Konfigurieren von CSD auf Cisco IOS mit SDM

Einleitung

Obwohl SSL-VPN-Sitzungen (Secure Sockets Layer) (Cisco WebVPN) sicher sind, verbleiben auf dem Client möglicherweise nach Abschluss der Sitzung noch Cookies, Browserdateien und E-Mail-Anhänge. Cisco Secure Desktop (CSD) erweitert die inhärente Sicherheit von SSL VPN-Sitzungen, indem Sitzungsdaten in einem verschlüsselten Format in einen speziellen Vault-Bereich der Client-Festplatte geschrieben werden. Außerdem werden diese Daten am Ende der SSL VPN-Sitzung von der Festplatte entfernt. In diesem Dokument wird eine Beispielkonfiguration für eine CSD auf einem Cisco IOS®^-Router vorgestellt.

CSD wird auf den folgenden Cisco Geräteplattformen unterstützt:

• Cisco IOS Router Version 12.4(6)T und höher

• Cisco 870,1811,1841, 2801, 2811, 2821, 2851, 3725, 3745, 3825, 3845, 7200 und 730 1 Router

• Cisco VPN Concentrators der Serie 3000, Version 4.7 und höher

• Cisco Security Appliances der Serie ASA 5500, Version 7.1 und höher

• Cisco WebVPN Services Module für Cisco Catalyst und Cisco Switches der Serie 7600, Version 1.2 und höher

Voraussetzungen

Anforderungen

Stellen Sie sicher, dass die folgenden Anforderungen erfüllt sind, bevor Sie diese Konfiguration ausprobieren:

Voraussetzungen für den Cisco IOS Router

• Cisco IOS-Router mit Advanced Image 12.4(6T) oder höher

• Cisco Router Secure Device Manager (SDM) 2.3 oder höher

• Eine Kopie des CSD für IOS-Pakets auf Ihrer Verwaltungsstation

• Selbstsigniertes digitales Zertifikat oder Authentifizierung mit einer Zertifizierungsstelle (Certificate Authority, CA)

  Hinweis: Wenn Sie digitale Zertifikate verwenden, stellen Sie sicher, dass Sie den Hostnamen, den Domänennamen und das Datum/die Uhrzeit/die Zeitzone des Routers korrekt festlegen.

• Ein geheimes Kennwort für den Router aktivieren

• DNS auf Ihrem Router aktiviert. Mehrere WebVPN-Dienste erfordern DNS, um ordnungsgemäß zu funktionieren.

Anforderungen für Client-Computer

• Remote-Clients sollten über lokale Administratorberechtigungen verfügen. Dies ist nicht erforderlich, wird aber dringend empfohlen.

• Remote-Clients müssen Java Runtime Environment (JRE) Version 1.4 oder höher aufweisen.

• Remote-Client-Browser: Internet Explorer 6.0, Netscape 7.1, Mozilla 1.7, Safari 1.2.2 oder Firefox 1.0

• Cookies aktiviert und Popups auf Remote-Clients zugelassen

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Cisco IOS-Router 3825 mit Version 12.9(T)

• SDM Version 2.3.1

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle in diesem Dokument verwendeten Geräte begannen mit einer gelöschten (Standard-)Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Netzwerkdiagramm

In diesem Dokument wird die folgende Netzwerkeinrichtung verwendet:

In diesem Beispiel wird ein Cisco Router der Serie 3825 verwendet, um einen sicheren Zugriff auf das Intranet des Unternehmens zu ermöglichen. Der Cisco Router der Serie 3825 erhöht die Sicherheit von SSL VPN-Verbindungen durch konfigurierbare CSD-Funktionen und -Merkmale. Clients können sich über eine der folgenden drei SSL VPN-Methoden mit dem CSD-fähigen Router verbinden: Clientless SSL VPN (WebVPN), Thin-Client SSL VPN ( Port-Forwarding) oder SSL VPN Client (Full Tunneling SVC).

Verwandte Produkte

Diese Konfiguration kann auch mit den folgenden Hardware- und Softwareversionen verwendet werden:

• Cisco Router-Plattformen 870,1811,1841,2801,2811,2821,2851,3725,3745,3825,3845, 7200 und 730 01

• Cisco IOS Advanced Security Image Version 12.4(6)T und höher

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).

Konfigurieren

Über ein WebVPN-Gateway kann ein Benutzer über eine der SSL VPN-Technologien eine Verbindung zum Router herstellen. Auf dem Gerät ist nur ein WebVPN-Gateway pro IP-Adresse zulässig, es können jedoch mehrere WebVPN-Kontexte mit einem WebVPN-Gateway verbunden werden. Jeder Kontext wird durch einen eindeutigen Namen identifiziert. Gruppenrichtlinien identifizieren die konfigurierten Ressourcen, die für einen bestimmten WebVPN-Kontext verfügbar sind.

Die Konfiguration eines CSD auf einem IOS-Router erfolgt in zwei Phasen:

Phase I: Vorbereitung des Routers für die CSD-Konfiguration mit SDM

1. Konfigurieren Sie ein WebVPN-Gateway, einen WebVPN-Kontext und eine Gruppenrichtlinie.

   Hinweis: Dieser Schritt ist optional und wird in diesem Dokument nicht ausführlich behandelt. Wenn Sie Ihren Router bereits für eine der SSL VPN-Technologien konfiguriert haben, lassen Sie diesen Schritt aus.

2. Aktivieren Sie CSD in einem WebVPN-Kontext .

Phase II: Konfigurieren des CSD über einen Webbrowser

1. Definieren Sie Windows-Speicherorte .

2. Identifizieren von Standortkriterien .

3. Konfigurieren Sie Windows-Standortmodule und -features .

4. Konfigurieren der Windows CE-, Macintosh- und Linux-Funktionen .

Phase I: Vorbereitung des Routers für die CSD-Konfiguration mit SDM

CSD kann mit SDM oder über die Befehlszeilenschnittstelle (CLI) konfiguriert werden. Diese Konfiguration verwendet SDM und einen Webbrowser.

Mit diesen Schritten wird die Konfiguration der CSD auf dem IOS-Router abgeschlossen.

Phase I: Schritt 1: Konfigurieren eines WebVPN-Gateways, eines WebVPN-Kontexts und einer Gruppenrichtlinie

Sie können den WebVPN-Assistenten verwenden, um diese Aufgabe durchzuführen.

1. Öffnen Sie SDM, und gehen Sie zu Configure > VPN > WebVPN. Klicken Sie auf die Registerkarte Create WebVPN (WebVPN erstellen), und aktivieren Sie das Optionsfeld Create a new WebVPN (Neues WebVPN erstellen). Klicken Sie auf Ausgewählte Aufgabe starten.

   

2. Der Bildschirm des WebVPN-Assistenten listet die Parameter auf, die Sie konfigurieren können. Klicken Sie auf Next (Weiter).

   

3. Geben Sie die IP-Adresse für das WebVPN-Gateway, einen eindeutigen Namen für den Dienst und Informationen für das digitale Zertifikat ein. Klicken Sie auf Next (Weiter).

   

4. Es können Benutzerkonten für die Authentifizierung an diesem WebVPN-Gateway erstellt werden. Sie können entweder lokale Konten oder Konten verwenden, die auf einem externen AAA-Server (Authentication, Authorization, and Accounting) erstellt wurden. In diesem Beispiel werden lokale Konten auf dem Router verwendet. Aktivieren Sie das Optionsfeld Lokal auf diesem Router, und klicken Sie auf Hinzufügen.

   

5. Geben Sie im Bildschirm "Konto hinzufügen" die Kontoinformationen für den neuen Benutzer ein, und klicken Sie auf OK.

   

6. Nachdem Sie die Benutzer erstellt haben, klicken Sie auf der Seite Benutzerauthentifizierung auf Weiter.

   

7. Im Bildschirm Intranet-Websites konfigurieren können Sie die Website konfigurieren, die Benutzern des WebVPN-Gateways zur Verfügung steht. Da der Schwerpunkt dieses Dokuments auf der Konfiguration von CSD liegt, ignorieren Sie diese Seite. Klicken Sie auf Next (Weiter).

   

8. Im nächsten Fenster des WebVPN-Assistenten können Sie den SSL VPN-Client für vollständigen Tunnel aktivieren. Der Schwerpunkt dieses Dokuments liegt jedoch auf der Aktivierung von CSD. Deaktivieren Sie Vollständigen Tunnel aktivieren, und klicken Sie auf Weiter.

   

9. Sie können die Darstellung der WebVPN-Portalseite für Benutzer anpassen. In diesem Fall wird die Standarddarstellung akzeptiert. Klicken Sie auf Next (Weiter).

   

10. Der Assistent zeigt den letzten Bildschirm dieser Serie an. Es zeigt eine Zusammenfassung der Konfiguration für das WebVPN-Gateway. Klicken Sie auf Fertig stellen, und klicken Sie auf OK, wenn Sie dazu aufgefordert werden.

    

Phase I: Schritt 2: Aktivieren von CSD in einem WebVPN-Kontext

Verwenden Sie den WebVPN-Assistenten, um CSD in einem WebVPN-Kontext zu aktivieren.

1. Verwenden Sie die erweiterten Funktionen des WebVPN-Assistenten, um CSD für den neu erstellten Kontext zu aktivieren. Der Assistent bietet Ihnen die Möglichkeit, das CSD-Paket zu installieren, wenn es noch nicht installiert ist.

   1. Klicken Sie in SDM auf die Registerkarte Konfigurieren.

   2. Klicken Sie im Navigationsfenster auf VPN > WebVPN.

   3. Klicken Sie auf die Registerkarte Create WebVPN.

   4. Aktivieren Sie das Optionsfeld Erweiterte Funktionen für ein vorhandenes WebVPN konfigurieren.

   5. Klicken Sie auf die Schaltfläche Ausgewählten Task starten.

      

2. Die Willkommensseite des erweiterten WebVPN-Assistenten wird angezeigt. Klicken Sie auf Next (Weiter).

   

3. Wählen Sie aus den Dropdown-Feldern das WebVPN und die Benutzergruppe aus. Die Funktionen des erweiterten WebVPN-Assistenten werden auf Ihre Auswahl angewendet. Klicken Sie auf Next (Weiter).

   

4. Im Bildschirm "Erweiterte Funktionen auswählen" können Sie aus den aufgeführten Technologien auswählen.

   1. Informieren Sie sich über Cisco Secure Desktop.

   2. In diesem Beispiel lautet die Auswahl Clientless Mode (Clientless-Modus).

   3. Wenn Sie eine der anderen aufgelisteten Technologien auswählen, werden zusätzliche Fenster geöffnet, in denen Sie verwandte Informationen eingeben können.

   4. Klicken Sie auf die Schaltfläche Weiter.

   

5. Im Bildschirm Intranet-Websites konfigurieren können Sie die gewünschten Websiteressourcen konfigurieren, die den Benutzern zur Verfügung stehen sollen. Sie können die internen Websites des Unternehmens wie Outlook Web Access (OWA) hinzufügen.

   

6. Im Bildschirm "Enable Cisco Secure Desktop (CSD)" (Cisco Secure Desktop (CSD aktivieren) können Sie den CSD für diesen Kontext aktivieren. Aktivieren Sie das Kontrollkästchen neben Cisco Secure Desktop (CSD) installieren, und klicken Sie auf Durchsuchen.

   

7. Aktivieren Sie im Bereich "CSD-Standort auswählen" das Kontrollkästchen Arbeitsplatz.

   1. Klicken Sie auf die Schaltfläche Durchsuchen.

   2. Wählen Sie die CSD-IOS-Paketdatei auf Ihrer Management-Workstation aus.

   3. Klicken Sie auf die Schaltfläche OK.

   4. Klicken Sie auf die Schaltfläche Weiter.

   

8. Es wird eine Übersicht über den Bildschirm "Konfiguration" angezeigt. Klicken Sie auf die Schaltfläche Fertig stellen.

   

9. Klicken Sie auf OK, wenn die CSD-Paketdatei erfolgreich installiert wurde.

   

Phase II: Konfigurieren des CSD über einen Webbrowser

Mit diesen Schritten können Sie die CSD-Konfiguration in Ihrem Webbrowser abschließen.

Phase II: Schritt 1: Definieren von Windows-Speicherorten

Definieren der Windows-Speicherorte

1. Öffnen Sie Ihren Webbrowser unter https://WebVPNgateway_IP Address/csd_admin.html, z. B. https:/192.168.0.37/csd_admin.html.

2. Geben Sie den Benutzernamen admin ein.

   1. Geben Sie das Kennwort ein, das den Schlüssel für den Router bildet.

   2. Klicken Sie auf Anmelden.

   

3. Akzeptieren Sie das vom Router angebotene Zertifikat, wählen Sie den Kontext aus dem Dropdown-Feld aus, und klicken Sie auf Go.

   

4. Der Secure Desktop Manager für WebVPN wird geöffnet.

   

5. Wählen Sie im linken Bereich Windows-Standorteinstellungen aus.

   1. Platzieren Sie den Cursor in das Feld neben Ortsname, und geben Sie einen Ortsnamen ein.

   2. Klicken Sie auf Hinzufügen.

   3. In diesem Beispiel werden drei Standortnamen angezeigt: Office, Home und Insecure. Bei jedem Hinzufügen eines neuen Standorts wird der linke Bereich mit den konfigurierbaren Parametern für diesen Standort erweitert.

   

6. Nachdem Sie die Windows-Speicherorte erstellt haben, klicken Sie oben im linken Bereich auf Speichern.

   Hinweis: Speichern Sie Ihre Konfigurationen regelmäßig, da Ihre Einstellungen verloren gehen, wenn Sie nicht mehr mit dem Webbrowser verbunden sind.

   

Phase II: Schritt 2: Kriterien für den Standort ermitteln

Um Windows-Standorte voneinander zu unterscheiden, weisen Sie jedem Standort bestimmte Kriterien zu. Dadurch kann der CSD feststellen, welche seiner Funktionen für einen bestimmten Windows-Standort gelten sollen.

1. Klicken Sie im linken Bereich auf Office.

   1. Sie können einen Windows-Speicherort anhand von Zertifikatkriterien, IP-Kriterien, einer Datei oder Registrierungskriterien identifizieren. Sie können für diese Clients auch den sicheren Desktop oder den Cache-Cleaner auswählen. Da es sich bei diesen Benutzern um interne Büroangestellte handelt, identifizieren Sie sie anhand von IP-Kriterien.

   2. Geben Sie die IP-Adressbereiche in den Feldern Von und Bis ein.

   3. Klicken Sie auf Hinzufügen. Deaktivieren Sie Use Module: Secure Desktop.

   4. Wenn Sie dazu aufgefordert werden, klicken Sie auf Speichern, und klicken Sie auf OK.

   

2. Klicken Sie im linken Bereich auf das zweite Fenster Windows Location Setting Home.

   1. Vergewissern Sie sich, dass Use Module: Secure Desktop aktiviert ist.

   2. Es wird eine Datei verteilt, die diese Clients identifiziert. Sie können für diese Benutzer Zertifikate und/oder Registrierungskriterien verteilen.

   3. Aktivieren Sie Identifikation mit Datei- oder Registrierungskriterien aktivieren.

   4. Klicken Sie auf Hinzufügen.

   

3. Wählen Sie im Dialogfeld die Option Datei aus, und geben Sie den Pfad zur Datei ein.

   1. Diese Datei muss an alle Ihre privaten Clients verteilt werden.

   2. Aktivieren Sie das Optionsfeld Exists (Vorhanden).

   3. Wenn Sie dazu aufgefordert werden, klicken Sie auf OK und dann auf Speichern.

   

4. Um die Identifizierung von unsicheren Standorten zu konfigurieren, wenden Sie einfach keine Identifizierungskriterien an.

   1. Klicken Sie im linken Bereich auf Unsicher.

   2. Lassen Sie alle Kriterien deaktiviert.

   3. Aktivieren Sie Use Module: Secure Desktop.

   4. Wenn Sie dazu aufgefordert werden, klicken Sie auf Speichern, und klicken Sie auf OK.

   

Phase II: Schritt 3: Konfigurieren der Windows-Standortmodule und -funktionen

Konfigurieren Sie die CSD-Funktionen für jeden Windows-Standort.

1. Klicken Sie unter Office auf VPN Feature Policy (VPN-Funktionsrichtlinie). Da es sich um vertrauenswürdige interne Clients handelt, wurden weder CSD noch Cache Cleaner aktiviert. Keiner der anderen Parameter ist verfügbar.

   

2. Schalten Sie die Funktionen wie abgebildet ein.

   1. Wählen Sie im linken Bereich unter Home (Startseite) die Option VPN Feature Policy (VPN-Funktionsrichtlinie).

   2. Privatbenutzer erhalten Zugriff auf das Firmen-LAN, wenn die Clients bestimmte Kriterien erfüllen.

   3. Wählen Sie für jede Zugriffsmethode ON (Ein) aus, wenn Kriterien zugeordnet sind.

   

3. Klicken Sie für die Websuche auf die Schaltfläche mit den Auslassungszeichen, und wählen Sie die Kriterien aus, die übereinstimmen müssen. Klicken Sie im Dialogfeld auf OK.

   

4. Sie können die anderen Zugriffsmethoden auf ähnliche Weise konfigurieren.

   1. Wählen Sie unter Startseite die Option Tastenanschlag-Protokollierung aus.

   2. Aktivieren Sie das Kontrollkästchen Check for keystroke loggers (Nach Tastenanschlag-Protokollierung suchen).

   3. Wenn Sie dazu aufgefordert werden, klicken Sie auf Speichern, und klicken Sie auf OK.

   

5. Wählen Sie im Fenster Home die Option Cache Cleaner (Cache-Bereinigung). Lassen Sie die Standardeinstellungen wie im Screenshot dargestellt unverändert.

   

6. Wählen Sie unter Home (Startseite) Secure Desktop General (Sicherer Desktop - Allgemein). Aktivieren Sie die Option Anwendung beim Schließen von Secure Desktop deinstallieren vorschlagen. Lassen Sie alle anderen Parameter auf ihren Standardeinstellungen, wie im Screenshot gezeigt.

   

7. Wählen Sie für die Einstellungen für den sicheren Desktop unter "Home" die Option Transparentes Arbeiten von E-Mail-Anwendungen zulassen aus. Wenn Sie dazu aufgefordert werden, klicken Sie auf Speichern, und klicken Sie auf OK.

   

8. Die Konfiguration des Secure Desktop Browser hängt davon ab, ob diese Benutzer mit vorkonfigurierten Favoriten auf eine Unternehmens-Website zugreifen sollen.

   1. Wählen Sie unter Insecure die Option VPN Feature Policy (VPN-Funktionsrichtlinie).

   2. Da es sich hierbei nicht um vertrauenswürdige Benutzer handelt, sollte nur das Surfen im Internet zugelassen werden.

   3. Wählen Sie ON aus dem Dropdown-Menü für Web-Browsing aus.

   4. Alle anderen Zugriffe sind auf AUS eingestellt.

   

9. Aktivieren Sie das Kontrollkästchen Nach Tastenanschlag-Protokollierung suchen.

   

10. Konfigurieren Sie den Cache Cleaner für unsichere Anwendungen.

    1. Aktivieren Sie das Kontrollkästchen Gesamten Cache außer dem aktuellen Sitzungscache (nur IE) leeren.

    2. Lassen Sie die anderen Einstellungen auf ihren Standardeinstellungen.

    

11. Wählen Sie unter Insecure die Option Secure Desktop General.

    1. Verringern Sie das Zeitlimit für Inaktivität auf 2 Minuten.

    2. Aktivieren Sie das Kontrollkästchen Deinstallation der Anwendung beim Schließen von Secure Desktop erzwingen.

    

12. Wählen Sie Sichere Desktop-Einstellungen unter Unsicher aus, und konfigurieren Sie sehr restriktive Einstellungen wie dargestellt.

    

13. Wählen Sie Sicherer Desktop-Browser aus. Geben Sie im Feld Startseite die Website ein, zu der diese Kunden für ihre Startseite geführt werden.

    

Phase II: Schritt 4: Konfigurieren der Windows CE-, Macintosh- und Linux-Funktionen

Konfigurieren der CSD-Funktionen für Windows CE, Macintosh und Linux

1. Wählen Sie Windows CE unter Sicherer Desktop-Manager aus. Windows CE bietet nur eingeschränkte VPN-Funktionen. Aktivieren Sie die Internetnutzung.

   

2. Wählen Sie Mac & Linux Cache Cleaner.

   1. Die Betriebssysteme Macintosh und Linux haben nur Zugriff auf die Cache Cleaner-Aspekte von CSD. Konfigurieren Sie sie wie in der Grafik gezeigt.

   2. Wenn Sie dazu aufgefordert werden, klicken Sie auf Speichern, und klicken Sie auf OK.

   

Überprüfung

CSD-Vorgang testen

Testen Sie den Betrieb des CSD, indem Sie eine Verbindung mit dem WebVPN-Gateway über einen SSL-fähigen Browser unter https://WebVPN_Gateway_IP herstellen.

Hinweis: Verwenden Sie den eindeutigen Namen des Kontexts, wenn Sie andere WebVPN-Kontexte erstellt haben, z. B. https://192.168.0.37/cisco.

Befehle

Mit WebVPN sind mehrere Befehle zum Anzeigen verknüpft. Sie können diese Befehle über die Kommandozeile ausführen, um Statistiken und andere Informationen anzuzeigen. Weitere Informationen zu show-Befehlen finden Sie unter Überprüfen der WebVPN-Konfiguration.

Hinweis: Der CLI Analyzer (nur für registrierte Kunden) unterstützt bestimmte show-Befehle. Verwenden Sie den CLI Analyzer, um eine Analyse der Ausgabe des Befehls show anzuzeigen.

Fehlerbehebung

Befehle

Mit WebVPN sind mehrere Debug-Befehle verknüpft. Ausführliche Informationen zu diesen Befehlen finden Sie unter Verwenden von WebVPN-Debugbefehlen.

Hinweis: Die Verwendung von Debug-Befehlen kann sich negativ auf das Cisco Gerät auswirken. Lesen Sie den Artikel Important Information on Debug Commands (Wichtige Informationen zu Debug-Befehlen), bevor Sie debug-Befehle verwenden.

Weitere Informationen zu Clear-Befehlen finden Sie unter Verwenden von WebVPN Clear-Befehlen.

Zugehörige Informationen

• Implementierungsleitfaden für WebVPN- und DMVPN-Konvergenz
• SSL VPN - WebVPN
• Cisco IOS SSL VPN
• Technischer Support und Dokumentation für Cisco Systeme