Índice

Introdução

Troubleshooting Geral

Windows

Mac

Troubleshooting específico

AnyConnect

Windows

Mac

Diversos

CSD/Hostscan

Windows

Mac

WebVPN

Recursos de segurança nas Javas 7 U51 e como esse afeta usuários WebVPN

Windows

Introdução

Este documento descreve como pesquisar defeitos edições com Javas 7 no Cliente de mobilidade Cisco AnyConnect Secure, no Cisco Secure Desktop (CSD) /Cisco Hostscan, e nos sem clientes SSL VPN (WebVPN).

Nota: O Bug da Cisco ID marcado como investigatório não é restringido aos sintomas descritos. Se você enfrenta edições com Javas 7, assegure-se de que você promova a versão de cliente de AnyConnect à versão de cliente a mais atrasada ou pelo menos 3.1 à versão da versão de manutenção 3 disponível no Cisco Connection Online (CCO).

Troubleshooting Geral

Execute o verificador das Javas  a fim verificar se a Java é apoiada nos navegadores no uso. Se a Java é permitida corretamente, reveja o console de Java entra a ordem para analisar o problema.

Windows

Este procedimento descreve como permitir o console entra Windows:

1. Abra o Control Panel de Windows, e a busca para Javas.

2. Fazer duplo clique Javas (o ícone do copo de café). O painel de controle de Java aparece.

3. Clique na guia Advanced.

1. Expanda a eliminação de erros, e selecione o traçado Enable e o registro Enable.

2. Expanda o console de Java, e clique o console da mostra.

Mac

Este procedimento descreve como permitir o console entra um Mac:

1. As preferências do sistema aberto, e fazem duplo clique o ícone das Javas (copo de café). O painel de controle de Java aparece.

2. Clique na guia Advanced.

1. Sob o console de Java, clique o console da mostra.

2. Sob a eliminação de erros, clique o traçado Enable e o registro Enable.

Troubleshooting específico

AnyConnect

Para edições AnyConnect-relacionadas, recolha os logs diagnósticos do relatório de AnyConnect (DARDO) assim como os logs do console de Java.

Windows

A identificação de bug Cisco CSCuc55720, “IE causa um crash com Javas 7 quando o pacote 3.1.1 é permitido no ASA,” era um problema conhecido, onde o internet explorer cause um crash quando um WebLaunch foi executado e AnyConnect 3.1 foi permitido no final do cabeçalho. Este erro foi fixado.

Você pôde encontrar edições quando você usa algumas versões de AnyConnect e de Javas 7 com apps das Javas. Para mais informações, veja a identificação de bug Cisco CSCue48916, das “a ruptura dos app Javas ao usar AnyConnect 3.1.00495 ou 3.1.02026 & Java v7."

Edições com Javas 7 e atendimentos do soquete do IPv6

Se AnyConnect não conecta mesmo depois que você promove o ambiente de tempo de execução de java (JRE) às Javas 7, ou se um aplicativo de java é incapaz de conectar sobre o túnel VPN, reveja os logs do console de Java e procure estas mensagens:

java.net.SocketException: Permission denied: connect

at java.net.DualStackPlainSocketImpl.waitForConnect(Native Method)

at java.net.DualStackPlainSocketImpl.socketConnect(Unknown Source)

Estas entradas de registro indicam que o cliente/aplicativo faz atendimentos do IPv6.

Uma solução para esta edição é desabilitar o IPv6 (se não é dentro uso) no adaptador do Ethernet e no adaptador virtual de AnyConnect (VA):

Uma segunda solução é configurar Javas para preferir o IPv4 sobre o IPv6. Ajuste a propriedade do sistema 'java.net.preferIPv4Stack “verdadeira” segundo as indicações destes exemplos:

- Adicionar o código para a propriedade do sistema ao código das Javas (para os aplicativos de java escritos pelo cliente):

System.setProperty("java.net.preferIPv4Stack" , "true");

- Adicionar o código para a propriedade do sistema da linha de comando:

-Djava.net.preferIPv4Stack=true

- Ajuste os variáveis de ambiente _JPI_VM_OPTIONS e _JAVA_OPTIONS a fim incluir a propriedade do sistema:

-Djava.net.preferIPv4Stack=true

Para a informação adicional, refira:

- Como ajustar java.net.preferIPv4Stack=true no código das Javas?

- Como forçar Javas para usar pelo contrário o IPv6 do IPv4?

Uma terceira solução é desabilitar completamente o IPv6 em máquinas de Windows; edite esta entrada de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\TCPIP6\Parameters

Para a informação adicional, veja como desabilitar o IP versão 6 ou os seus componentes específicos em Windows .

Edições com AnyConnect WebLaunch após a elevação das Javas 7

O código do Javascript de Cisco procurou previamente Sun como o valor para o vendedor das Javas. Contudo, o Oracle mudou esse valor como descrito em JDK7: Mudanças da propriedade do vendedor das Javas . Esta edição foi fixada pela identificação de bug Cisco CSCub46241, de “weblaunch AnyConnect falha do internet explorer com Javas 7."

Mac

Nenhuma edição foi relatada. Os testes com AnyConnect 3.1 (com a configuração de WebLaunch/safari/Mac 10.7.4/Javas 7.10) não mostram nenhum erro.

Diversos

Edições com Javas 7 Apps em Cisco AnyConnect

A identificação de bug Cisco CSCue48916, das “app Javas quebra ao usar AnyConnect 3.1.00495 ou 3.1.02026 & a Java v7," foi arquivada. A investigação inicial indica que as edições não são um erro no lado do cliente, mas pôde ser relacionada à configuração da máquina virtual de java (VM) pelo contrário.

Previamente, a fim usar apps das Javas 7 no cliente de AnyConnect 3.1(2026), você desmarcou os ajustes do adaptador virtual do IPv6. Contudo, é agora necessário terminar todas as etapas neste procedimento:

1. Instale a versão 3.1(2026) de AnyConnect.

2. Desinstale as Javas 7.

3. Reinicialização.

4. Instale as Javas SE 6, a atualização 38, disponível no site do Oracle .

5. Navegue aos ajustes do Control Panel das Javas 6, a seguir clique a aba da atualização para promover à versão de java a mais atrasada 7.

6. Abra um comando prompt e entre-o:

setx _JAVA_OPTIONS -Djava.net.preferIPv4Stack=true

7. Entre com AnyConnect, e os apps das Javas devem trabalhar.

Nota: Este procedimento foi testado com atualizações 9, 10, e 11. das Javas 7.

CSD/Hostscan

Para edições CSD/Hostscan-related, recolha os logs do DARDO assim como os logs do console de Java.

A fim obter os logs do DARDO, o nível de registro CSD deve ser girado para debugar no ASA:

1. Navegue a ASDM > configuração > acesso remoto VPN > gerente > configurações globais do Secure Desktop.

2. Gire acima do CSD que registra para debugar no Cisco Adaptive Security Device Manager (ASDM).

3. Use o DARDO a fim recolher os logs CSD/Hostscan.

Windows

Hostscan é susceptível aos impactos similares àqueles descritos previamente para AnyConnect em Windows (identificação de bug Cisco CSCuc55720). A edição hostscan foi resolvida pela identificação de bug Cisco CSCuc48299, “IE com impactos das Javas 7 em HostScan Weblaunch.”

Mac

Edições com versões 3.5.x CSD e Javas 7

Em CSD 3.5.x, toda a falha das conexões VPN da Web; isto inclui lançamentos da Web de AnyConnect. Os logs do console de Java não revelam nenhuns problemas:

Java Plug-in 10.10.2.12

Using JRE version 1.7.0_10-ea-b12 Java HotSpot(TM) 64-Bit Server VM

User home directory = /Users/rtpvpn

----------------------------------------------------

c:   clear console window

f:   finalize objects on finalization queue

g:   garbage collect

h:   display this help message

l:   dump classloader list

m:   print memory usage

o:   trigger logging

q:   hide console

r:   reload policy configuration

s:   dump system and deployment properties

t:   dump thread list

v:   dump thread stack

x:   clear classloader cache

0-5: set trace level to <n>

----------------------------------------------------

Se você degrada a JRE 6 ou promove o CSD a 3.6.6020 ou mais atrasado, os logs do console de Java revelam os problemas:

Java Plug-in 10.10.2.12

Using JRE version 1.7.0_10-ea-b12 Java HotSpot(TM) 64-Bit Server VM

User home directory = /Users/rtpvpn

----------------------------------------------------

c:   clear console window

f:   finalize objects on finalization queue

g:   garbage collect

h:   display this help message

l:   dump classloader list

m:   print memory usage

o:   trigger logging

q:   hide console

r:   reload policy configuration

s:   dump system and deployment properties

t:   dump thread list

v:   dump thread stack

x:   clear classloader cache

0-5: set trace level to <n>

----------------------------------------------------

CacheEntry[ https://rtpvpnoutbound6.cisco.com/CACHE/sdesktop/install/binaries/

instjava.jar ]: updateAvailable=false,lastModified=Wed Dec 31 19:00:00 EST

1969,length=105313

Fri Oct 19 18:12:20 EDT 2012 Downloaded

https://rtpvpnoutbound6.cisco.com/CACHE/sdesktop/hostscan/darwin_i386/cstub

to /var/folders/zq/w7l9gxks7512fsl4vk07v9nc0000gn/T/848638312.tmp/cstub

Fri Oct 19 18:12:20 EDT 2012 file signature verification

PASS: /var/folders/zq/w7l9gxks7512fsl4vk07v9nc0000gn/T/848638312.tmp/cstub

Fri Oct 19 18:12:20 EDT 2012 Spawned CSD stub.

A definição é promover o CSD ou degradar Javas. Porque Cisco recomenda que você executa a versão a mais atrasada do CSD, você deve promover o CSD, um pouco do que Javas do downgrade, especialmente desde que um downgrade das Javas pode ser difícil em um Mac.

Edições com Chrome e safari com o WebLaunch no Mac 10.8

As edições com Chrome e o safari são comportamento esperado:

- Chrome é um navegador de 32 bits e não apoia as Javas 7.

- Chrome nunca foi oficialmente um navegador suportado para WebLaunch.

- O Mac 10.8 desabilitou o uso das Javas 7 no safari, e umas versões de java mais velhas não são permitidas à revelia.

Se você já tem as Javas 7 instaladas, as definições são:

- Use Firefox.

- Permita as Javas 7 no safari:

1. Verifique que a Java 7 está instalada no Mac e que o Mac esteve reiniciado. Abra Firefox, e vá ao verificador das Javas .

2. Abra o safari, e vá o verificador das Javas  outra vez. Você deve agora ver esta tela:

- Desabilite as Javas 7, e permita as Javas SE 6 fornecidas por Apple .

Dica: Se você não tem Javas instalado ou você tem uma versão de java mais velha, você é provável ver o Mensagem de Erro “Java obstruída para este site” em java.com . Veja as atualizações das Javas disponíveis para o OS X em agosto 28, 2013 no  fórum do apoio de Apple para obter informações sobre da instalação de atualizações das Javas.

Edições com safari com o WebLaunch no Mac 10.9

Se você você está no Mac 10.9 e já tem o de encaixe de Javas permitido (como descrito nas edições com Chrome e no safari com o WebLaunch na seção do Mac 10.8), o WebLaunch pôde continuar a falhar. Todos os Java applets são iniciados, mas o navegador continua simplesmente a girar. Se os logs das Javas são permitidos como descrito na seção do Troubleshooting geral, os logs enchem-se rapidamente acima como mostrado aqui:

at java.lang.Thread.run(Thread.java:744)

Mon Dec 16 16:00:17 EST 2013 Failed to download cstub

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

network: Created version ID: 1.7.0.45

Procure este tipo de entrada mais cedo no log:

Mon Dec 16 16:00:17 EST 2013 Downloaded https://rave.na.sage.com/CACHE/

sdesktop/hostscan/darwin_i386/manifest java.io.FileNotFoundException:

/Users/user1/.cisco/hostscan/bin/cstub (Operation not permitted) at

java.io.FileInputStream.open(Native Method)

Isto indica que você está encontrando a identificação de bug Cisco CSCuj02425, “WebLaunch em OSX 10.9 falha se o modo inseguro das Javas é desabilitado.” A ação alternativa esta edição, altera as preferências das Javas assim que as Javas podem ser executado no modo inseguro para o safari:

1. Preferências do clique.

2. O clique controla ajustes do Web site.

3. Na ABA de segurança, selecione Javas, e note que Allow está selecionada à revelia.

4. A mudança reserva ser executado no modo inseguro.

WebVPN

Para as edições WebVPN relativas às Javas, recolha estes dados para propósitos de Troubleshooting:

- Saída do comando show tech-support.

- Logs do console de Java com e sem a ferramenta de segurança adaptável (ASA) como explicado na seção do Troubleshooting geral.

- Captações WebVPN.

- Captações do relógio HTTP na  máquina local com e sem o ASA.

- Captações padrão dos pacotes no ASA e na máquina local.

- Na máquina local, estas captações podem ser feitas com Wireshark.

- Para obter informações sobre de como capturar o tráfego no ASA, veja configurar capturas de pacote de informação.

- Todos os arquivos jar transferidos às Javas põem em esconderijo ao atravessar o ASA. Este é um exemplo do console de Java:

Reading Signers from 8412

https://rtpvpnoutbound6.cisco.com/+CSCO+00756767633A2F2F7A2D73767972662E6

E7067727A76687A2E6179++/mffta.jar

C:\Users\wvoosteren\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\41\

6a0665e9-1f510559.idx
Neste exemplo, 6a0665e9-1f510559.idx é a versão posta em esconderijo de mffta.jar 7. Se você não tem o acesso a estes arquivos, você pode recolhê-los do esconderijo das Javas ao usar a conexão direta.

Uma definição de teste pode expedir a definição.

Recursos de segurança nas Javas 7 U51 e como esse afeta usuários WebVPN

As mudanças recentemente anunciadas programadas para a atualização 51 das Javas 7  (janeiro 2014) estabeleceram que o slider da Segurança do padrão exige assinaturas do código e as permissões manifestam o atributo. Em resumo, todos os Java applets exigem:

- para para ser assinado (applet e aplicativos de começo da Web).

- para ajustar o atributo das “permissões” dentro do manifesto.

Os aplicativos são afetados se usa as Javas começadas com um navegador da Web. Os aplicativos são executado de alguns onde fora de um navegador da Web são muito bem. O que este os meios para WevVPN são todos os os encaixes do cliente que são distribuídos por Cisco poderiam ser impactados. Desde que estes encaixes não são mantidos nem são apoiados por Cisco, Cisco não pode fazer mudanças ao certificado de assinatura do código ou ao applet a fim assegurá-lo segue com estas limitações. A solução apropriada para esta é usar o certificado de assinatura do código provisório no ASA. Os ASA fornecem um certificado provisório da assinatura de código para assinar Java applets (para o rewriter e os encaixes das Javas). O certificado provisório deixa Java applets executar suas funções pretendidas sem um mensagem de advertência. Os administradores ASA devem substituir o certificado provisório antes que expire com seu próprio certificado de assinatura do código emitido por um Certificate Authority (CA) confiado. Se esta não é uma opção viável, a ação alternativa é terminar estas etapas:

1. Você pode usar a característica da lista do local da exceção nos ajustes das Javas da máquina cliente da extremidade a fim executar os aplicativos obstruídos por configurações de segurança. As etapas para fazer isto são descritas nas edições com safari com o WebLaunch no Mac 10.9.

2. Você pode igualmente abaixar as configurações de segurança das Javas. Este ajuste é ajustado igualmente nos ajustes das Javas da máquina cliente como mostrado aqui:

aviso: O uso destas ações alternativas ainda dá-lhe alguns erros, mas a Java não obstrui o aplicativo porque faria sem as ações alternativas no lugar.

Windows

Os aplicativos que lançam Java applets foram relatados para falhar sobre o WebVPN após uma elevação às Javas 7. Este problema é causado pela falta do algoritmo de mistura segura (apoio SHA)-256 para o rewriter das Javas. A identificação de bug Cisco CSCud54080, o apoio "SHA-256 para o rewriter das Javas do webvpn,” foi arquivada para esta edição.

Os aplicativos que começam Java applets através do portal com túnel esperto puderam falhar quando JRE7 é usado; isto é o mais comum com sistemas 64-bit. Nas captações, note que a Java VM envia os pacotes no texto claro, não através da conexão de túnel esperta ao ASA. Isto foi endereçado pela identificação de bug Cisco CSCue17876, “Java applets alguns não conectará através do túnel esperto em indicadores com o jre1.7."