Secure Client Certificate Auth configureren op FTD beheerd door FMC

Downloadopties

  • PDF     (2.5 MB)
    Met Adobe Reader op diverse apparaten bekijken
  • ePub     (2.4 MB)
    Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
  • Mobi (Kindle)     (2.7 MB)
    Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken
Bijgewerkt:14 augustus 2026
Document-id:221839

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inleiding

In dit document wordt beschreven hoe externe VPN-toegang kan worden geconfigureerd op FTD die door FMC wordt beheerd met certificaatverificatie.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

  • VCC
  • Kennis van authenticatie voor Remote Access VPN
  • Handmatige certificaatinschrijving en basiskennis van Secure Sockets Layer (SSL)
  • Certificaatautoriteit van derden (CA), zoals Entrust, Geotrust, GoDaddy, Thawte en VeriSign

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende softwareversies:

  • FMC versie 7.4.1
  • Secure Client versie 5.0.05040
  • Secure Firepower Threat Defense versie 7.4.1
  • Microsoft Windows Server 2019 als CA-server

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configureren

Netwerkdiagram

Network DiagramNetwerkdiagram

Configuraties

 Een certificaat maken/importeren dat wordt gebruikt voor serververificatie

note-icon

Opmerking: op FMC is een certificeringsinstantie (CA) vereist voordat u de CSR kunt genereren. Als de CSR wordt gegenereerd vanuit een externe bron (OpenSSL of een derde partij), mislukt de handmatige methode en moet het PKCS12-certificaatformaat worden gebruikt.

1. Navigeer naar Apparaten > Certificaten en klik op Toevoegen. Kies Apparaat en klik op het plusteken (+) onder Inschrijving selecteren.

Add Cert EnrollmentCert-inschrijving toevoegen

2. Onder CA-informatie kiest u het inschrijvingstype als handleiding en plakt u het CA-certificaat dat wordt gebruikt om de CSR te ondertekenen.

Add CA InformationCA-gegevens toevoegen

3. Kies Controle voor CA-markering overslaan in de basisbeperkingen van het CA-certificaat as shown in the prior image.

4. Vul onder Certificaatparameters de gegevens van de onderwerpnaam in.

Add Certificate ParametersCertificaatparameters toevoegen

5. Onder Sleutel, kies het sleuteltype als RSA met een sleutelnaam en -grootte. Klik op de knop .Save

note-icon

Opmerking: voor het type RSA-sleutel is de minimale sleutelgrootte 2048 bits.

Add RSA keyRSA-sleutel toevoegen

6. Onder Inschrijving cert, kiest u het vertrouwenspunt in het vervolgkeuzemenu, dat zojuist is gemaakt en klikt u op Toevoegen.

Add New CertificateNieuw certificaat toevoegen

7. Klik op ID en klik vervolgens op Ja om de CSR te genereren.

Generate CSRCSR genereren

8. Kopieer de CSR en zorg ervoor dat deze door de CA wordt ondertekend. Zodra het identiteitscertificaat is uitgegeven door de CA, importeert u het door te klikken op Browse Identity Certificate en klik op Import.

Import ID CertificateImporteer-ID-certificaat

note-icon

Opmerking: Als de afgifte van het ID-certificaat tijd kost, kunt u stap 7 later herhalen. Dit genereert dezelfde CSR en u kunt het ID-certificaat importeren.

Een vertrouwde/interne CA-certificaat toevoegen

1. Navigeer naar Apparaten > Certificaten en klik op Toevoegen.

2. Kies Apparaat en klik op het plusteken (+) onder Inschrijving selecteren.

3. In dit voorbeeld wordt auth-risaggar-ca gebruikt om de identiteits-/gebruikerscertificaten af te geven.

auth-risaggar-caAuth-Risaggar-CA

4. Voer een naam van een vertrouwenspunt in en kies Handleiding als het inschrijvingstype onder CA-informatie.

5. Controleer alleen CA en plak het vertrouwde/interne CA-certificaat in pem-formaat.

6. Controleer of de CA-markering is overgeslagen in de basisvereisten van het CA-certificaat en klik op Save.

Add TrustpointTrustpoint toevoegen

7. Kies onder Cert Enrollment het vertrouwenspunt in het vervolgkeuzemenu, dat zojuist is gemaakt en klik op Add.

Add Internal CAInterne CA toevoegen

8. Het eerder toegevoegde certificaat wordt weergegeven als:

Added CertificateToegevoegd certificaat

Adresgroep voor VPN-gebruikers configureren

1. Navigeer naar Objecten > Objectbeheer > Adresgroepen > IPv4-groepen.

2. Voer de naam en het IPv4-adresbereik in met een masker.

Add IPv4 PoolIPv4-pool toevoegen

Beveiligde clientimages uploaden

1. Download webimplementatiebeveiligde clientimages per besturingssysteem vanaf de site Cisco Software.

2. Navigeer naar Objecten > Objectbeheer > VPN > Veilig clientbestand > Veilig clientbestand toevoegen.

3. Voer de naam in en kies het bestand met de beveiligde client op de schijf.

4. Kies het bestandstype als Secure Client Image en klik op Opslaan.

Add Secure Client ImageVeilig clientimage toevoegen

XML-profiel maken en uploaden

1. Download en installeer de Secure Client Profile Editor van de Cisco Software-site.

2. Maak een nieuw profiel en kies Alles in het keuzemenu Clientcertificaatselectie. Dit regelt vooral welk certificaat wordt opgeslagen en welk certificaat Secure Client kan gebruiken om te baseren op wat is opgeslagen en om certificaten te lezen.

Twee andere beschikbare opties zijn:

  • Machine: Secure Client is beperkt tot het opzoeken van certificaten in het Windows-archief voor lokale systeemcertificaten.
  • Gebruiker: Secure Client is beperkt tot het opzoeken van certificaten in de lokale Windows-winkel voor gebruikerscertificaten.

Certificaat Winkeloverschrijving instellen als true.

Hiermee kan een beheerder Secure Client opdracht geven om certificaten te gebruiken in het Windows-systeem (lokaal systeem) certificaatarchief voor clientcertificaatverificatie. Certificate Store Override is alleen van toepassing op SSL, waar de verbinding wordt geïnitieerd, standaard in het gebruikersinterface-proces. Wanneer u IPSec/IKEv2 gebruikt, is deze functie in het profiel voor beveiligde clients niet van toepassing.

Add Preferences - Part 1Voorkeuren toevoegen (deel 1)

3. (Optioneel) Schakel de optie Automatische certificaatselectie uitschakelen uit, omdat de vraag om het verificatiecertificaat te kiezen wordt vermeden.

Add Preferences - Part 2Voorkeuren toevoegen (deel 2)

4. Maak een Server List Entry voor het instellen van een profiel in Secure Client VPN door het verstrekken van groep-alias en groep-url onder de Serverlijst en sla het XML-profiel op.

Add Server ListServerlijst toevoegen

5. Het XML-profiel is klaar voor gebruik.

XML ProfileXML-profiel

De locatie van XML-profielen voor verschillende besturingssystemen:

  • Linux - /opt/cisco/anyconnect/profiel
  • MacOS - /opt/cisco/anyconnect/profiel
  • Windows - C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profiel

6. Navigeer naar Objecten > Objectbeheer > VPN > Veilig clientbestand > Veilig clientprofiel toevoegen.

7. Voer de naam van het bestand in en klik op Bladeren om het XML-profiel te kiezen. Klik op de knop .Save

Add Secure Client VPN ProfileSecure Client VPN-profiel toevoegen

VPN-configuratie voor externe toegang

1. Maak een ACL om toegang tot interne bronnen mogelijk te maken.

2. Navigeer naar Objecten > Objectbeheer > Toegangslijst > Standaard en klik op Standaardtoegangslijst toevoegen.

Add Standard ACLStandaard ACL toevoegen

note-icon

Opmerking: deze ACL wordt door Secure Client gebruikt om veilige routes aan interne bronnen toe te voegen.

3. Navigeer naar Apparaten > VPN > Externe toegang en klik op Toevoegen.

4. Voer de naam van het profiel in, kies het FTD-apparaat en klik op Volgende.

Add Profile NameProfielnaam toevoegen

5. Voer de naam van het verbindingsprofiel in en kies de verificatiemethode als clientcertificaat alleen onder Authenticatie, autorisatie en boekhouding (AAA).

Select Authentication MethodVerificatiemethode selecteren

6. Klik op IP-adresgroepen gebruiken onder Client Address Assignment en kies de IPv4-adresgroep die eerder is gemaakt.

Select Client Address AssignmentToewijzing van clientadres selecteren

7. Bewerk het groepsbeleid.

Edit Group PolicyGroepsbeleid bewerken

8. Navigeer naar Algemeen > Gesplitste tunnel, kies hieronder opgegeven tunnelnetwerken en vervolgens Standaardtoegangslijst onder Type Netwerklijst voor gesplitste tunnel.

9. Kies de ACL die eerder is gemaakt.

Add Split TunnelingGesplitste tunneling toevoegen

10. Navigeer naar Secure Client > Profile, kies het clientprofiel en klik op Save.

Add Secure Client ProfileVeilig clientprofiel toevoegen

11. Klik op Next, selecteer Secure Client Image en klik opNext.

Add Secure Client ImageVeilig clientimage toevoegen

12. Kies de netwerkinterface voor VPN-toegang, kies de Device Certificates en controleer sysopt permit-vpn en klik opNext.

Add Access Control for VPN TrafficToegangscontrole voor VPN-verkeer toevoegen

13. Bekijk alle configuraties en klik op Voltooien.

Remote Access VPN Policy ConfigurationConfiguratie van VPN-beleid voor externe toegang

14. Nadat de eerste installatie van Remote Access VPN is voltooid, bewerkt u het gemaakte verbindingsprofiel en navigeert u naar Aliassen.

15. Configureer groepsalias door op het pluspictogram (+) te klikken.

Edit Group AliasGroepsalias bewerken

16. Configureer de group-url door op het pluspictogram (+) te klikken. Gebruik dezelfde groep-URL die eerder is geconfigureerd in het clientprofiel.

Edit Group URLGroep-URL bewerken

Stap 17. Navigeer naar Access Interfaces. Kies de Trustpoint-interface en het SSL Global Identity Certificate onder de SSL-instellingen.

Edit Access InterfacesToegangsinterfaces bewerken

18. Klik op Opslaan en implementeer de wijzigingen.

Verifiëren

Gebruik dit gedeelte om te bevestigen dat de configuratie goed werkt.

1. Op de beveiligde client-pc moet het certificaat zijn geïnstalleerd met een geldige datum, het onderwerp en het uitgebreide sleutelgebruik (EKU) op de pc van de gebruiker. Dit certificaat moet worden afgegeven door de CA waarvan het certificaat op FTD is geïnstalleerd, zoals eerder is weergegeven. In het volgende voorbeeld wordt het identiteits- of gebruikerscertificaat uitgegeven door auth-risaggar-ca.

Certificate HighlightsHoogtepunten certificaat

note-icon

Opmerking: het clientcertificaat moet de EKU voor clientverificatie hebben.

2. De beveiligde client moet de verbinding tot stand brengen.

Successful Secure Client ConnectionSuccesvolle beveiligde clientverbinding

3. Voer de opdracht show vpn-sessionb anyconnect uit om de verbindingsgegevens van de actieve gebruiker onder de gebruikte tunnelgroep te bevestigen.

firepower# show vpn-sessiondb anyconnect

Session Type: AnyConnect

Username     : dolljain.cisco.com     Index        : 8
Assigned IP  : 10.20.20.1             Public IP    : 72.163.X.X
Protocol     : AnyConnect-Parent SSL-Tunnel
License      : AnyConnect Premium
Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES-GCM-128
Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA256
Bytes Tx     : 14402                  Bytes Rx     : 9652
Group Policy : DfltGrpPolicy          Tunnel Group : RAVPN-CertAuth
Login Time   : 08:32:22 UTC Mon Mar 18 2024
Duration     : 0h:03m:59s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                    VLAN         : none
Audt Sess ID : 0ac5de050000800065f7fc16
Security Grp : none                   Tunnel Zone  : 0

Problemen oplossen

In dit gedeelte vindt u informatie om problemen met uw configuratie op te lossen.

1. Fouten kunnen worden uitgevoerd vanuit de diagnostische CLI van het FTD:

debug crypto ca 14
debug webvpn anyconnect 255
debug crypto ike-common 255

2. Raadpleeg de handleiding Problemen oplossen met Cisco Secure Client VPN Common Problems voor aanvullende hulp.

Revisiegeschiedenis

Revisie Publicatiedatum Opmerkingen
4.0
14-Aug-2026
Bijgewerkte titel, inleiding, spelling, grammatica, ingevoegde horizontale lijnen naar afzonderlijke secties voor leesbaarheid.
3.0
26-Mar-2025
De afbeelding voor ID Cert bijgewerkt
2.0
24-Jun-2024
Bijgewerkte configuratiestappen voor meer duidelijkheid.
1.0
01-Apr-2024
Eerste vrijgave
TAC Authored

Bijgedragen door Cisco-engineers

  • Dolly Jain
    Cisco TAC Engineer
  • Rishabh Aggarwal
    Cisco TAC Engineer

Was dit document nuttig?

FeedbackFeedback

Contact Cisco

Dit document is van toepassing op deze producten