المقدمة
يصف هذا المستند كيفية تكوين عميل Cisco الآمن (يتضمن AnyConnect) باستخدام المصادقة المحلية على Cisco FTD التي تتم إدارتها بواسطة Cisco FMC.
المتطلبات الأساسية
المتطلبات
توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:
- تكوين عميل SSL الآمن من خلال مركز إدارة FirePOWER (FMC)
- تكوين كائنات Firepower من خلال FMC
- شهادات SSL على Firepower
المكونات المستخدمة
تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:
- Cisco Firepower Threat Defense (FTD)، الإصدار 7.0.0 (Build 94)
- Cisco FMC، الإصدار 7.0.0 (Build 94)
- Cisco Secure Mobility Client 4.10.01075
تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.
معلومات أساسية
في هذا المثال، يتم إستخدام طبقة مآخذ التوصيل الآمنة (SSL) لإنشاء الشبكة الخاصة الظاهرية (VPN) بين FTD وعميل Windows 10.
من الإصدار 7.0.0، يدعم بروتوكول FTD الذي تتم إدارته بواسطة FMC المصادقة المحلية لعملاء Cisco الآمنين. ويمكن تعريف هذا كطريقة مصادقة أساسية أو كطريقة إحتياطية في حالة فشل الطريقة الأساسية. في هذا المثال، يتم تكوين المصادقة المحلية كمصادقة أساسية.
قبل أن يكون إصدار البرنامج هذا Cisco Secure Client Local Authentication على FTD متاحا فقط على Cisco Firepower Device Manager (FDM).
التكوين
التكوينات
الخطوة 1. التحقق من الترخيص
قبل تكوين Cisco Secure Client، يجب تسجيل FMC، وأن تكون متوافقة مع مدخل الترخيص الذكي. لا يمكنك نشر Cisco Secure Client إذا لم يكن ل FTD ترخيص PLUS أو APEX أو VPN صالح فقط.
انتقل إلى النظام > التراخيص > التراخيص الذكية للتحقق من أن وحدة التحكم في إدارة الإطارات (FMC) مسجلة ومتوافقة مع مدخل الترخيص الذكي.
![متوافق مع FMC](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-00.png)
قم بالتمرير لأسفل على نفس الصفحة، في أسفل مخطط التراخيص الذكية يمكنك مشاهدة الأنواع المختلفة من تراخيص عميل Cisco الآمن (AnyConnect) المتوفرة والأجهزة المشتركة في كل منها. التحقق من صحة FTD الموجود قيد التسجيل ضمن أي من هذه الفئات.
![الترخيص الذكي ل FTDv](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-01.png)
الخطوة 2. تحميل حزمة Cisco Secure Client إلى FMC
قم بتنزيل حزمة نشر وحدة الاستقبال والبث الخاصة ب Cisco Secure Client (AnyConnect) ل Windows من cisco.com.
![تنزيل AnyConnect](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-02.png)
لتحميل صورة عميل Cisco الآمن، انتقل إلى الكائنات > إدارة الكائنات واختر ملف عميل Cisco الآمن ضمن فئة VPN في جدول المحتويات.
![كائن AnyConnect](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-03.png)
أختر الزر إضافة ملف AnyConnect. في نافذة إضافة ملف عميل AnyConnect الآمن، قم بتعيين اسم للكائن، ثم أختر إستعراض. لاختيار حزمة عميل Cisco الآمن وأخيرا أختر صورة عميل AnyConnect كنوع الملف في القائمة المنسدلة.
![تكوين كائن AnyConnect](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-04.png)
أختر الزر حفظ. يجب إضافة الكائن إلى قائمة الكائنات.
![تم حفظ كائن AnyConnect](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-05.png)
الخطوة 3. إنشاء شهادة موقعة ذاتيا
يتطلب SSL Cisco Secure Client (AnyConnect) وجود شهادة واحدة صالحة ليتم إستخدامها في مصافحة SSL بين وحدة الاستقبال والبث الخاصة بشبكة VPN والعميل.
ملاحظة: في هذا المثال، يتم إنشاء شهادة موقعة ذاتيا لهذا الغرض. ومع ذلك، فإلى جانب الشهادات الموقعة ذاتيا، من الممكن تحميل شهادة موقعة إما من هيئة شهادة داخلية أو من مرجع مصدق معروف أيضا.
لإنشاء الشهادة الموقعة ذاتيا، انتقل إلى الأجهزة > الشهادات.
![الشهادات](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-06.png)
أختر الزر إضافة. ثم أختر FTD الموجود حاليا في القائمة المنسدلة الجهاز في نافذة إضافة شهادة جديدة.
![TrustPoint](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-07.png)
أختر زر إضافة تسجيل الوصول (أخضر + رمز) لإنشاء كائن تسجيل جديد. قم الآن، في نافذة إضافة تسجيل دخول للعنصر، بتعيين اسم للكائن واختر شهادة موقعة ذاتيا في القائمة المنسدلة نوع التسجيل.
![موقع ذاتيا](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-08.png)
أخيرا، بالنسبة للشهادات الموقعة ذاتيا، يكون إلزاميا أن يكون هناك اسم مشترك (CN). انتقل إلى علامة تبويب معلمات الشهادات لتحديد CN.
![الاسم الشائع](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-09.png)
أختر أزرار حفظ وإضافة. بعد بضع ثوان، يجب إضافة الشهادة الجديدة إلى قائمة الشهادات.
![تم حفظ الشهادة](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-10.png)
الخطوة 4. إنشاء نطاق محلي على FMC
يتم تخزين قاعدة بيانات المستخدم المحلي وكلمات المرور المقابلة في نطاق محلي. لإنشاء المجال المحلي، انتقل إلى نظام > تكامل > ريمز.
![المملكة المحلية](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-11.png)
أختر زر إضافة حيز. في نافذة إضافة حيز جديد، قم بتعيين اسم واختر خيار محلي في القائمة المنسدلة النوع.
![اسم النطاق المحلي](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-12.png)
يتم إنشاء حسابات المستخدمين وكلمات المرور في قسم تكوين المستخدم المحلي.
ملاحظة: يجب أن يكون لكلمات المرور حرف حرف حرف كبير واحد على الأقل وحرف حرف حرف صغير ورقم واحد وحرف خاص واحد.
![حساب المستخدم](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-13.png)
يجب إضافة حفظ التغييرات والحيز الجديد إلى قائمة القيم الموجودة.
![المملكة الأخيرة](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-14.png)
الخطوة 5. تكوين SSL Cisco Secure Client
لتكوين SSL Cisco Secure Client، انتقل إلى الأجهزة > VPN > الوصول عن بعد.
![الوصول عن بعد](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-15.png)
أخترت يضيف زر in order to خلقت جديد VPN سياسة. قم بتحديد اسم لملف تعريف الاتصال، ثم حدد خانة إختيار SSL، ثم أختر FTD الموجود كجهاز مستهدف. يجب تكوين كل شيء في قسم تعيين النهج في معالج نهج VPN للوصول عن بعد.
![إحالة السياسة](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-16.png)
أختر التالي للنقل إلى تكوين ملف تعريف الاتصال. قم بتعريف اسم لتوصيف التوصيل واختر AAA فقط كطريقة مصادقة. ثم، في القائمة المنسدلة خادم المصادقة، أختر محلي، وأخيرا، أختر النطاق المحلي الذي تم إنشاؤه في الخطوة 4 في القائمة المنسدلة النطاق المحلي.
![ملف تعريف الاتصال](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-17.png)
قم بالتمرير إلى أسفل على نفس الصفحة، ثم أختر أيقونة القلم الرصاص في قسم تجمع عناوين IPv4 لتحديد تجمع IP المستخدم من قبل عملاء Cisco الآمن.
![تجمع IPv4](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-18.png)
أخترت بعد ذلك in order to نقلت إلى AnyConnect قسم. الآن، أختر صورة عميل Cisco الآمن التي تم تحميلها في الخطوة 2.
![صورة](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-19.png)
أختر التالي للنقل إلى قسم الوصول والشهادة. في القائمة المنسدلة مجموعة الواجهة/منطقة الأمان ، أختر الواجهة التي يلزم تمكين Cisco Secure Client (AnyConnect) فيها. ثم، في القائمة المنسدلة تسجيل الشهادة، أختر الشهادة التي تم إنشاؤها في الخطوة 3.
![الوصول والتحكم](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-20.png)
أخيرا، أخترت بعد ذلك in order to رأيت خلاصة من ال cisco يأمن زبون تشكيل.
![ملخص](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-21.png)
إذا كانت جميع الإعدادات صحيحة، أختر إنهاء ونشر التغييرات على FTD.
![النشر](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-22.png)
التحقق من الصحة
بمجرد نجاح النشر، ابدأ اتصال Cisco AnyConnect Secure Mobility Client من عميل Windows إلى FTD. يجب أن يكون اسم المستخدم وكلمة المرور المستخدمين في مطالبة المصادقة هما نفس الشيء الذي تم إنشاؤه في الخطوة 4.
![إختبار](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-23.png)
بمجرد اعتماد بيانات الاعتماد من قبل FTD، يجب أن يعرض تطبيق Cisco AnyConnect Secure Mobility Client حالة الاتصال.
![إتصلتما](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-24.png)
من FTD يمكنك تشغيل الأمر show vpn-sessionDB anyConnect لعرض جلسات عمل العميل الآمنة من Cisco النشطة حاليا على جدار الحماية.
firepower# show vpn-sessiondb anyconnect
Session Type: AnyConnect
Username : dperezve Index : 8
Assigned IP : 172.16.13.1 Public IP : 10.31.124.34
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Premium
Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES-GCM-256
Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA384
Bytes Tx : 15756 Bytes Rx : 14606
Group Policy : DfltGrpPolicy
Tunnel Group : SSL_AnyConnect_LocalAuth
Login Time : 21:42:33 UTC Tue Sep 7 2021
Duration : 0h:00m:30s
Inactivity : 0h:00m:00s
VLAN Mapping : N/A VLAN : none
Audt Sess ID : 00000000000080006137dcc9
Security Grp : none Tunnel Zone : 0
استكشاف الأخطاء وإصلاحها
قم بتشغيل الأمر debug webVPN AnyConnect 255 على FTD لترى تدفق اتصال SSL على FTD.
firepower# debug webvpn anyconnect 255
بالإضافة إلى تصحيح أخطاء العميل الآمن من Cisco، يمكن ملاحظة تدفق الاتصال مع التقاط حزمة TCP أيضا. هذا مثال على اتصال ناجح، يتم إكمال ثلاث عمليات مصافحة دورية بين عميل Windows و FTD، يتبعها مصافحة SSL تستخدم للموافقة على عمليات التشفير.
![تدفق الاتصال](/c/dam/en/us/support/docs/security/anyconnect-secure-mobility-client/217352-configure-ssl-anyconnect-with-local-auth-25.png)
بعد عمليات تأكيد الاتصال بالبروتوكول، يجب أن يقوم FTD بالتحقق من صحة بيانات الاعتماد باستخدام المعلومات المخزنة في النطاق المحلي.
تجمع حزمة DART واتصل ب Cisco TAC لمزيد من البحث.