Entender os requisitos do AnyConnect Roaming Module para versões anteriores à 4.8 MR2 e AD Connector

Introdução

Este documento descreve os requisitos para usar o módulo de roaming do AnyConnect anterior à versão 4.8 MR2 e AD Connector.

Informações de Apoio

A partir de 27 de janeiro de 2021, todos os clientes devem usar o TLS 1.2+ para se conectar à nuvem Umbrella para sincronização, registro e atualizações. Os clientes com versões anteriores precisam fazer ajustes manuais para continuar a usar os clientes Umbrella sem atualização.

Módulo de roaming AnyConnect

Cliente de roaming do Windows ou módulo AnyConnect

Versão do Endpoint Agent: Os clientes de roaming autônomos do Umbrella oferecem suporte apenas à versão atual. Não há suporte para versões mais antigas. Esta versão suporta TLS 1.2 nativamente com .NET 4.6.2+.

Ambos os requisitos devem ser atendidos:

1. R: Versão do cliente
   • Cisco AnyConnect com módulo de roaming Umbrella: Versão 4.8.02042+ (link)
     or
   • Cisco AnyConnect 4.3 MR4+ mais configurar TLS 1.2 usar com alterações no Registro do Windows para expandir o suporte TLS para incluir TLS 1.2:
2. B: Versão do .NET Framework
   • Versão do Microsoft .NET Framework: .NET 4.6.2
     or
   • versões mais antigas do .NET de acordo com os requisitos de chave de registro

Versão do Windows: 7, 8, 8.1, 10

Note: Para o MacOS Roaming Client ou AnyConnect Module, não há alteração nos requisitos do sistema para suporte a TLS 1.2.

Para aqueles que não atenderem a esses requisitos, continue lendo.

Detalhes técnicos

Verifique se há versões antigas do .NET instaladas e aplique as chaves de registro de acordo com o artigo da Microsoft.

Etapas necessárias para versões de cliente mais antigas que o AnyConnect 4.8 (MR2 de 2):

Opção A: schusestrongcrypto

Essa solução define explicitamente os protocolos seguros suportados para o conjunto de TLS 1.0, TLS 1.1 e TLS 1.2, em vez de confiar nos padrões de chamada do .NET.

Este é um guia passo a passo:

1. Verifique qual versão do .NET Framework está instalada no computador com Windows.
2. Se somente o .NET versão 4.6.2 (ou posterior) estiver instalado, o .NET Framework mais recente requer que você alterne com uma cifra mais forte. Use estas chaves de registro:

   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
   "SchUseStrongCrypto"=dword:00000001

   [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
   "SchUseStrongCrypto"=dword:00000001

Um script do PowerShell é fornecido como um exemplo para fazer essas alterações via SCCM/CLI. Este script é fornecido como está.

# set strong cryptography on 64 bit .Net Framework (version 4 and above)
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -Type DWord
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -Type DWord


# set strong cryptography on 32 bit .Net Framework (version 4 and above)
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -Type DWord 
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -Type DWord

Opção B: SistemaPadrãoTlsVersions

Para versões mais antigas do .NET, esta opção é necessária para clientes mais antigos. Para .NET 4.6.2+, esta é uma alternativa equivalente a schusestrongcrypto; ambas as soluções são necessárias.

Essa solução adia a escolha da versão TLS para o SO em vez de determiná-la no .NET. Permite que chamadas herdadas usem versões com suporte do sistema. Na maioria dos casos, isso inclui o TLS 1.2.

1. .NET 4.5.1, 4.5.2: Requer https://support.microsoft.com/kb/3156421
2. .NET 3.5 SP1 no Windows 7: Requer https://support.microsoft.com/kb/3154518
3. .NET 3.5 SP1 no Windows 8.1: Requer https://support.microsoft.com/kb/3154520
4. .NET 4.6.2+: Sem requisitos adicionais

   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
   "SystemDefaultTlsVersions"=dword:00000001

   [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
   "SystemDefaultTlsVersions"=dword:00000001

Conector do Ative Diretory

Plataformas com suporte: Windows Server 2012 e posterior.

Se o Conector for executado no Windows Server 2012 ou posterior e executar o .NET versão 4.x, o Conector deverá usar TLS 1.2 por padrão ao se comunicar com o Umbrella.

Note: O suporte para conectores que executam o Windows Server 2008 e 2008 R2 foi descontinuado, pois a Microsoft anunciou o fim do suporte para essas versões em janeiro de 2020. Você precisa atualizar para uma versão com suporte do Windows Server para continuar a executar o Conector. Se não for possível atualizar a versão do Windows Server, instale o .NET versão 4.5 neste sistema para permitir que o conector use TLS 1.2 para se comunicar com o Umbrella.