Inleiding
In dit document worden de vereiste stappen beschreven voor het configureren van de ZTNA voor automatische inschrijving op basis van certificaten.
Voorwaarden
- Secure Client minimum versie 5.1.9.x
- Trusted Platform Module (TPM) voor Windows
- Secure Enclave coprocessor voor Apple apparaten
Vereisten
Cisco raadt kennis van de volgende onderwerpen aan:
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
- Windows 11 met TPM versie 2.0
- Secure Client versie 5.1.10.17 met ZTNA en DUO-module ingeschakeld.
- Microsoft Active Directory 2022
- OpenSSL-tool voor het genereren van certificaten
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Automatische inschrijving inschakelen op dashboard voor beveiligde toegang
De eerste stap bij het inschakelen van deze functie is het inschakelen van de functie voor automatische inschrijving voor beveiligde toegang, die het volgende omvat:
1. Navigeer naar Dashboard -> Verbinden -> Connectiviteit voor eindgebruikers -> Geen vertrouwen
2. Klik op de optie Beheren.

3. Gebruik van certificaten inschakelen.
4. Upload CA-certificaat door het te downloaden van uw lokale certificeringsinstantie.
5. Download de inschrijvingsconfiguratie en plaats deze in de mappen op basis van het besturingssysteem.
- Windows: C:\ProgramData\Cisco\Cisco Secure Client\ZTA\enrollment_choices
- macOS: /opt/cisco/secureclient/zta/enrollment_choices
6. Zorg ervoor dat u uw instellingen opslaat zodra deze zijn voltooid.

Certificaatsjabloon en installatie
Veilige toegang vereist de volgende verplichte certificaatvelden:
- Alternatieve naam van het onderwerp (SAN) om het e-mailadres van de klacht van de gebruiker RFC-822 of de naam van het gebruikersbeginsel (UPN) op te nemen
Voorbeeld:
Optie 1: e-mail die voldoet aan RFC822
E-mail.1 = username@domain.local
Optie 2: (alternatief): UPN (Microsoft-specifiek)
otherName: 1.3.6.1.4.1.311.20.2.3; UTF8:username@domain.local
In dit voorbeeld gebruiken we de sjabloon voor gebruikerscertificaten in Microsoft AD om het certificaat te genereren.
Stap 1: Navigeer naar Microsoft AD en open Certificate Manager
Stap 2: Open Run en voer Microsoft Management Console (mmc) in

Stap 3: Klik op Bestand en voeg Snap-in toe/verwijder
Stap 4: Certificaatsjablonen toevoegen
Stap 5: Gebruikerscertificaat dupliceren

Stap 6: Configureer de instellingen zoals beschreven
1. Nieuwe naam sjabloon: ztna-client-enroll onder (Algemeen) tabblad.
2. Selecteer (Leveren in het verzoek) op het tabblad (Onderwerpnaam).
Opmerking: Dit zorgt ervoor dat de opties die worden geboden door de openssl-sjabloon, zoals alternatieve naam voor service (SAN), worden geaccepteerd
Stap 7: Klik op OK om de nieuwe template op te slaan
Stap 8: Voeg de nieuwe template toe aan de lijst met advertentiesjablonen door te doen:
1. Start certsrv.msc
2. Klik met de rechtermuisknop op Certificaatsjablonen en selecteer Nieuw -> certificaatsjabloon om uit te geven
3. Selecteer uw nieuw gemaakte sjabloon (ztna-client-enroll)

Certificaat maken met OpenSSL
Stap 1: san.cnf-bestand met inhoud maken
[ req ]
default_bits = 2048
prompt = no
default_md = sha256
distinguished_name = dn
req_extensions = req_ext
[ dn ]
C = US
ST = Texas
L = Austin
O = exampleusername
OU = IT
CN = exampleusername
[ req_ext ]
subjectAltName = @alt_names
[ alt_names ]
# Option 1: RFC822-compliant email
email.1 = user@domain.local
# Option 2 (alternative): UPN (Microsoft-specific)
#otherName:1.3.6.1.4.1.311.20.2.3;UTF8:user@domain.local
Stap 2: certificaat maken met behulp van de sjabloon
openssl genrsa -out user.key 2048
openssl req -new -key user.key -out user.csr
openssl req -new -key user.key -out user.csr -config san.cnf
Gebruikerscertificaat ondertekenen met CA ZTNA-sjabloon
Stap 1: Kopieer de inhoud van het bestand user.csr
Stap 2: ga naar uw lokale AD ondertekening autoriteit (https: http://<ip-address>/certsrv/)
Stap 3: Klik op Certificaat aanvragen -> Geavanceerd certificaatverzoek -> selecteer ztna-client-enroll template

Stap 4: Download het certificaat in Base64-formaat en installeer het in het persoonlijke vertrouwde winkelcertificaat van de gebruiker.
Stap 5: Bevestig dat de juiste informatie in het certificaat aanwezig is

Stap 6: Start uw ZTNA-module opnieuw op zodat de inschrijving kan beginnen
Verifiëren
Gebruik deze sectie om te controleren of uw configuratie goed werkt.
Stap 1: ZTNA-modulebericht bij het configureren van het inschrijvingskeuzebestand:

Stap 2: Nadat u de ZTNA-module voor de eerste keer opnieuw hebt gestart, kunt u zien dat u automatisch bent ingeschreven voor ZTNA

Stap 3: Controleer de juiste gebruiker die wordt weergegeven in de zoekactiviteit op basis van de SAN-informatie

Stap 4: Bevestig dat de juiste informatie in het certificaat aanwezig is

Problemen oplossen
Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.
Stap 1: Bevestig dat de juiste informatie in het certificaat aanwezig is en dat de juiste informatie in het juiste certificaatarchief is geïnstalleerd.

Stap 2: Bevestig dat inschrijving niet tekortschiet op certificaatvereisten met behulp van DART
Stap 3: Bevestig dat u in staat bent om uw FTD-buiteninterface goed op te lossen als UZTNA wordt gebruikt.
Veelvoorkomende fout:
2025-06-16 05:44:45.609237 csc_zta_agent[0x00001638, 0x00000e58] T/ NetworkTransportStateTracker.cpp:110 NetworkTransportStateTracker::transitionState() transitoned state: Initialized->Connecting
2025-06-16 05:44:45.609237 csc_zta_agent[0x00001638, 0x00000e58] T/ AppSocketTransport.cpp:231 AppSocketTransport::OnNextTransportStateChange() tcp:51470__20.20.20.150 05411A30 stream=189 nextTransportState: Connecting
2025-06-16 05:44:45.609237 csc_zta_agent[0x00001638, 0x00000e58] T/ NetworkTransportStateTracker.cpp:110 NetworkTransportStateTracker::transitionState() transitoned state: Initialized->Connecting
2025-06-16 05:44:45.609237 csc_zta_agent[0x00001638, 0x00000e58] I/ TcpTransport.cpp:114 TcpTransport::ConnectTransport() headendInfo=TCP destination [ftd.marvel.local]:443
2025-06-16 05:44:45.609237 csc_zta_agent[0x00001638, 0x00000e58] T/ NetworkTransportStateTracker.cpp:110 NetworkTransportStateTracker::transitionState() transitoned state: Initialized->Connecting
2025-06-16 05:44:45.610238 csc_zta_agent[0x00001638, 0x00000e58] T/ TcpTransport.cpp:150 TcpTransport::ConnectTransport() resolving dns for ftd.marvel.local
2025-06-16 05:44:45.610238 csc_zta_agent[0x00001638, 0x00000e58] E/ TcpTransport.cpp:166 TcpTransport::handleDnsResolveComplete() dns resolve error No such host is known
Gerelateerde informatie