了解低于4.8 MR2和AD连接器版本的AnyConnect漫游模块的要求

简介

本文档介绍使用4.8版MR2和AD连接器之前的AnyConnect漫游模块的要求。

背景信息

从2021年1月27日起，所有客户端必须使用TLS 1.2+连接到Umbrella云以进行同步、注册和更新。早期版本的客户端需要手动调整，以便继续使用Umbrella客户端而不进行更新。

AnyConnect漫游模块

Windows漫游客户端或AnyConnect模块

终端代理版本：独立Umbrella漫游客户端仅支持当前版本。不支持较早版本。此版本本地支持TLS 1.2和.NET 4.6.2+。

必须满足以下两项要求：

1. A：客户机版本
   • 带Umbrella漫游模块的Cisco AnyConnect:版本4.8.02042+(链接)
     或
   • Cisco AnyConnect 4.3 MR4+外加配置TLS 1.2，将其用于Windows注册表的更改，以扩展TLS支持以包括TLS 1.2:
2. B：.NET Framework版本
   • Microsoft .NET Framework版本：.NET 4.6.2
     或
   • 符合注册表项要求的旧版.NET

Windows版本：7、8、8.1、10

注意：对于MacOS漫游客户端或AnyConnect模块，对TLS 1.2支持的系统要求没有变化。

对于不符合这些要求的邮件，请继续阅读。

技术详细资料

验证是否安装了任何旧的.NET版本，并根据Microsoft文章应用注册表项。

早于AnyConnect 4.8 MR2的早期客户端版本所需的步骤(2):

方案 A：schusestrongcrypto

此解决方案将支持的安全协议明确设置为一组TLS 1.0、TLS 1.1和TLS 1.2，而不是依赖.NET呼叫默认值。

以下是分步指南：

1. 验证Windows计算机上安装的.NET Framework版本。
2. 如果只安装了.NET 4.6.2版（或更高版本），则最新的.NET Framework要求您使用更强密码进行切换。使用以下注册表项：

   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
   "SchUseStrongCrypto"=dword:00000001

   [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
   "SchUseStrongCrypto"=dword:00000001

我们提供了一个PowerShell脚本作为通过SCCM/CLI进行这些更改的示例。此脚本按原样提供。

# set strong cryptography on 64 bit .Net Framework (version 4 and above)
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -Type DWord
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -Type DWord


# set strong cryptography on 32 bit .Net Framework (version 4 and above)
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -Type DWord 
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -Type DWord

方案 B：SystemDefaultTlsVersion

对于较旧的.NET版本，此选项对于较旧的客户端是必需的。对于.NET 4.6.2+，这是对schusestrongcrypto的等效替代方法；两种解决方案都是必需的。

此解决方案将TLS版本选择推迟至操作系统，而不是在.NET中确定它。允许旧版呼叫使用系统支持的版本。在大多数情况下，这包括TLS 1.2。

1. .NET 4.5.1、4.5.2:需要https://support.microsoft.com/kb/3156421
2. Windows 7上的.NET 3.5 SP1:需要https://support.microsoft.com/kb/3154518
3. Windows 8.1上的.NET 3.5 SP1:需要https://support.microsoft.com/kb/3154520
4. .NET 4.6.2+:无额外要求

   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
   "SystemDefaultTlsVersions"=dword:00000001

   [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
   "SystemDefaultTlsVersions"=dword:00000001

Active Directory连接器

支持的平台:Windows Server 2012及更高版本。

如果您的连接器在Windows Server 2012或更高版本上运行，并且运行.NET版本4.x，则连接器在与Umbrella通信时必须默认使用TLS 1.2。

注意：自Microsoft于2020年1月宣布停止支持这些版本以来，已停止支持运行Windows Server 2008和2008 R2的连接器。您需要升级到支持的Windows Server版本才能继续运行连接器。如果无法升级Windows Server版本，请确保在此系统上安装.NET版本4.5，以使连接器能够使用TLS 1.2与Umbrella通信。