目錄

簡介

必要條件

需求

採用元件

拓撲和流

設定

WLC

ISE

步驟1.新增WLC

步驟2.配置VPN配置檔案

步驟3.配置NAM配置檔案

步驟4.安裝應用程式

步驟5.安裝VPN/NAM配置檔案

步驟6.配置狀態

步驟7.配置AnyConnect

步驟8.  客戶端調配規則

步驟9.授權配置檔案

步驟10.授權規則

驗證

疑難排解

相關資訊

簡介

本文檔介紹思科身份服務引擎(ISE)版本1.3中的新功能，通過該功能，您可以配置多個AnyConnect安全移動客戶端模組並將其自動調配到終端。本文檔介紹如何在ISE上配置VPN、網路訪問管理器(NAM)和狀態模組並將其推送到公司使用者。

必要條件

需求

思科建議您瞭解以下主題：

- ISE部署、身份驗證和授權

- 無線區域網路控制器(WLC)的組態

- 基本VPN和802.1x知識

- 使用AnyConnect配置檔案編輯器配置VPN和NAM配置檔案

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- Microsoft Windows 7

- Cisco WLC版本7.6及更高版本

- Cisco ISE軟體1.3版及更高版本

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

拓撲和流

以下是流程：

步驟1.企業使用者訪問服務集識別符號(SSID):調配。使用可擴展身份驗證協定保護的EAP(EAP-PEAP)執行802.1x身份驗證。 在ISE上遇到Provisioning授權規則，使用者被重定向以進行AnyConnect調配（通過客戶端調配門戶）。 如果在電腦上未檢測到AnyConnect，則會安裝所有配置的模組（VPN、NAM、安全狀態）。 與配置檔案一起推送每個模組的配置。

步驟2.安裝AnyConnect後，使用者必須重新啟動PC。重新啟動後，AnyConnect將運行，並且根據配置的NAM配置檔案(Secure_access)自動使用正確的SSID。使用EAP-PEAP(例如，還可以使用可擴展身份驗證協定 — 傳輸層安全(EAP-TLS))。 同時，終端安全評估模組檢查工作站是否合規(檢查c:\test.txt檔案的存在)。

步驟3.如果站狀態未知（沒有來自狀態模組的報告），系統仍重定向該站狀態以進行調配，因為ISE上遇到Unknown Authz規則。一旦站台合規，ISE會向無線LAN控制器傳送授權變更(CoA)，從而觸發重新驗證。進行第二次身份驗證，並在ISE上點選Compliant規則，這將為使用者提供對網路的完全訪問許可權。

因此，已為使用者調配了AnyConnect VPN、NAM和狀態模組，這些模組允許統一訪問網路。類似功能可在自適應安全裝置(ASA)上用於VPN訪問。目前，ISE可以使用非常精細的方法對任何型別的訪問執行相同操作。

此功能並不限於企業使用者，但是最常見的情況可能是為該使用者組部署它。

設定

WLC

WLC配置了兩個SSID:

- 布建 — [WPA + WPA2][Auth(802.1X)]。此SSID用於AnyConnect調配。

- Secure_access - [WPA + WPA2][Auth(802.1X)]。此SSID用於在終端調配了為該SSID配置的NAM模組後進行安全訪問。

ISE

步驟1.新增WLC

將WLC新增到ISE上的網路裝置。

步驟2.配置VPN配置檔案

使用AnyConnect Profile Editor for VPN配置VPN配置檔案。

僅新增了一個用於VPN訪問的條目。將該XML檔案儲存到VPN.xml。

步驟3.配置NAM配置檔案

使用AnyConnect Profile Editor for NAM配置NAM配置檔案。

僅配置了一個SSID:secure_access。將該XML檔案儲存到NAM.xml。

步驟4.安裝應用程式

1. 從Cisco.com手動下載應用程式。

- anyconnect-win-4.0.00048-k9.pkg

- anyconnect-win-compliance-3.6.9492.2.pkg

2. 在ISE上，導航到Policy > Results > Client Provisioning > Resources，並從本地磁碟新增代理資源。

3. 選擇Cisco Provided Packages（思科提供的軟體包）並選擇anyconnect-win-4.0.00048-k9.pkg:

4. 對遵從性模組重複步驟4。

步驟5.安裝VPN/NAM配置檔案

1. 導航到Policy > Results > Client Provisioning > Resources，然後從本地磁碟新增代理資源。

2. 選擇Customer Created Packages並鍵入AnyConnect Profile。選擇以前建立的NAM配置檔案（XML檔案）：

3. 對VPN配置檔案重複類似步驟：

步驟6.配置狀態

必須使用AnyConnect配置檔案編輯器在外部配置NAM和VPN配置檔案並將其匯入到ISE中。但是，安全評估在ISE上完全配置。

導航到Policy > Conditions > Posture > File Condition。您可以看到已建立了一個簡單的檔案存在條件。您必須擁有該檔案才能符合安全狀態模組驗證的策略：

此條件用於需求：

此要求用於Microsoft Windows系統的終端安全評估策略：

有關終端安全評估配置的詳細資訊，請參閱思科ISE配置指南上的終端安全評估服務。

狀態策略就緒後，是時候新增狀態代理配置了。

1. 導覽至Policy > Results > Client Provisioning > Resources，然後新增網路認可控制(NAC)代理或AnyConnect Agent狀態設定檔。

2. 選擇AnyConnect（已使用ISE版本1.3中的新終端安全評估模組，而不是舊的NAC代理）：

3. 在Posture Protocol部分，不要忘記新增*以允許代理連線到所有伺服器。

4. 如果「伺服器名稱規則」欄位為空，ISE不儲存設定並報告以下錯誤：

Server name rules: valid value is required

步驟7.配置AnyConnect

在這個階段，所有應用程式(AnyConnect)和所有模組（VPN、NAM和狀態）的配置檔案配置都已配置。是時候把它綁在一起了。

1. 導航到Policy > Results > Client Provisioning > Resources，然後新增AnyConnect Configuration。

2. 配置名稱並選擇合規性模組和所有所需的AnyConnect模組（VPN、NAM和安全狀態）。

3. 在配置檔案選擇中，選擇之前為每個模組配置的配置檔案。

4. VPN模組是所有其他模組正常運行的必備模組。即使未選擇安裝VPN模組，也會將其推入並安裝到客戶端上。如果您不想使用VPN，可以為VPN配置一個特殊配置檔案，該配置檔案隱藏VPN模組的使用者介面。這些行應新增到VPN.xml檔案中：

<ClientInitialization>

true

</ClientInitialization>

5. 當您使用iso程式包(anyconnect-win-3.1.06073-pre-deploy-k9.iso)中的Setup.exe時，也會安裝此類配置檔案。 然後，會隨配置一起安裝VPN的VPNDisable_ServiceProfile.xml配置檔案，從而禁用VPN模組的使用者介面。

步驟8.  客戶端調配規則

應在客戶端調配規則中引用步驟7中建立的AnyConnect配置：

客戶端調配規則決定要將哪個應用程式推送到客戶端。此處只需要一條規則，其結果指向步驟7中建立的配置。這樣，重定向到客戶端預配的所有Microsoft Windows端點將使用AnyConnect配置以及所有模組和配置檔案。

步驟9.授權配置檔案

需要建立客戶端調配的授權配置檔案。使用預設客戶端調配門戶：

此配置檔案強制將使用者重定向以調配到預設客戶端調配門戶。此門戶評估客戶端調配策略（在步驟8中建立的規則）。 授權配置檔案是在步驟10中配置的授權規則的結果。

GuestRedirect Access Control List(ACL)是在WLC上定義的ACL的名稱。此ACL決定應將哪些流量重定向到ISE。如需詳細資訊，請參閱使用交換機和身分識別服務引擎的中央Web驗證組態範例。

還有另一個授權配置檔案為非合規使用者（稱為LimitedAccess）提供有限網路訪問(DACL)。

步驟10.授權規則

所有這些規則合併為四個授權規則：

首先連線到調配SSID，然後重定向至預設客戶端調配門戶（名為調配的規則）。 連線到Secure_access SSID後，如果ISE未收到來自終端安全評估模組的報告（名為Unknown的規則），它仍會重定向以進行調配。 終端完全合規後，將授予完全訪問許可權（符合規則名稱）。 如果終端報告為不合規的，則其網路訪問受到限制（名為NonCompliant的規則）。

驗證

您與調配SSID關聯，嘗試訪問任何網頁，然後重定向到客戶端調配門戶：

由於未檢測到AnyConnect，因此要求您安裝：

下載一個名為Network Setup Assistant的小型應用程式，它負責整個安裝過程。請注意，它與1.2版中的Network Setup Assistant不同。

所有模組（VPN、NAM和狀態）均已安裝和配置。您必須重新啟動電腦：

重新啟動後，將自動執行AnyConnect，且NAM會嘗試與secure_access SSID關聯（根據配置的配置檔案）。 請注意VPN配置檔案已正確安裝（VPN的asav2條目）：

身份驗證後，AnyConnect將下載更新並執行驗證的終端安全評估規則：

在此階段，可能存在有限的訪問許可權（您在ISE上遇到未知授權規則）。 一旦站台合規，安全狀態模組將報告此情況：

還可以驗證詳細資訊（滿足FileRequirement）：

消息歷史記錄顯示詳細步驟：

9:18:38 AM The AnyConnect Downloader is performing update checks...

9:18:38 AM Checking for profile updates...

9:18:38 AM Checking for product updates...

9:18:38 AM Checking for customization updates...

9:18:38 AM Performing any required updates...

9:18:38 AM The AnyConnect Downloader updates have been completed.

9:18:38 AM Update complete.

9:18:38 AM Scanning system ...

9:18:40 AM Checking requirement 1 of 1.

9:18:40 AM Updating network settings ...

9:18:48 AM Compliant.

成功的報告傳送到ISE，ISE觸發授權更改。第二個身份驗證遇到Compliant規則，並授予完整網路訪問許可權。如果在仍與調配SSID關聯時傳送終端安全評估報告，則在ISE上看到以下日誌：

狀態報告顯示：

詳細報告顯示滿足的FileRequirement:

疑難排解

目前尚無適用於此組態的具體疑難排解資訊。

相關資訊

- 思科ISE上的終端安全評估服務配置指南

- 思科ISE 1.3管理員指南

- 技術支援與文件 - Cisco Systems