Contents

Introduction

Implementação

Licenciamento

Guias de início rápido da configuração inicial do AnyConnect

Guias completos de configuração

Guias de instalação de certificado

Problemas de desempenho e escalabilidade

Sintomas e identificação de problemas

Alto uso de CPU

Máximo de conexões VPN

Referências da folha de dados

Mitigações em potencial

Habilitação do encapuslamento dividido

Implementar balanceamento de carga de VPN (somente ASA)

Otimização da configuração

Seleção de protocolo de túnel

Aplicar por túnel QoS (somente FTD)

Implementar o Crypto Engine Accelerator Bias (somente ASA)

FAQ

Licenciamento

Configuração

Monitoramento

Troubleshooting

Obtendo ajuda adicional

Referências

Introduction

À medida que países em todo o mundo estão lutando contra a pandemia global COVID-19, cada vez mais empresas estão implementando políticas de trabalho remoto para evitar a propagação da doença. Como resultado, há um aumento na demanda por VPN de acesso remoto (RAVPN) para fornecer aos funcionários acesso aos recursos internos da empresa. Este artigo fornece referências a guias de configuração para configurar rapidamente RAVPN na rede ou identificar e tratar de problemas relacionados ao desempenho ou escalamento.

Implementação

A seção a seguir detalha a configuração e as implantações de acesso remoto do AnyConnect nas várias plataformas Cisco, bem como os guias de instalação de certificado, pois a implantação de certificado é parte integrante do acesso remoto da Cisco devido aos requisitos de autenticação de certificado para RAVPN.

Licenciamento

As licenças são necessárias para encerrar conexões RAVPN em um dispositivo. As plataformas ASA suportarão apenas 2 pontos de VPN sem licença. Os FTDs não permitirão que a configuração do AnyConnect seja implantada no dispositivo sem licenciamento. Devido à epidemia de COVID-19, a Cisco está oferecendo licenças temporárias gratuitas para ajudar os usuários na implementação de RAVPN em seus dispositivos Cisco. Mais informações sobre isso podem ser encontradas: Obtendo uma licença de emergência COVID-19 AnyConnect

Guias de início rápido da configuração inicial do AnyConnect

Siga estes guias de início rápido para implementar o AnyConnect Remote Access com as configurações mais comuns:

- Configurar o AnyConnect Secure Mobility Client com túnel dividido em um ASA

- Configuração de VPN de acesso remoto do AnyConnect no FTD

- Configuração inicial do AnyConnect para FTD gerenciada pelo FMC (Vídeo)

Para obter os guias completos de configuração do produto, consulte a seguir.

Guias completos de configuração

ASA:

- configuração ASA ASDM

- Configuração do ASA via CLI

DTF:

- FTD gerenciado pelo FDM

- FTD gerenciado pela FMC

IOS/IOS-XE:

- Roteador IOS para SSLVPN

- Roteador IOS-XE para VPN SSL (somente CSR)

- Roteador IOS/IOS-XE para VPN IKEv2

Guias de instalação de certificado

- ASA

- FTD FDM

- FTD FMC

- IOS/IOS-XE

Problemas de desempenho e escalabilidade

Com o aumento significativo do uso de RAVPN, os usuários do AnyConnect podem enfrentar problemas de desempenho. Veja a seguir como identificar esses problemas e estratégias de mitigação para solucioná-los.

Sintomas e identificação de problemas

Alto uso de CPU

A utilização da CPU afeta diretamente o desempenho dos usuários de VPN. A utilização da CPU aumentará à medida que mais tráfego criptografado ou descriptografado for manipulado pelo dispositivo. O dispositivo pode experimentar uma CPU alta quando a plataforma se aproxima do throughput máximo de VPN que pode suportar. É necessário determinar se a alta utilização da CPU é devido ao excesso de assinaturas do dispositivo ou a outro problema.

Para verificar se o dispositivo está com CPU alta, sugere-se executar os seguintes comandos:

show process cpu-usage non-zero

show cpu usage

Saída de exemplo:

asa# show processes cpu-usage non-zero

PC         Thread       5Sec     1Min     5Min   Process

0x00000000019da592   0x00007fffd808b040     0.0%     0.0%     0.5%   Logger

0x0000000000844596   0x00007fffd807bd60     0.0%     0.0%     0.1%   CP Processing

0x0000000000c0dc8c   0x00007fffd8074960     0.1%     0.1%     0.1%   ARP Thread

-          -        43.8%    43.8%    40.3%   DATAPATH-0-2209

-          -        43.9%    43.8%    40.3%   DATAPATH-1-2210

asa# show cpu usage

CPU utilization for 5 seconds = 88%; 1 minute: 88%; 5 minutes: 82%

No exemplo acima, observa-se que o DATAPATH-0 e o DATAPATH-1 estão consumindo 87,7% da utilização total da CPU. Nesse caso, o ASA está com excesso de assinaturas e é necessário determinar se esse sintoma é devido à grande quantidade de tráfego criptografado e descriptografado. Isso pode ser aferido em relação ao valor de rendimento de VPN documentado na ficha técnica dessa plataforma.

Para calcular a quantidade total de tráfego VPN que passa pelo dispositivo por segundo, podemos adicionar os bytes de entrada e bytes de saída na seção Estatísticas globais encontrada no comando show crypto accelerator statistics. Em um ASA ou FTD, limpe a saída show crypto accelerator statistics com o comando clear crypto accelerator statistics. Aguarde um certo tempo e execute o comando: show crypto accelerator statistics como mostrado no seguinte:

asa# show crypto accelerator statistics

Crypto Accelerator Status

-------------------------

[Capability]

Supports hardware crypto: True

Supports modular hardware crypto: False

Max accelerators: 2

Max crypto throughput: 1000 Mbps

Max crypto connections: 5000

[Global Statistics]

Number of active accelerators: 2

Number of non-operational accelerators: 0

Input packets: 257353

Input bytes: 271730225                          <----------------

Output packets: 2740

Output error packets: 0

Output bytes: 57793                             <----------------

[…]

Tire alguns instantâneos em intervalos específicos e obtenha um throughput médio em bytes que pode ser convertido em bits por segundo (bps). A fórmula para fazer isso é:

No exemplo anterior, um comando clear crypto accelerator statistics é emitido no tempo 0 segundos. 10 segundos depois, o comando show crypto accelerator statistics foi emitido para obter o total de bytes no intervalo de 10 segundos. Esses valores são então usados para calcular um bps de 217 Mbps que foi processado em um intervalo de 10 segundos. Vários snapshots podem ser necessários para obter uma média mais precisa.

Observe que esses valores aumentarão para todo o tráfego criptografado/descriptografado (HTTPS, SSL, IPsec, SSH, etc.). Podemos usar esse valor para determinar o throughput médio da VPN e compará-lo com a ficha técnica. Se o throughput médio for aproximadamente a mesma quantidade vista na folha de dados da plataforma, o dispositivo está sendo sobrescrito por tráfego criptografado e descriptografado.

Além disso, esse método não pode ser usado para determinar o rendimento de VPN em plataformas firepower 2100, pois os contadores não incrementam o tráfego de VPN. Isso está sendo rastreado no CSCvt46830 .

Máximo de conexões VPN

Ao atingir o número máximo de conexões VPN, os usuários podem experimentar períodos de interrupção quando não conseguem se conectar. Embora a ativação da licença Plus ou Apex do AnyConnect desbloqueie o número máximo de peers VPN, se esse máximo for atingido, nenhum usuário adicional será permitido no dispositivo.

Para verificar a quantidade máxima de conexões VPN disponíveis no dispositivo, verifique a saída de show vpn-sessiondb:

asa# show vpn-sessiondb

---------------------------------------------------------------------------

VPN Session Summary

---------------------------------------------------------------------------

Active : Cumulative : Peak Concur : Inactive

----------------------------------------------

AnyConnect Client            :     10 :        218 :          11 :        0

SSL/TLS/DTLS               :     10 :        218 :          11 :        0

Clientless VPN               :      0 :         73 :           4

Browser                    :      0 :         73 :           4

---------------------------------------------------------------------------

Total Active and Inactive    :     10             Total Cumulative :    291

Device Total VPN Capacity    :    250

Device Load                  :     4%

---------------------------------------------------------------------------

---------------------------------------------------------------------------

Tunnels Summary

---------------------------------------------------------------------------

Active : Cumulative : Peak Concurrent

----------------------------------------------

Clientless                   :      0 :         73 :               4

AnyConnect-Parent            :     10 :        218 :              11

SSL-Tunnel                   :     10 :         77 :              10

DTLS-Tunnel                  :     10 :         65 :              10

---------------------------------------------------------------------------

Totals                       :     30 :        433

---------------------------------------------------------------------------

Para determinar a quantidade total suportada de usuários pela plataforma, consulte a ficha técnica do dispositivo abaixo.

Se os usuários de VPN não puderem se conectar e você tiver verificado que o dispositivo não está atingindo o número máximo de usuários de VPN, procure assistência adicional do TAC.

Referências da folha de dados

As seguintes datasheets destacam o número máximo de usuários VPN suportados por uma plataforma e o throughput máximo de VPN com base em testes. Espera-se que o IKEv2 e o DTLS AnyConnect tenham um rendimento total (agregado) semelhante ao rendimento de VPN IPsec listado em cada seção.

- ASAv

- ASA 5500

- ASA 5585

- Firepower 1000

- Firepower 2100

- Firepower 4100

- Firepower 9300

Mitigações em potencial

Habilitação do encapuslamento dividido

Por padrão, as políticas de grupo no ASA e no FTD implementarão o túnel. Isso enviará todo o tráfego gerado por clientes RA pela VPN para ser processado pelo headend. Como a criptografia e descriptografia de pacotes estão diretamente relacionadas à utilização da CPU, é importante garantir que somente o tráfego necessário seja tratado pelo headend da VPN conforme permitido pela política de segurança da empresa. Considere usar uma política de túnel dividido em vez de túnel completo para salvar o headend de VPN de carga desnecessária.

- Guia de tunelamento dividido do ASA

- Guia de tunelamento dividido FTD (FMC)

Note: Tunnel All implementa uma política de segurança de parâmetro em toda a empresa, enquanto o tunelamento dividido depende do dispositivo cliente para ajudar a proteger o tráfego da Internet do usuário. A Cisco fornece ferramentas de segurança adicionais, como o Umbrella, para proteger os usuários da VPN quando uma política de túnel dividido é usada.

Implementar balanceamento de carga de VPN (somente ASA)

O balanceamento de carga da VPN é um recurso suportado em plataformas ASA que permite que dois ou mais ASAs compartilhem a carga da sessão da VPN. Se ambos os dispositivos suportam 500 peers de VPN, configurando o balanceamento de carga de VPN entre eles, os dispositivos suportarão um total de 1.000 peers de VPN entre eles. Esse recurso pode ser usado para aumentar a quantidade de usuários VPN simultâneos além do que um único dispositivo pode lidar. Mais informações sobre o balanceamento de carga da VPN, incluindo o algoritmo de balanceamento de carga, podem ser encontradas aqui: Balanceamento de carga da VPN

Otimização da configuração

Serviços adicionais habilitados na plataforma aumentarão a quantidade de processamento e carga no dispositivo. Por exemplo, IPS, descriptografia SSL, NAT, etc. Considere configurar o dispositivo como um concentrador VPN que encerra apenas sessões VPN.

Seleção de protocolo de túnel

Por padrão, as políticas de grupo nos ASAs são configuradas para tentar estabelecer um túnel DTLS. Se o tráfego UDP 443 for bloqueado entre o headend VPN e o cliente AnyConnect, ele automaticamente voltará para TLS. Recomenda-se usar DTLS ou IKEv2 para aumentar o desempenho máximo de rendimento de VPN. O DTLS oferece melhor desempenho do que o TLS devido à menor sobrecarga de protocolo. O IKEv2 também oferece melhor throughput que o TLS. Além disso, o uso de cifras AES-GCM pode melhorar ligeiramente o desempenho. Essas cifras estão disponíveis em TLS 1.2, DTLS 1.2 e IKEv2.

Aplicar por túnel QoS (somente FTD)

A QoS pode ser implementada para limitar a quantidade de tráfego enviado aos usuários do AnyConnect na direção de saída. Fazendo isso, o headend de VPN pode impor que cada cliente de acesso remoto obtenha sua parcela justa de largura de banda de saída. Mais informações sobre isso podem ser encontradas aqui: Configuração do FTD

Implementar o Crypto Engine Accelerator Bias (somente ASA)

O Crypto Engine Accelerator Bias é usado para realocar os núcleos de criptografia para favorecer um protocolo de criptografia sobre o outro (SSL ou IPsec). O objetivo disso é a otimização do throughput do AnyConnect se a maioria dos túneis VPN usa IPsec ou SSL. A implementação desse comando pode resultar na interrupção do serviço e, portanto, é necessária uma janela de manutenção. Além disso, a melhora no desempenho (rendimento do AnyConnect e utilização da CPU) pode variar dependendo do perfil de tráfego. Se o headend de VPN estiver terminando apenas sessões SSL ou apenas sessões de IPsec, esse comando poderá ser considerado para uma maior otimização do headend de VPN. A referência do comando pode ser encontrada aqui: Referência de comando

Para revisar a alocação atual do núcleo de criptografia, execute o comando show crypto accelerator load-balance. Esse comando não mostra a quantidade total de utilização de criptografia que o dispositivo pode manipular - indica a proporção de tráfego ssl ou ipsec que está sendo alocada para cada núcleo. Para encontrar a quantidade aproximada de utilização no dispositivo, consulte a seção acima sobre Alta utilização da CPU e compare o valor calculado com o valor na ficha técnica da plataforma.

Em uma plataforma ASA que termina principalmente o acesso remoto SSLVPN, recomenda-se que a alocação do núcleo de criptografia seja ajustada para favorecer o SSL com o comando crypto engine accelerator-bias ssl.

O exemplo a seguir mostra a alocação de núcleo em um ASA555 com o comando crypto engine accelerator-bias ssl para favorecer os clientes SSL do AnyConnect:

asa# sh run all crypto engine

crypto engine accelerator-bias ssl

asa# show crypto accelerator load-balance

[..]

Crypto SSL Load Balancing Stats:

==================================

Engine      Crypto Cores             SSL Sessions            Active Session

Distribution (%)

======     ==============      ===========================   ================

0        IPSEC 1, SSL 7      Total: 166714  Active:   205         100.0%

[..]

A Distribuição de Sessão Ativa será sempre 100% independentemente da utilização de criptografia atual da plataforma.

Note: O reequilíbrio do núcleo criptográfico está disponível nas seguintes plataformas: ASA 5585, 5580, 5545/555, 4110, 4120, 4140, 4150, SM-24, SM-36, SM-44 e ASASM.

FAQ

Licenciamento

P: Por que não posso fazer o download do software AnyConnect?

R: Você deve comprar a licença Plus ou Apex do AnyConnect para poder baixar o cliente do AnyConnect. Depois disso, você deve ter direito. Se você não tiver direito, apesar de adquirir a licença do AnyConnect Apex ou Plus, abra um caso com o Direito de corrigir esse problema.

P: Por que vejo o 99999 adquirido para a licença do AnyConnect em minha conta de licenciamento inteligente?

R: Isso é esperado com determinadas licenças do AnyConnect, como as licenças AnyConnect Plus Perpetual ou AnyConnect Plus ou Apex não banda.

P: O que determina quando o "Em uso" diminui?

R: Esse valor diminui sempre que um dispositivo que usa a licença do AnyConnect é registrado. Por exemplo, se você registrar o FMC e, em seguida, adicionar a licença Plus do AnyConnect a um dispositivo, o valor em uso da licença Plus do AnyConnect diminuirá. Este valor NÃO decrementa com base nas sessões atuais do usuário. O registro de dispositivos ASAv NÃO diminui a contagem "em uso". Esse é um problema cosmético conhecido. Você não pode registrar mais dispositivos do que o número de usuários autorizados que compraram.

P: O que determina o valor Comprado?

R: O valor de compra é determinado pelo número de usuários autorizados adquiridos com a licença. Por exemplo, uma licença Plus do AnyConnect com 25 usuários terá uma contagem de 25 Comprados.

P: Como habilitar a criptografia forte?

R: Para habilitar a criptografia forte, você deve marcar a caixa "Allow export-control feature on the products registered with this token" (Permitir funcionalidade controlada por exportação nos produtos registrados com este token) ao criar o token de registro.

P: Como converto de PAK em Smart License?

R: Um caso deve ser aberto com o licenciamento para isso.

P: Se eu tiver uma licença de usuário "X", o que acontecerá se "X+1" ou mais usuários se conectarem ao dispositivo?

R: Com a licença Apex e Plus, a capacidade total do usuário VPN do dispositivo é desbloqueada. Enquanto o dispositivo não atingir seu limite máximo de usuário de vpn, ele continuará a aceitar conexões. Não há aplicação no dispositivo para sessões de usuário de VPN e ela é baseada em honra. É sua responsabilidade comprar licenças de usuário autorizado adicionais se o uso da sessão vpn para o dispositivo precisar ser aumentado. Para verificar o número máximo de usuários suportados pelo dispositivo, verifique a folha de dados do dispositivo no site da Cisco ou execute show vpn-sessiondb e examine a "Capacidade total de VPN do dispositivo". Para ASAs, você também pode executar os comandos show version ou show vpn-sessiondb license-summary.

P: Como posso verificar se a licença está ativada no meu dispositivo?

R: Nos FTDs, você não poderá implantar a configuração do AnyConnect a menos que a licença seja ativada. Nos ASAs, você pode verificar o show version ou show vpn-sessiondb license-summary para examinar quantos usuários são permitidos. Sem uma licença ativada, o máximo será 2 usuários. Observe que no ASA, os comandos mencionados acima não exibirão informações de licença Plus/Apex. Isso está sendo rastreado com a solicitação de aprimoramento CSCuw74731.

Configuração

P: Quais plataformas ASA posso usar para o balanceamento de carga de VPN? Posso usar diferentes plataformas de hardware ASA ou diferentes versões de software em um cluster de balanceamento de carga de VPN?

R: Sim, um cluster de balanceamento de carga VPN pode consistir em diferentes modelos físicos ou virtuais ASA, incluindo o ASAv. No entanto, recomenda-se geralmente que o aglomerado seja homogêneo. Se diferentes versões de software forem usadas em um cluster de balanceamento de carga da vpn, somente sessões IPsec serão suportadas. Para obter detalhes, consulte: Diretrizes e limitações para balanceamento de carga da VPN.

P: Como configuro o split-tunneling? E você pode excluir certos tipos de tráfego de aplicativos, como o Office 365, de serem encapsulados em uma configuração de túnel dividido?

R: Consulte o artigo da Cisco Community AnyConnect Split Tunneling para obter exemplos de configuração de vários casos de uso. Você também pode usar uma combinação de split-tunneling e split-tunneling dinâmico para obter o split-tunneling baseado em aplicativos. Para obter um exemplo sobre como otimizar o tunelamento dividido do AnyConnect para o Office 365 e o WebEx, consulte Como otimizar as conexões do Anyconnect para o Microsoft Office365 e o Cisco Webex.

P: Estou vendo o erro "Aviso de certificado não confiável" ao conectar-se a um headend do ASA com o AnyConnect. Por que isso está acontecendo?

R: Isso provavelmente ocorre porque o headend está usando um certificado autoassinado. Para corrigir isso, um certificado SSL pode ser adquirido de uma autoridade de certificação e instalado no ASA de headend. Para obter as etapas detalhadas de implementação, consulte: Configurar o ASA: Instalação e renovação do certificado digital SSL.

P: Os certificados curinga são suportados nos headends Cisco RAVPN?

R: Sim, são suportados coringa e certificados com nomes alternativos de assunto (SANs) DNS.

P: Um único dispositivo pode usar balanceamento de carga e failover?

R: O failover ativo/em standby é compatível com o balanceamento de carga da VPN. O dispositivo de standby assumirá imediatamente sem nenhum impacto no túnel VPN se a unidade ativa falhar. O balanceamento de carga da VPN não é suportado com uma configuração de failover Ativo/Ativo.

Monitoramento

P: Que MIB SNMP posso usar para monitorar o uso da CPU ASA?

R: O CISCO-PROCESS-MIB pode ser usado para monitorar o uso da CPU ASA. Para obter uma lista completa de MIBs compatíveis, consulte: Lista de suporte MIB do Adaptive Security Appliance. Também para obter uma lista das MIBs e OIDs SNMP suportadas para um ASA específico, é possível emitir o seguinte comando:show snmp-server oidlist.

P: Como posso monitorar o número de usuários atualmente conectados a um headend de VPN?

R: Use show vpn-sessiondb do CLI para verificar o número atual de usuários em um ASA ou FTD ou SNMP MIB

CISCO-REMOTE-ACCESS-MONITOR-MIB.

Troubleshooting

P: Alguns de nossos usuários do AnyConnect VPN parecem experimentar desconexões frequentes. Como soluciono esses problemas:

R: Para solucionar problemas de desconexão de VPN e outros problemas comuns do AnyConnect, consulte: Guia de solução de problemas do AnyConnect VPN Client - Problemas comuns.

P: Quando uma determinada quantidade de usuários se conecta ao headend da VPN, nenhum usuário mais consegue se conectar. A licença é ativada no dispositivo e show vpn-sessiondb mostra que o dispositivo pode lidar com mais usuários. Qual poderia ser o problema?

R: Verifique o pool de endereços locais da VPN para esses usuários a fim de garantir que o número de usuários conectados não exceda a quantidade de endereços disponíveis. Você pode verificar com o comando show ip local pool [pool-name]. Outra causa potencial em plataformas mais antigas é que o comando vpn-sessiondb max-anyconnect-premium-or-essentials-limit está definido para um valor baixo. Você pode verificar isso com o comando show run all vpn-sessiondb. Se for esse o caso, o valor pode ser aumentado ou o comando pode ser removido para evitar esse limite.

Obtendo ajuda adicional

Para obter assistência adicional, entre em contato com o TAC. Um contrato de suporte válido será necessário: Contatos mundiais de suporte da Cisco

Você também pode visitar a Cisco VPN Community aqui.

Além disso, você pode conferir os Podcasts do TAC Security Show

Referências

Veja a seguir links adicionais para outros recursos úteis para implantações do AnyConnect e o tratamento de problemas relacionados ao COVOD-19 em geral.

- A Cisco Security responde ao aumento do número de trabalhadores remotos - Comunidade da Cisco

- Guia de pedidos do AnyConnect

- Perguntas frequentes sobre licenciamento do AnyConnect

- Perguntas frequentes sobre VPN, ASA e FTD do AnyConnect para funcionários remotos seguros