部署ASA DAP以识别AnyConnect的MAC地址

已更新: 2024 年 2 月 5 日
文档 ID:221627

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

    简介

    本文档介绍如何通过ASDM配置动态访问策略(DAP)，以检查用于AnyConnect连接的设备的Mac地址。

    先决条件

    要求

    Cisco 建议您了解以下主题：
    Cisco Anyconnect和Hostscan的配置

    使用的组件

    本文档中的信息基于以下软件和硬件版本：
    ASAv 9.18(4)
    ASDM 7.20(1)
    Anyconnect 4.10.07073
    Hostscan 4.10.07073
    Windows 10

    本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

    背景信息

    HostScan是一个软件模块，可为AnyConnect安全移动客户端提供在网络上实施安全策略的能力。在HostScan过程中，将收集有关客户端设备的各种详细信息并报告给自适应安全设备(ASA)。这些详细信息包括设备操作系统、防病毒软件、防火墙软件、MAC地址等。动态访问策略(DAP)功能允许网络管理员基于每个用户配置安全策略，DAP中的endpoint.device.MAC属性可用于根据预定义策略匹配或检查客户端设备的MAC地址。

    配置

    网络图

    下图显示了用于本文档示例的拓扑。

    Diagram图解

    ASA中的配置

    这是ASA CLI中的最低配置。

    tunnel-group dap_test_tg type remote-access
tunnel-group dap_test_tg general-attributes
default-group-policy dap_test_gp
tunnel-group dap_test_tg webvpn-attributes
group-alias dap_test enable

group-policy dap_test_gp internal
group-policy dap_test_gp attributes
vpn-tunnel-protocol ssl-client
address-pools value ac_pool
webvpn
anyconnect keep-installer installed
always-on-vpn profile-setting

ip local pool ac_pool 172.16.1.11-172.16.1.20 mask 255.255.255.0

webvpn
 enable outside
 hostscan image disk0:/hostscan_4.10.07073-k9.pkg
 hostscan enable
 anyconnect image disk0:/anyconnect-win-4.10.07073-webdeploy-k9.pkg 1
 anyconnect enable
 tunnel-group-list enable

    ASDM中的配置

    本节介绍如何在ASDM中配置DAP记录。在本示例中，设置使用endpoint.device.MAC属性作为条件的3个DAP记录。

    ·01_dap_test:endpoint.device.MAC=0050.5698.e608
    ·02_dap_test:endpoint.device.MAC=0050.5698.e605 = Anyconnect终端的MAC
    ·03_dap_test:endpoint.device.MAC=0050.5698.e609

    1.配置名为01_dap_test的第一个DAP。

    导航到Configuration > Remote Access VPN > Network(Client)Access > Dynamic Access Policies。点击Add ，然后设置Policy Name、AAA Attribute、endpoint attributes、Action、User Message，如图所示：

    Configure First DAP配置第一个DAP

    为AAA属性配置组策略。

    Configure Group Policy For DAP Record为DAP记录配置组策略

    配置终端属性的MAC地址。 

    Configure MAC Condition For DAP配置DAP的MAC条件

    2.配置名为02_dap_test的第二个DAP。 

    Configure Second DAP配置第二个DAP

    3.配置名为03_dap_test的第三个。

    Configure Third DAP配置第三个DAP

    4.使用 more flash:/dap.xml命令确认dap.xml中DAP记录的设置。

    在ASDM上设置的DAP记录的详细信息保存在ASA闪存中为dap.xml。完成这些设置后，将以dap.xml形式生成三个DAP记录。您可以在dap.xml中确认每个DAP记录的详细信息。

    note-icon

    注:DAP匹配的顺序是dap.xml中的显示顺序。 默认DAP(DfltAccessPolicy)是最后一次匹配的。

    ciscoasa# more flash:/dap.xml
    
    
     
      
       
        
        01_dap_test 
        <--- 1st DAP name 
       
       
       
         and 
        
       
       
        
         
         
           match-all 
          
         
         
         
           aaa.cisco.grouppolicy 
          
          
          dap_test_gp 
          <--- 1st DAP group policy 
         
           EQ 
          
         
           caseless 
          
         
        
        
         
         
           match-any 
          
         
         
          
          
            match-all 
           
          
          
           
           endpoint.device.MAC["0050.5698.e608"] 
           <--- 1st DAP MAC Address condition 
          
            true 
           
          
            caseless 
           
          
            EQ 
           
          
         
        
       
      
      
       
        
        02_dap_test 
        <--- 2nd DAP name 
       
       
       
         and 
        
       
       
        
         
         
           match-any 
          
         
         
         
           aaa.cisco.grouppolicy 
          
          
          dap_test_gp 
          <--- 2nd DAP group policy 
         
           EQ 
          
         
           caseless 
          
         
        
        
         
         
           match-any 
          
         
         
          
          
            match-all 
           
          
          
           
           endpoint.device.MAC["0050.5698.e605"] 
           <--- 2nd DAP MAC Address condition 
          
            true 
           
          
            caseless 
           
          
            EQ 
           
          
         
        
       
      
      
       
        
        03_dap_test 
        <--- 3rd DAP name 
       
       
       
         and 
        
       
       
        
         
         
           match-any 
          
         
         
         
           aaa.cisco.grouppolicy 
          
          
          dap_test_gp 
          <--- 3rd DAP group policy 
         
           EQ 
          
         
           caseless 
          
         
        
        
         
         
           match-any 
          
         
         
          
          
            match-all 
           
          
          
           
           endpoint.device.MAC["0050.5698.e609"] 
           <--- 3rd DAP MAC Address condition 
          
            true 
           
          
            caseless 
           
          
            EQ

    验证

    场景1。仅匹配一个DAP

    1.确保终端的MAC地址为0050.5698.e605，该地址与02_dap_test中的MAC条件匹配。

    2.在终端上，运行Anyconnect连接并输入用户名和密码。

    Input username and password输入用户名和密码

    3.在Anyconnect UI中，确认02_dap_test匹配。

    Confirm User Message In UI在UI中确认用户消息

    4.在ASA系统日志中，确认02_dap_test匹配。

    note-icon

    注意：确保在ASA中启用了debug dap trace。

    Dec 30 2023 11:46:11: %ASA-4-711001: DAP_TRACE: Feb 01 2024 08:55:37: %ASA-4-711001: endpoint.device.MAC["0050.5698.e605"] = "true"

    Dec 30 2023 11:46:11: %ASA-4-711001: DAP_TRACE: Username: cisco, Dec 30 2023 11:46:11: %ASA-4-711001: Selected DAPs: ,02_dap_test Dec 30 2023 11:46:11: %ASA-4-711001: DAP_TRACE: Dec 30 2023 11:46:11: %ASA-4-711001: dap_process_selected_daps: selected 1 records Dec 30 2023 11:46:11: %ASA-4-711001: DAP_TRACE: Username: cisco, Dec 30 2023 11:46:11: %ASA-4-711001: DAP_close: 17

    场景2。默认DAP匹配

    1.将02_dap_test中的endpoint.device.MAC值更改为0050.5698.e607，该值与终端的MAC不匹配。

    2.在终端上，运行Anyconnect连接并输入用户名和密码。

    3.确认Anyconnect连接被拒绝。

    Confirm User Message In UI在UI中确认用户消息

    4.在ASA系统日志中，确认DfltAccessPolicy匹配。 

    note-icon

    注：默认情况下，DfltAccessPolicy的操作为Terminate。

    Dec 30 2023 12:13:39: %ASA-4-711001: DAP_TRACE: Feb 01 2024 08:55:37: %ASA-4-711001: endpoint.device.MAC["0050.5698.e605"] = "true"

    Dec 30 2023 12:13:39: %ASA-4-711001: DAP_TRACE: Username: cisco, Dec 30 2023 12:13:39: %ASA-4-711001: Selected DAPs:
Dec 30 2023 12:13:39: %ASA-4-711001: DAP_TRACE: Dec 30 2023 12:13:39: %ASA-4-711001: dap_process_selected_daps: selected 0 records
Dec 30 2023 12:13:39: %ASA-4-711001: DAP_TRACE: Username: cisco, Dec 30 2023 12:13:39: %ASA-4-711001: Selected DAPs: DfltAccessPolicy
Dec 30 2023 12:13:39: %ASA-4-711001: DAP_TRACE: Username: cisco, Dec 30 2023 12:13:39: %ASA-4-711001: DAP_close: 1B

    场景3.匹配多个DAP（操作：继续） 

    1.更改每个DAP中的操作和属性。

     ·01_dap_test:
         dapSelection(MAC Address)= endpoint.device.MAC[0050.5698.e605] = Anyconnect终端的MAC
         操作=继续
    ·02_dap_test:
         dapSelection（主机名）= endpoint.device.hostname[DESKTOP-VCKHRG1] = Anyconnect终端的主机名
         操作=继续
    ·删除03_dap_test DAP记录

    2.在终端上，运行Anyconnect连接并输入用户名和密码。

    3.在Anyconnect UI中，确认所有2个DAP都匹配

    note-icon

    注意：如果连接匹配多个DAP，则多个DAP的用户消息将集成并一起显示在Anyconnect UI中。

       Confirm User Message In UI在UI中确认用户消息


    4.在ASA系统日志中，确认所有2个DAP均匹配。

    Feb 01 2024 08:49:02: %ASA-4-711001: DAP_TRACE: Feb 01 2024 08:55:37: %ASA-4-711001: endpoint.device.MAC["0050.5698.e605"] = "true"
    Feb 01 2024 08:49:02: %ASA-4-711001: DAP_TRACE: Feb 01 2024 08:49:02: %ASA-4-711001: endpoint.device.hostname = "DESKTOP-VCKHRG1"

Feb 01 2024 08:49:02: %ASA-4-711001: DAP_TRACE: Username: cisco, Feb 01 2024 08:49:02: %ASA-4-711001: Selected DAPs: ,01_dap_test,02_dap_test
Feb 01 2024 08:49:02: %ASA-4-711001: DAP_TRACE: Feb 01 2024 08:49:02: %ASA-4-711001: dap_process_selected_daps: selected 2 records

Feb 01 2024 08:49:02: %ASA-4-711001: DAP_TRACE: Username: cisco, Feb 01 2024 08:49:02: %ASA-4-711001: DAP_close: 4

    场景4.多个DAP(操作：终止) 已匹配

    1.更改01_dap_test的操作。

     ·01_dap_test:
         dapSelection(MAC Address)= endpoint.device.MAC[0050.5698.e605] = Anyconnect终端的MAC
         操作=终止
    ·02_dap_test:
         dapSelection（主机名）= endpoint.device.hostname[DESKTOP-VCKHRG1] = Anyconnect终端的主机名
         操作=继续

    2.在终端上，运行Anyconnect连接并输入用户名和密码。

    3.在Anyconnect UI中，确认仅匹配01_dap_test。

    note-icon

    注：连接与设置为终止操作的DAP记录匹配。终止操作后不再匹配后续记录。

    Confirm User Message In UI在UI中确认用户消息

    4.在ASA系统日志中，确认仅匹配01_dap_test。 

    Feb 01 2024 08:55:37: %ASA-4-711001: DAP_TRACE: Feb 01 2024 08:55:37: %ASA-4-711001: endpoint.device.MAC["0050.5698.e605"] = "true"
    Feb 01 2024 08:55:37: %ASA-4-711001: DAP_TRACE: Feb 01 2024 08:55:37: %ASA-4-711001: endpoint.device.hostname = "DESKTOP-VCKHRG1"

Feb 01 2024 08:55:37: %ASA-4-711001: DAP_TRACE: Username: cisco, Feb 01 2024 08:55:37: %ASA-4-711001: Selected DAPs: ,01_dap_test
Feb 01 2024 08:55:37: %ASA-4-711001: DAP_TRACE: Feb 01 2024 08:55:37: %ASA-4-711001: dap_process_selected_daps: selected 1 records

Feb 01 2024 08:55:37: %ASA-4-711001: DAP_TRACE: Username: cisco, Feb 01 2024 08:55:37: %ASA-4-711001: DAP_close: 6

    一般故障排除

    这些调试日志可帮助您确认ASA中DAP的详细行为。

    debug dap trace
    debug dap trace errors

    Feb 01 2024 08:49:02: %ASA-4-711001: DAP_TRACE: Feb 01 2024 08:55:37: %ASA-4-711001: endpoint.device.MAC["0050.5698.e605"] = "true"
Feb 01 2024 08:49:02: %ASA-4-711001: DAP_TRACE: Feb 01 2024 08:49:02: %ASA-4-711001: endpoint.device.hostname = "DESKTOP-VCKHRG1"

Feb 01 2024 08:49:02: %ASA-4-711001: DAP_TRACE: Username: cisco, Feb 01 2024 08:49:02: %ASA-4-711001: Selected DAPs: ,01_dap_test,02_dap_test
Feb 01 2024 08:49:02: %ASA-4-711001: DAP_TRACE: Feb 01 2024 08:49:02: %ASA-4-711001: dap_process_selected_daps: selected 2 records

Feb 01 2024 08:49:02: %ASA-4-711001: DAP_TRACE: Username: cisco, Feb 01 2024 08:49:02: %ASA-4-711001: DAP_close: 4

    相关信息

    https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html#toc-hId-981572249

    修订历史记录

    版本 发布日期 备注
    1.0
    06-Feb-2024
    初始版本
    TAC Authored

    由思科工程师提供

    • 张健
      技术咨询工程师

    此文档是否有帮助?

    Feedback反馈

    联系我们

    本文档适用于以下产品