnelinrichting van de gebruiker gewoon door. De gebruiker verbreekt de verbinding met de VPN-tunnel, waardoor de machinetunnel automatisch opnieuw wordt ingesteld.

Traffic Flow

Beperkingen

  • Gebruikersinteractie wordt niet ondersteund.
  • Certificaatgebaseerde verificatie via Machine Certificate Store (Windows) wordt alleen ondersteund.
  • De controle van het servercertificaat wordt streng uitgevoerd.
  • Een private proxy wordt niet ondersteund.
  • Een openbare proxy wordt niet ondersteund (ProxyNative-waarde wordt ondersteund op platforms waar de oorspronkelijke proxy-instellingen niet uit de browser worden opgehaald).
  • Secure Client Customization-scripts worden niet ondersteund

Configureren

Methode 1 - Machine Tunnel configureren met gebruiker: machine@sse.com 

Stap 1 - Algemene instellingen 

Configureer de algemene instellingen, inclusief het domein en de protocollen die de machinetunnel gebruikt.

1. Navigeer naar Verbinden > Eindgebruikersconnectiviteit > Virtual Private Network.

2. Navigeer naar VPN-profielen en configureer de instellingen voor de machinetunnel.

a. Klik op Instellingen en kies Machine Tunnel beheren in de vervolgkeuzelijst.

Create New Machine Tunnel

3. Voer het standaarddomein in.

4. De DNS-server die via de pagina Regio's en IP-groepen beheren is toegewezen, wordt ingesteld als de standaardserver. U kunt de standaard DNS-server accepteren, een andere DNS-server kiezen in de vervolgkeuzelijst of op + Toevoegen om een nieuw DNS-serverpaar toe te voegen. Als u een andere DNS-server selecteert of een nieuwe DNS-server toevoegt, wordt deze standaardserver overschreven.

5. Selecteer één IP-pool per regio in de vervolgkeuzelijst IP-groepen. VPN-profielen moeten in elke regio ten minste één IP-pool hebben toegewezen voor een geldige configuratie.

6. Selecteer het tunnelprotocol dat deze machinetunnel gebruikt:

  • TLS/DTLS
  • IPSec (IKEv2)
    Er moet ten minste één protocol worden geselecteerd.

7. Schakel desgewenst het Inclusief protocol in om het clientbypassprotocol af te dwingen.

1. Als het Client Bypass Protocol is ingeschakeld voor een IP-protocol en er geen adrespool is geconfigureerd voor dat protocol (met andere woorden, er is geen IP-adres voor dat protocol door de ASA aan de client toegewezen), wordt geen IP-verkeer dat dat protocol gebruikt, via de VPN-tunnel verzonden. Het wordt buiten de tunnel geplaatst.

2. Als het Client Bypass Protocol is uitgeschakeld en er geen adresgroep is geconfigureerd voor dat protocol, laat de client al het verkeer voor dat IP-protocol vallen zodra de VPN-tunnel is ingesteld.

Machine Tunnel General Settings

3. Klik op Volgende

Stap 2 - Verificatie voor machinecertificaat 

De machinetunnel is transparant voor de eindgebruiker en wordt automatisch verbroken wanneer de gebruiker een VPN-sessie start. Voor het maken van deze tunnel zonder gebruikersinteractie wordt op certificaten gebaseerde verificatie gebruikt:

1. Kies CA-certificaten in de lijst of klik op CA-certificaten uploaden.

2. Selecteer de certificaatgebaseerde verificatievelden. Raadpleeg voor meer informatie: Certificaatgebaseerde verificatievelden.

VPN Settings

3. Klik op Volgende

Stap 3 – Verkeerssturing (gesplitste tunnel)

Voor Traffic Steering (Split Tunnel) kunt u een machinetunnel configureren om een volledige tunnelverbinding met Secure Access te onderhouden, of configureren om een gesplitste tunnelverbinding te gebruiken om verkeer via de VPN alleen te leiden als dat nodig is. Voor meer informatie, zie Machinetunnelverkeer sturen.

1. Selecteer de tunnelmodus.

2. Afhankelijk van de selectie van de tunnelmodus kunt u uitzonderingen toevoegen.

3. Selecteer DNS-modus.

Traffic Steering and Split Tunnel

4. Klik op Volgende.

Stap 4 – Cisco Secure Client Configuration

U kunt een subset van Cisco Secure Client-instellingen wijzigen op basis van de behoeften van een bepaalde VPN-machinetunnel. Raadpleeg voor meer informatie: Beveiligde clientconfiguratie.

1. Verifieer de maximale transmissie-eenheid, de grootste grootte van het pakket dat zonder fragmentatie in de VPN-tunnel kan worden verzonden.

Client Settings

2. Clientinstellingen, raadpleeg de clientinstellingen voor de machinetunnel voor meer informatie.

Client Settings

3. Instellingen clientcertificaat, selecteer de opties dienovereenkomstig:

a. Windows Certificate Store Override: hiermee kan een beheerder een beveiligde client opdracht geven om certificaten te gebruiken in de Windows-systeemcertificaatopslag (Lokaal systeem) voor verificatie van het clientcertificaat. 

b. Automatische certificaatselectie: wanneer meerdere certificaatverificatie is geconfigureerd op de beveiligde gateway.

c. Certificate Pinning: CA-certificaat dat door de machinetunnel wordt gebruikt als machinecertificaat om apparaten te verifiëren.

d. Certificaatmatching: Als er geen certificaatmatchingscriteria zijn opgegeven, past Cisco Secure Client de certificaatmatchingsregels toe:

i. Sleutelgebruik: Digital_Signature

ii. Uitgebreid sleutelgebruik: Client Auth

        e. Distinguished Name: Specificeert Distinguished Names (DN's) voor exacte overeenkomende criteria bij het kiezen van acceptabele clientcertificaten. Wanneer u meerdere Distinguished Names toevoegt, wordt elk certificaat gecontroleerd aan de hand van alle vermeldingen en moeten alle vermeldingen overeenkomen.

Certificate Settings

4. Wijs het profiel van de machinetunnel toe aan een VPN-profiel van de gebruiker, klik op Opslaan en er is een optie om de VPN-profielen van de gebruiker te selecteren.

Profile Selection

5. Klik op Opslaan.

6. Controleer of het profiel van de machinetunnel is gekoppeld aan een VPN-gebruikersprofiel.

Profile Settings

Stap 5 - Controleer of de machine@sse.com-gebruiker aanwezig is in Cisco Secure Access 

1. Navigeer naar Verbinden > Gebruikers, groepen en eindpuntapparaten > Gebruikers.

uUers

2. Als de gebruiker van machine@sse.com niet aanwezig is, importeert u deze handmatig. Raadpleeg voor meer informatie: Handmatig importeren van gebruikers en groepen 

Stap 6 - Genereer een CA-ondertekend certificaat voor machine@sse.com 

1. Een certificaatondertekeningsaanvraag genereren:

   a. U kunt elke online CSR Generator-software of een openssl CLI gebruiken.

OpenSSL Req -NewKey RSA:2048 -nodes -keyout cert.key -out cert.csr

Generating RSA Private Key

2. Kopieer de CSR en genereer een machinecertificaat.

Certificate

Certificate Settings

3. Converteer het machinecertificaat naar PKCS12-indeling met behulp van de sleutel en het cert die in de vorige stappen (stap 1 en stap 2) zijn gegenereerd:

openssl pkcs12 -export -out Machine.p12 -in machine.crt -inkey cert.key

Openssl Commands

Stap 7 - Het machinecertificaat importeren op een testmachine 

1. Importeer het PKCS12-machinecertificaat onder lokaal of machinekantoor:

Certificate Details

Stap 8 - Verbinding maken met machinetunnel 

1. Verbinding maken met een gebruikerstunnel, hiermee wordt het te downloaden systeemxml-profiel geactiveerd.

Secure Client

Enrollment

2. Controleer de connectiviteit van de machinetunnel:

Routes

Logging

Methode 2 - Machinetunnel configureren met eindpuntcertificaat

Als u het primaire veld wilt verifiëren, kiest u het veld Certificaat dat de apparaatnaam (computernaam) bevat. Secure Access gebruikt de apparaatnaam als de machinetunnelidentificatie. De indeling van de computernaam moet overeenkomen met de indeling van de gekozen apparaatidentificatie

Ga door stap 1 tot en met stap 4 voor de configuratie van de machinetunnel. 

Stap 5 - Configureer AD Connector om eindpunten te importeren op de Cisco Secure Access 

Raadpleeg voor meer informatie: On-Perm Active Directory Integration.

Users

Stap 6 - Endpoint Devices Authentication configureren

1. Navigeer naar Verbinden > Gebruikers, groepen en eindpuntapparaten.

2. Klik op Configuratiebeheer.

Users and groups

 3. Klik onder Configuraties op Active Directory bewerken.

User Settings

4. Stel de eigenschap Endpoint Devices Authentication in op Hostname.

Authentication

5. Klik op Opslaan en opnieuw opstarten van AD Connector-services op de servers waarop deze zijn geïnstalleerd 

Stap 7 - Endpoint Certificate genereren en importeren 

1. Genereer CSR, open een CSR-generator of het OpenSSL-gereedschap.

2. Genereer een eindpuntcertificaat van de CA.

3. Converteer het .cert bestand naar PKCS12 formaat.

4. Importeer het PKCS12-certificaat in het eindpuntcertificaatarchief.

Certificate Template

Template Details

Stap 8 - Verbinding maken met machinetunnel 

1. Verbinding maken met een gebruikerstunnel, het activeert het downloaden van het xml-profiel van de machinetunnel.

Secure Client

Enrollment

2. Controleer de connectiviteit van de machinetunnel:

Routes

Remote Access Logs

Methode 3 - Machinetunnel configureren met gebruikerscertificaat

Als u het primaire veld wilt verifiëren, kiest u in dit geval het veld Certificaat dat de e-mail van de gebruiker of UPN bevat. Secure Access gebruikt de e-mail of UPN als de machinetunnelidentificatie. Het formaat van de e-mail of UPN moet overeenkomen met het formaat van de gekozen apparaat-id

Ga door stap 1 tot en met stap 4 voor de configuratie van de machinetunnel.

Stap 5 - Configureer AD Connector om gebruikers te importeren op de Cisco Secure Access 

Raadpleeg voor meer informatie: On-Perm Active Directory Integration.

User Details

Stap 6 - Gebruikersverificatie configureren

1. Navigeer naar Verbinden > Gebruikers, groepen en eindpuntapparaten.

2. Klik op Configuratiebeheer.

Users and groups

 3. Klik onder Configuraties op Active Directory bewerken.

User Settings

4. Stel de eigenschap Gebruikersverificatie in op E-mail.

User Authentication

5. Klik op Opslaan en start de AD Connector-services opnieuw op de servers waarop deze zijn geïnstalleerd.

Stap 7 - Endpoint Certificate genereren en importeren 

1. Genereer de CSR, open een CSR-generator of OpenSSL-tool.

2. Genereer een eindpuntcertificaat van CA.

3. Converteer het .cert bestand naar PKCS12 formaat.

4. Importeer het PKCS12-certificaat in het eindpuntcertificaatarchief.

Certificate Template

Certificate Template Details

Stap 8 - Verbinding maken met machinetunnel 

1. Verbinding maken met een gebruikerstunnel, het activeert het downloaden van het xml-profiel van de machinetunnel.

Secure Client

Enrollment

2. Controleer de connectiviteit van de machinetunnel:

Routes

Remote Access Logs

Problemen oplossen

Pak de DART-bundel uit en open de AnyConnectVPN-logs en analyseer voor de foutmeldingen: 

DARTBundle_0603_1656.zip\Cisco Secure Client\AnyConnect VPN\Logs

Revisiegeschiedenis

Revisie Publicatiedatum Opmerkingen
2.0
09-Nov-2026
Eerste vrijgave
1.0
08-Jul-2025
Eerste vrijgave
TAC Authored

Bijgedragen door Cisco-engineers

  • Jaikishan Yadav
    TAC

Was dit document nuttig?

FeedbackFeedback

Contact Cisco

Dit document is van toepassing op deze producten