Instalação automatizada do AnyConnect NAM com conversão de perfil via script de arquivo em lote

Introduction

Este documento descreve em detalhes as etapas necessárias para instalar o agente Cisco Anyconnect NAM com a conversão de perfis via arquivo de lote (.bat). O arquivo de lote pode ser executado localmente no sistema ou remotamente para todas as máquinas por meio do servidor SCCM em uma implantação em larga escala. O Cisco ISE pode provisionar esse software, mas exige a interação do usuário final e privilégios de instalação.

O uso do script de arquivo de Lote traz vários benefícios:

• Toda a conversão de perfil sem fio.
• O módulo VPN pode ser desabilitado se não for desejado.
• Reduza o tempo e o custo de implementação manual executando o arquivo em lote e instalando os módulos do AnyConnect, tudo de uma só vez.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Sistema operacional Windows. O Network Access Manager não é suportado no Mac OS X ou Linux. 
• O sistema deve ter um armazenamento mínimo de 50 MB para os pacotes do AnyConnect.
• O serviço WLAN (WLAN AutoConfig) deve estar em execução nos sistemas.

Note: A conversão não é feita se já existir um arquivo de configuração XML do Network Access Manager (userConfiguration.xml).

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Windows 7
• AnyConnect 4.6.0.3.049

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

1. Todo o pacote do Cisco Anyconnect deve ser baixado do site da Cisco e extraído. Os arquivos msi necessários e o arquivo configuration.xml devem estar presentes no local de onde o arquivo de lote é executado.

      Esses arquivos devem ser copiados no local C:\cisco  :

      anyconnect-win-4.6.03049-core-vpn-preDeployment-k9.msi

      anyconnect-win-4.6.03049-nam-preDeployment-k9.msi

      configuration.xml

   2. O módulo Network Access Manager pode ser configurado para converter alguns perfis sem fio existentes do Windows 7 ou posterior para o formato de perfil do Network Access Manager quando o módulo estiver instalado no sistema cliente pela primeira vez. Redes de infraestrutura que correspondem a esses critérios que podem ser convertidas:

• Abrir

• WEP estático

• WPA/WPA2 pessoal

• Apenas perfis de rede de usuário Wi-Fi nativo não GPO são convertidos.
  
  

  Note: Para perfis WPA2 Enterprise, um perfil com o mesmo nome deve ser criado através do Editor de perfis do Network Access Manager no arquivo configuration.xml

  3.  O sistema é reiniciado após a instalação e isso já deve ser notificado aos usuários.

Configurar

Criação do arquivo de lote

Neste documento, o local presumido dos arquivos msi do Anyconnect, configuration.xml é C:\cisco. Esses comandos ou o arquivo de lote com esses comandos devem ser executados do mesmo local.

• cd C:\cisco

A instalação do módulo VPN principal é necessária para que o módulo NAM seja instalado. Este comando instala o módulo VPN principal e oculta o bloco do módulo VPN.

• msiexec /package anyconnect-win-4.6.04054-core-vpn-preDeployment-k9.msi /norestart /passive PRE_DEPLOY_DISABLE_VPN=1  

É necessário um tempo limite para que a instalação do módulo seja concluída. Esse comando induz um tempo limite de 15 minutos.

• timeout /t 15  

Este comando instala o módulo NAM com a conversão de perfil ativada.

• msiexec /i anyconnect-win-4.6.04054-nam-preDeployment-k9.msi PROFILE_CONVERSION=1 /norestart /passive

É necessário um tempo limite para que a instalação do módulo seja concluída. Esse comando induz um tempo limite de 15 minutos.

• timeout /t 15

Este comando copia o perfil configuration.xml criado com o editor do perfil NAM para o local necessário.

• xcopy configuration.xml C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Network Access Manager\newConfigFiles

Esse comando indica que a instalação e a conversão necessárias estão completas e notifica que uma reinicialização é iniciada em 2 minutos.

• echo "Sua máquina será reinicializada em 2 minutos. Salve seu trabalho" 

Este comando inicia uma reinicialização do sistema operacional Windows em 2 minutos

• shutdown -r -t 120

Note: Todos esses comandos ou o arquivo de lote com esses comandos devem ser executados com privilégios administrativos e na mesma ordem.

Procedimento do usuário final do Anyconnect

1. Quando o agente do Anyconnect é instalado na máquina quando a máquina é reiniciada, o ícone do Anyconnect é exibido e o usuário é conectado ao SSID preferencial na lista.

2.  Um deles pode se conectar a outros SSIDs no menu suspenso fornecido na IU do módulo AnyConnect NAM.

3. Para visualizar as redes salvas, clique no ícone de lista fornecido na interface do usuário do módulo NAM e clique em Gerenciar redes, como mostrado na imagem.

4. As conexões com qualquer rede fornecida pelos adaptadores gerenciados pelo módulo AnyConnect NAM devem ser feitas do AnyConnect NAM.

   

Exemplo: Para se conectar a uma nova conexão WiFi Mnason-mob-new, selecione a rede, uma tela pop-up é exibida para a chave. Digite a senha do wifi no campo Key para conectar-se à nova rede.

Additional Information

O ícone da bandeja do requerente nativo pode confundir os usuários para se conectarem a uma rede, pois o NAM deve ser usado e não o requerente nativo. Essas alterações podem ser feitas no registro do Windows para ocultar o ícone da bandeja de conectividade de rede:

1. Navegue até HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer.
2. Edite o valor de REG_DWORD chamado HideSCANetwork para 1 (hexadecimal) se presente ou crie um se não estiver presente.
3. Reinicie o sistema.

Note: Esta alteração no registro foi testada com o Windows 7 e o Windows 10.

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

Após as alterações no registro e a reinicialização, a bandeja de conectividade de rede deve estar oculta.