為使用Entra ID的RA VPNaS配置安全訪問

下載選項

PDF (1.2 MB)
在多種裝置上使用 Adobe Reader 檢視
ePub (894.6 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (1.3 MB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2026 年 8 月 18 日

文件 ID:222972

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文分步介紹如何在Cisco Secure Access上配置RA VPN以根據Entra ID進行身份驗證。

必要條件

思科建議您瞭解以下主題：

使用Azure/Entra ID的知識。
思科安全訪問知識。

需求

在繼續操作之前，必須滿足以下要求：

以完全管理員身份訪問您的思科安全訪問控制面板。
以管理員身份訪問Azure。
已完成對思科安全訪問的使用者調配。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

Cisco Secure Access Dashboard。
Microsoft Azure門戶。
Cisco安全使用者端AnyConnect VPN版本5.1.8.105

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

設定

Azure配置

1.登入Cisco Secure Access控制面板並複製VPN 全域性FQDN。你正在在Azure企業應用程式配置中使用此FQDN。

Connect > End User Connectivity > Virtual Private Network > FQDN > Global

VPN Global FQDN VPN全域性FQDN

2.登入Azure並建立企業應用程式以進行RA VPN身份驗證。您可以使用名為Cisco Secure Firewall - Secure Client（以前稱為AnyConnect）身份驗證的預定義應用程式。

首頁>企業應用程式>新應用程式> Cisco Secure Firewall - Secure Client（以前稱為AnyConnect）身份驗證>建立

Create App in Azure 在Azure中建立應用

3.重新命名應用程式。
屬性>名稱

Rename the Application 重新命名應用程式

4.在Enterprise Application中，分配用戶以允許使用AnyConnect VPN進行身份驗證。
分配使用者和組> +新增使用者/組>分配

Users/Groups Assigned 分配的使用者/組

5.按一下單點登入並配置SAML參數。此處使用步驟1中複製的FQDN，以及步驟2稍後配置思科安全訪問中配置的VPN配置檔名稱。

例如，如果將VPN全域性FQDN用作example1.vpn.sse.cisco.com，並且Cisco安全訪問VPN配置檔名稱為VPN_EntraID，則（實體ID）和回覆URL（斷言使用者服務URL）的值如下：

識別符號（實體ID）：https://example1.vpn.sse.cisco.com/saml/sp/metadata/VPN_EntraID
回覆URL（斷言使用者服務URL）：https://example1.vpn.sse.cisco.com/+CSCOE+/saml/sp/acs?tgname=VPN_EntraID

SAML Parameters in Azure Azure中的SAML引數

6.下載聯合元資料XML。

Download Federation Metadata XML

思科安全存取組態

1.登入到Cisco Secure Access控制面板，然後新增IP 池。

Connect > End User Connectivity > Virtual Private Network > Add IP Pool

地區：選擇要部署RA VPN的區域。
顯示名稱：VPN IP池的名稱。
DNS伺服器：連線後建立或分配使用者用於進行DNS解析的DNS伺服器。
系統IP池：安全存取使用諸如Radius驗證等功能，驗證要求源自此範圍中的IP。
IP池：新增新的IP池，並指定使用者連線到RA VPN之後獲得的IP。

Add VPN Profile 新增VPN配置檔案

Config of IP Pool - Part 1 IP池配置 — 第1部分

Config of IP Pool - Part 2 IP池配置 — 第2部分

2.新增VPN配置檔案。

連線>終端使用者連線>虛擬專用網路> + VPN配置檔案

常規設定

附註：VPN配置檔案的名稱必須與您在步驟5中的配置Azure中配置的名稱相匹配。在此配置指南中，您使用了VPN_EntraID，因此您將在Cisco安全訪問中配置與VPN配置檔名稱相同的名稱。

VPN配置檔名稱：此VPN配置檔案的名稱，僅在儀表板中顯示。

顯示名稱：命名終端使用者在Secure Client - AnyConnect下拉選單上看到，當連線到此RA VPN配置檔案時，請參閱。
預設域：一旦連線到VPN，域使用者即可獲得。
DNS伺服器：DNS伺服器VPN使用者一旦連線到VPN。
指定的區域：使用與VPN IP池關聯的DNS伺服器。
自定義指定：您可以手動分配所需的DNS。
IP池：連線到該VPN後分配給使用者的IP。
配置檔案設定：包括此Machine Tunnel的VPN配置檔案或包括區域FQDN，以便終端使用者選擇要連線到的區域（取決於部署的IP池）。
通訊協定：選擇希望VPN使用者用於流量隧道的協定。
連線時間狀態（可選）：如果需要在連線時執行VPN狀態。此處顯示更多資訊

VPN Profile Config - Part 1 VPN配置檔案配置 — 第1部分

VPN Profile Config - Part 2 VPN配置檔案配置 — 第2部分

驗證、授權及記帳

通訊協定：選擇SAML。

使用CA證書進行身份驗證：如果您希望使用SSL證書進行身份驗證，並根據IdP SAML提供程式進行授權。
強制重新驗證：每次建立VPN連線時都強制重新進行身份驗證。強制重新身份驗證基於會話超時。這可能會受SAML IdP設定的影響（本例中為Azure）。

上載在步驟6中的「配置Azure」中下載的XML檔案聯合後設資料XML檔案。

SAML Config SAML配置

流量控制（分隔通道）

通道模式：
連線到Secure Access:所有流量都以通道傳送（全部通道）。
繞過安全訪問：只有在Exceptions部分中定義的特定流量通過隧道傳輸（拆分隧道）。
DNS模式：
預設DNS:所有DNS查詢都通過VPN配置檔案定義的DNS伺服器。在出現否定響應的情況下，DNS查詢還可以轉到在物理介面卡上配置的DNS伺服器。
通道所有DNS:通過VPN隧道傳輸所有DNS查詢。
拆分DNS:僅特定的DNS查詢通過VPN配置檔案，具體取決於下面指定的域。

Traffic Steering Config 流量控制配置

思科安全客戶端配置
在本指南中，您未配置任何這些高級設定。可在此處配置高級功能。舉例來說：TND、永遠線上、證書匹配、本地LAN訪問等。請在此處儲存設定。

Advanced Settings 高級設定

3.您的VPN配置檔案必須如下所示。您可以將xml配置檔案下載並預部署給終端使用者(在C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile下)，以開始使用VPN，或向他們提供要在Cisco Secure Client - AnyConnect VPN UI中輸入的配置檔案URL。

Global FQDN and Profile URL 全域性FQDN和配置檔案URL

驗證

此時，您的RA VPN配置必須準備好進行測試。
請注意，使用者首次連線時，需要為其提供配置檔案URL地址或在C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile下的PC中預部署xml配置檔案，重新啟動VPN服務，並且他們必須在下拉選單中看到連線到此VPN配置檔案的選項。

在本示例中，您為首次連線嘗試的使用者提供配置檔案URL地址。

在第一個連線之前：

Prior VPN Connection 先前的VPN連線