使用Entra ID配置RA VPNaaS的安全访问

下载选项

PDF (1.2 MB)
在各种设备上使用 Adobe Reader 查看

已更新: 2026 年 8 月 18 日

文档 ID:222972

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档分步介绍如何在Cisco安全访问上配置RA VPN以根据Entra ID进行身份验证。

先决条件

Cisco 建议您了解以下主题：

使用Azure/Entra ID的知识。
思科安全访问知识。

要求

在继续操作之前，必须满足以下要求：

以完全管理员身份访问您的思科安全访问控制面板。
以管理员身份访问Azure。
用户调配已完成Cisco Secure Access。

使用的组件

本文档中的信息基于以下软件和硬件版本：

思科安全访问控制面板。
Microsoft Azure门户。
思科安全客户端AnyConnect VPN版本5.1.8.105

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

配置

Azure配置

1.登录到Cisco Secure Access控制面板并复制VPN 全局FQDN。您正在Azure企业应用程序配置中使用此FQDN。

Connect > End User Connectivity > Virtual Private Network > FQDN > Global

VPN Global FQDN VPN全局FQDN

2.登录到Azure并为RA VPN身份验证创建Enterprise应用程序。您可以使用名为Cisco Secure Firewall - Secure Client（以前称为AnyConnect）身份验证的预定义应用程序。

主页>企业应用>新应用>思科安全防火墙 — 安全客户端（以前称为AnyConnect）身份验证>创建

Create App in Azure 在Azure中创建应用

3.重命名应用程序。
Properties > Name

Rename the Application 重命名应用程序

4.在Enterprise Application中，将用户分配为允许使用AnyConnect VPN进行身份验证。
分配用户和组> +添加用户/组>分配

Users/Groups Assigned 分配的用户/组

5.单击单点登录并配置SAML参数。此处使用步骤1中复制的FQDN，以及步骤2后面的“配置Cisco安全访问”中配置的VPN配置文件名称。

例如，如果将VPN全局FQDN用作example1.vpn.sse.cisco.com，并且您的思科安全访问VPN配置文件名称为VPN_EntraID，则（实体ID）和回复URL（断言消费者服务URL）的值如下：

标识符（实体ID）：https://example1.vpn.sse.cisco.com/saml/sp/metadata/VPN_EntraID
回复URL（断言消费者服务URL）：https://example1.vpn.sse.cisco.com/+CSCOE+/saml/sp/acs?tgname=VPN_EntraID

SAML Parameters in Azure Azure中的SAML参数

6.下载联合元数据XML。

Download Federation Metadata XML

思科安全访问配置

1.登录您的Cisco Secure Access控制面板，并添加IP池。

Connect > End User Connectivity > Virtual Private Network > Add IP Pool

地区：选择要部署RA VPN的区域。
显示姓名：VPN IP池的名称。
DNS 服务器连接后，创建或分配用户用于进行DNS解析的DNS服务器。
系统IP池：Secure Access使用诸如Radius身份验证等功能，身份验证请求来自此范围内的IP。
IP池：添加新的IP池，并指定用户连接到RA VPN后获得的IP。

Add VPN Profile 添加VPN配置文件

Config of IP Pool - Part 1 IP池配置 — 第1部分

Config of IP Pool - Part 2 IP池配置 — 第2部分

2.添加VPN配置文件。

Connect > End User Connectivity > Virtual Private Network > + VPN配置文件

常规设置

注意：VPN配置文件的名称必须与您在步骤5中的配置Azure中配置的名称匹配。在此配置指南中，您使用了VPN_EntraID，因此您将在Cisco安全访问中配置与VPN配置文件名称相同的名称。

VPN配置文件名称：此VPN配置文件的名称，仅在控制面板中可见。

显示姓名：命名最终用户在Secure Client - AnyConnect下拉菜单上看到，当连接到此RA VPN配置文件时，请参阅。
默认域:域用户一旦连接到VPN即可获得这些信息。
DNS Servers :DNS服务器VPN用户连接到VPN后即可访问。
指定的区域：使用与VPN IP池关联的DNS服务器。
指定的自定义：您可以手动分配所需的DNS。
IP 池:用户连接到VPN后分配的IP。
配置文件设置：要包括此VPN配置文件用于机器隧道或包括区域FQDN，以便最终用户选择想要连接到的区域（受所部署的IP池的制约）。
协议：选择希望VPN用户用于流量隧道的协议。
连接时间状态（可选）：如果需要，请在连接时执行VPN状态。更多信息请点击此处

VPN Profile Config - Part 1 VPN配置文件配置 — 第1部分

VPN Profile Config - Part 2 VPN配置文件配置 — 第2部分

验证、授权和记帐

协议：选择SAML。

使用CA证书进行身份验证：如果您想要使用SSL证书进行身份验证并根据IdP SAML提供程序进行授权。
强制重新身份验证：每当建立VPN连接时都会强制重新进行身份验证。强制重新身份验证基于会话超时。这可以接受SAML IdP设置（本例中为Azure）。

上传在步骤6中的“配置Azure”中下载的XML文件联合元数据XML文件。

SAML Config SAML配置

流量引导（分割隧道）

通道模式:
连接到安全访问：所有流量通过隧道(Tunnel All)发送。
绕过安全访问：仅在例外情况部分中定义的特定流量通过隧道传输（拆分隧道）。
DNS模式：
默认DNS:所有DNS查询都通过VPN配置文件定义的DNS服务器。如果出现否定响应，DNS查询还可以转到物理适配器上配置的DNS服务器。
所有DNS隧道：通过VPN隧道传输所有DNS查询。
Split DNS:只有特定的DNS查询会通过VPN配置文件，具体取决于下面指定的域。

Traffic Steering Config 流量引导配置

思科安全客户端配置
在本指南中，您不会配置任何这些高级设置。可在此处配置高级功能。例如：TND、永远在线、证书匹配、本地LAN访问等。请在此处保存设置。

Advanced Settings 高级设置

3.您的VPN配置文件必须如下所示。您可以将xml配置文件下载并预部署给最终用户（在C:\ProgramData\Cisco\Cisco安全客户端\VPN\Profile下），以开始使用VPN，或向他们提供要在Cisco安全客户端 — AnyConnect VPN UI中输入的配置文件URL。

Global FQDN and Profile URL 全局FQDN和配置文件URL

验证

此时，您的RA VPN配置必须准备好进行测试。
请注意，用户首次连接时，需要为其提供配置文件URL地址或在其个人电脑中预部署XML配置文件（位于C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile下），重新启动VPN服务，并且他们必须在下拉菜单中看到连接到此VPN配置文件的选项。

在本例中，您将配置文件URL地址提供给用户进行首次连接尝试。

在第一个连接之前：

Prior VPN Connection 以前的VPN连接