ASA: النفق الذكي باستخدام مثال تكوين ASDM

المقدمة

النفق الذكي هو اتصال بين تطبيق يستند إلى TCP وموقع خاص، باستخدام جلسة VPN SSL (المستندة إلى المستعرض) بدون عميل مع جهاز الأمان كمسار وجهاز الأمان كخادم وكيل. يمكنك تحديد التطبيقات التي تريد منح الوصول الذكي إلى النفق إليها وتحديد المسار المحلي لكل تطبيق. بالنسبة للتطبيقات التي تعمل على Microsoft Windows، يمكنك أيضا طلب تطابق تجزئة SHA-1 من المجموع الاختباري كشرط لمنح الوصول الذكي إلى النفق.

Lotus SameTime وMicrosoft Outlook Express هما مثالان للتطبيقات التي قد ترغب في منح الوصول الذكي إلى النفق إليها.

بناء على ما إذا كان التطبيق عميل أو تطبيق تم تمكين الويب عليه، يتطلب تكوين النفق الذكي أحد الإجراءات التالية:

• قم بإنشاء قائمة أو أكثر من قوائم النفق الذكية لتطبيقات العميل، ثم قم بتعيين القائمة إلى نهج المجموعة أو نهج المستخدم المحلي لمن تريد توفير الوصول الذكي إلى النفق.

• قم بإنشاء مدخل أو أكثر من إدخالات قائمة الإشارات المرجعية التي تحدد عناوين URL للتطبيقات التي تم تمكينها على الويب المؤهلة للوصول الذكي إلى النفق، ثم قم بتعيين القائمة إلى DAPs، أو نهج المجموعة، أو سياسات المستخدم المحلي لمن تريد توفير الوصول الذكي إلى النفق.

  يمكنك أيضا سرد التطبيقات التي تم تمكين الويب لها لأتمتة إرسال بيانات اعتماد تسجيل الدخول في إتصالات النفق الذكي عبر جلسات عمل VPN SSL التي لا تحتاج إلى عملاء.

يفترض هذا المستند أن تكوين عميل Cisco AnyConnect SSL VPN قد تم بالفعل وأنه يعمل بشكل صحيح حتى يمكن تكوين ميزة النفق الذكي على التكوين الحالي. أحلت ل كثير معلومة على كيف أن يشكل cisco AnyConnect SSL VPN زبون، ASA 8.x: يسمح انقسام tunneling ل AnyConnect VPN زبون على ال ASA تشكيل مثال.

ملاحظة: تأكد من عدم تنفيذ الخطوات من 4.b إلى 4.l الموضحة في تكوين ASA باستخدام قسم ASDM 6.0(2) من ASA 8.x: السماح بنفق التقسيم لعميل AnyConnect VPN على مثال تكوين ASA من أجل تكوين ميزة النفق الذكي.

يصف هذا وثيقة كيف أن يشكل نفق ذكي على cisco ASA 5500 sery أمن أداة.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• أجهزة الأمان القابلة للتكيف ASA 5500 Series من Cisco التي تشغل الإصدار 8.0(2) من البرنامج

• كمبيوتر يعمل بنظام التشغيل Microsoft Vista أو Windows XP SP2 أو Windows 2000 Professional SP4 مع Microsoft Installer الإصدار 3.1

• Cisco Adaptive Security Device Manager (ASDM)، الإصدار 6.0(2)

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الاصطلاحات

راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.

معلومات أساسية

تكوين الوصول إلى النفق الذكي

يعرض جدول النفق الذكي قوائم النفق الذكي، والتي يحدد كل منها تطبيقا واحدا أو أكثر مؤهلا للوصول الذكي إلى النفق ونظام التشغيل المرتبط به. نظرا لأن كل نهج مجموعة أو نهج مستخدم محلي يدعم قائمة نفق ذكي واحدة، يجب تجميع التطبيقات غير المستندة إلى المستعرض ليتم دعمها في قائمة نفق ذكي. بعد تكوين قائمة، يمكنك تعيينها إلى واحد أو أكثر من سياسات المجموعة أو نهج المستخدم المحلي.

تتيح لك نافذة الأنفاق الذكية (التكوين > الوصول عن بعد إلى VPN > الوصول إلى VPN SSL دون عملاء > البوابة > الأنفاق الذكية) إكمال هذه الإجراءات:

• إضافة قائمة النفق الذكي وإضافة تطبيقات إلى القائمة

  أكمل الخطوات التالية لإضافة قائمة نفق ذكي وإضافة تطبيقات إلى القائمة:

  1. انقر فوق إضافة (Add).

     سوف يظهر مربع الحوار إضافة قائمة النفق الذكي.

  2. أدخل اسم للقائمة، وانقر إضافة.

     يفتح ASDM شاشة إضافة إدخال نفق ذكي، والتي تسمح لك بتعيين سمات نفق ذكي إلى القائمة.

  3. بعد أن تقوم بتعيين السمات المطلوبة للنفق الذكي، انقر فوق موافق.

     يعرض ASDM هذه السمات في القائمة.

  4. كرر هذه الخطوات حسب الضرورة لإكمال القائمة، ثم انقر موافق في شاشة قائمة إضافة نفق ذكي.

• تغيير قائمة النفق الذكي

  أتمت هذا steps in order to غيرت ذكي نفق قائمة:

  1. انقر نقرا مزدوجا على القائمة أو أختر القائمة في الجدول ثم انقر فوق تحرير.

  2. انقر إضافة لإدراج مجموعة جديدة من خصائص النفق الذكي في القائمة أو أختر مدخل في القائمة، وانقر تحرير أو حذف.

• إزالة قائمة

  لإزالة قائمة، أختر القائمة في الجدول، وانقر حذف.

• إضافة إشارة مرجعية

  بعد تكوين وتعيين قائمة النفق الذكي، يمكنك تسهيل إستخدام النفق الذكي بإضافة إشارة مرجعية للخدمة والنقر فوق خيار تمكين النفق الذكي في شاشة إضافة أو تحرير إشارة مرجعية.

يسمح الوصول الذكي إلى النفق للتطبيق المستند إلى TCP الخاص بالعميل باستخدام اتصال VPN مستند إلى المستعرض للاتصال بخدمة. يوفر المزايا التالية للمستخدمين، مقارنة بالإضافات والتكنولوجيا القديمة، إعادة توجيه المنافذ:

• يوفر النفق الذكي أداء أفضل من الإضافات.

• على عكس إعادة توجيه المنفذ، يعمل النفق الذكي على تبسيط تجربة المستخدم من خلال عدم طلب اتصال المستخدم للتطبيق المحلي بالمنفذ المحلي.

• على عكس إعادة توجيه المنفذ، لا يتطلب النفق الذكي من المستخدمين الحصول على امتيازات المسؤول.

متطلبات النفق الذكي والقيود والقيود

المتطلبات العامة والقيود

يحتوي النفق الذكي على المتطلبات العامة التالية وحدودها:

• يجب أن يقوم المضيف البعيد الذي تم إنشاؤه من النفق الذكي بتشغيل إصدار 32 بت من Microsoft Windows Vista أو Windows XP أو Windows 2000 أو Mac OS 10.4 أو 10.5.

• يدعم تسجيل الدخول التلقائي للنفق الذكي Microsoft Internet Explorer فقط على Windows.

• يجب تمكين المستعرض مع Java أو Microsoft ActiveX أو كليهما.

• يدعم النفق الذكي الوكلاء الموجودين بين أجهزة الكمبيوتر التي تعمل بنظام التشغيل Microsoft Windows وجهاز الأمان فقط. يستخدم النفق الذكي تكوين Internet Explorer (أي النفق المخصص للاستخدام على مستوى النظام في Windows). إذا كان الكمبيوتر البعيد يتطلب خادم وكيل للوصول إلى جهاز الأمان، فيجب أن يكون عنوان URL الخاص بانتهاء الاتصال في قائمة عناوين URL المستبعدة من خدمات الوكيل. إذا كان تكوين الوكيل يحدد أن حركة المرور الموجهة إلى ASA تمر عبر وكيل، فإن كل حركة مرور النفق الذكي تمر عبر الوكيل.

  في سيناريو الوصول عن بعد المستند إلى HTTP، لا توفر أحيانا شبكة فرعية وصول المستخدم إلى بوابة VPN. في هذه الحالة، يقوم وكيل يتم وضعه أمام ASA لتوجيه حركة مرور البيانات بين الويب وموقع المستخدم النهائي بتوفير الوصول إلى الويب. ومع ذلك، يمكن فقط لمستخدمي الشبكة الخاصة الظاهرية (VPN) تكوين الوكلاء الذين يتم وضعهم أمام ASA. وعند القيام بذلك، يجب عليهم التأكد من أن هذه الوكلاء يدعمون طريقة CONNECT. بالنسبة للبروتوكولات التي تتطلب المصادقة، يدعم النفق الذكي نوع مصادقة الهضم الأساسي فقط.

• عند بدء تشغيل النفق الذكي، ينفق جهاز الأمان حركة مرور البيانات بالكامل من عملية المستعرض الذي استخدمه المستخدم لبدء جلسة عمل بدون عملاء. إذا قام المستخدم بتشغيل مثيل آخر من عملية المستعرض، فإنه يقوم بتمرير حركة مرور البيانات بالكامل إلى النفق. إذا كانت عملية المستعرض هي نفسها ولم يوفر جهاز الأمان الوصول إلى URL محدد، فلن يتمكن المستخدم من فتحه. كحل بديل، يمكن للمستخدم إستخدام مستعرض مختلف عن المستعرض المستخدم لإنشاء جلسة عمل بدون عملاء.

• لا يحتفظ تجاوز الفشل ذو الحالة باتصالات النفق الذكية. يجب على المستخدمين إعادة الاتصال بعد تجاوز الفشل.

متطلبات Windows وحدوده

تنطبق المتطلبات والقيود التالية على Windows فقط:

• تكون التطبيقات التي تستند إلى بروتوكول TCP مؤهلة فقط للوصول الذكي عبر النفق Winsock 2.

• لا يدعم جهاز الأمان وكيل Microsoft Outlook Exchange (MAPI). لا تدعم إعادة توجيه المنفذ ولا النفق الذكي MAPI. بالنسبة لاتصال Microsoft Outlook Exchange باستخدام بروتوكول MAPI، يجب على المستخدمين البعيدين إستخدام AnyConnect.

• يجب على مستخدمي Microsoft Windows Vista الذين يستخدمون إعادة توجيه النفق الذكي أو المنفذ إضافة عنوان URL الخاص ب ASA إلى منطقة الموقع الموثوق به. للوصول إلى منطقة "الموقع الموثوق به"، قم بتشغيل Internet Explorer، واختر أدوات > خيارات إنترنت، ثم انقر فوق علامة التبويب أمان. يمكن لمستخدمي Vista أيضا تعطيل "الوضع المحمي" من أجل تسهيل الوصول الذكي إلى النفق؛ ومع ذلك، توصي Cisco بعدم إستخدام هذه الطريقة لأنها تزيد من التعرض للهجوم.

متطلبات وحدود نظام التشغيل Mac OS

تنطبق هذه المتطلبات والحدود على نظام التشغيل Mac OS فقط:

• Safari 3.1.1 أو إصدار أحدث أو Firefox 3.0 أو إصدار أحدث

• Sun JRE 1.5 أو إصدار أحدث

• يمكن فقط للتطبيقات التي تم بدء تشغيلها من صفحة المدخل إنشاء إتصالات النفق الذكية. يتضمن هذا الشرط دعما ذكيا عبر النفق لبرنامج Firefox. يتطلب إستخدام Firefox لبدء تشغيل مثيل آخر من Firefox أثناء الاستخدام الأول لنفق ذكي وجود ملف تعريف المستخدم المسمى cisco_st. في حالة عدم وجود ملف تعريف المستخدم هذا، تطلب جلسة العمل من المستخدم إنشاء ملف تعريف.

• يمكن أن تعمل التطبيقات التي تستخدم بروتوكول TCP المرتبطة ديناميكيا بمكتبة SSL عبر نفق ذكي.

• لا يدعم النفق الذكي هذه الميزات والتطبيقات على نظام التشغيل Mac OS:

  • خدمات الوكيل

  • تسجيل دخول تلقائي

  • التطبيقات التي تستخدم مسافات أسماء من مستويين

  • التطبيقات المستندة إلى وحدة التحكم، مثل Telnet و SSH و cURL

  • التطبيقات التي تستخدم DLOPEN أو DLSYM لتحديد موقع مكالمات Libsocket

  • التطبيقات المرتبطة بشكل ثابت لتحديد موقع مكالمات Libsocket

التكوين

في هذا القسم، تُقدّم لك معلومات تكوين الميزات الموضحة في هذا المستند.

إضافة قائمة النفق الذكي أو تحريرها

يتيح لك مربع الحوار إضافة قائمة النفق الذكي إضافة قائمة من إدخالات النفق الذكي إلى تكوين جهاز الأمان. تتيح لك شاشة تحرير قائمة النفق الذكي تعديل محتويات القائمة.

الحقل

اسم القائمة—أدخل اسما فريدا لقائمة التطبيقات أو البرامج. لا توجد قيود على عدد الأحرف الموجودة في الاسم. لا تستخدم مسافات. بعد تكوين قائمة النفق الذكي، يظهر اسم القائمة بجوار سمة قائمة النفق الذكي في نهج مجموعة VPN SSL بدون عميل ونهج المستخدم المحلي. قم بتعيين اسم سيساعدك على تمييز محتوياته أو الغرض منه عن القوائم الأخرى التي من المحتمل أن تقوم بتكوينها.

إضافة إدخال نفق ذكي أو تحريره

تتيح لك شاشة إضافة أو تحرير إدخال النفق الذكي تعيين خصائص تطبيق في قائمة النفق الذكي.

• معرف التطبيق—أدخل سلسلة لتسمية الإدخال في قائمة النفق الذكي. السلسلة فريدة لنظام التشغيل. وعادة ما تقوم بتسمية التطبيق الذي سيتم منحه حق الوصول الذكي إلى النفق. لدعم إصدارات متعددة من تطبيق تقوم باختيار تحديد مسارات أو قيم تجزئة مختلفة لها، يمكنك إستخدام هذه السمة لتمييز المدخلات، وتعيين نظام التشغيل واسم التطبيق وإصداره مدعومين من قبل كل إدخال قائمة. يمكن أن يصل طول السلسلة إلى 64 حرفا.

• اسم العملية—أدخل اسم الملف أو مسار التطبيق. يمكن أن يصل طول السلسلة إلى 128 حرفا

  يتطلب Windows تطابق تام لهذه القيمة إلى الجانب الأيمن من مسار التطبيق على المضيف البعيد لتأهيل التطبيق للوصول الذكي إلى النفق. إذا قمت بتحديد اسم الملف ل Windows فقط، فإن SSL VPN لا يفرض قيودا على الموقع على المضيف البعيد لتأهيل التطبيق للوصول الذكي إلى النفق.

  إذا قمت بتحديد مسار وقام المستخدم بتثبيت التطبيق في موقع آخر، فإن هذا التطبيق غير مؤهل. يمكن أن يتواجد التطبيق على أي مسار طالما أن الجانب الأيمن من السلسلة يطابق القيمة التي تدخلها.

  لتخويل تطبيق للوصول الذكي إلى النفق إذا كان موجودا على واحد من عدة مسارات على المضيف البعيد، قم إما بتحديد اسم التطبيق وامتداده فقط في هذا الحقل أو قم بإنشاء إدخال نفق ذكي فريد لكل مسار.

  بالنسبة ل Windows، إذا كنت ترغب في إضافة وصول ذكي إلى النفق إلى تطبيق تم بدء تشغيله من موجه أوامر، يجب تحديد "cmd.exe" في اسم العملية لمدخل واحد في قائمة النفق الذكي وتحديد المسار إلى التطبيق نفسه في إدخال آخر لأن "cmd.exe" هو أصل التطبيق.

  يتطلب Mac OS المسار الكامل للعملية وهو حساس لحالة الحروف. لتجنب تحديد مسار لكل اسم مستخدم، قم بإدراج علامة مد (~) قبل المسار الجزئي (على سبيل المثال، ~/bin/vnc).

• OS—انقر على Windows أو Mac لتحديد نظام تشغيل المضيف الخاص بالتطبيق.

• التجزئة— (إختيارية وقابلة للتطبيق فقط على Windows) للحصول على هذه القيمة، أدخل المجموع الاختباري للملف القابل للتنفيذ في أداة مساعدة تقوم بحساب التجزئة باستخدام خوارزمية SHA-1. أحد الأمثلة على هذه الأداة المساعدة هو أداة التحقق من سلامة المجموع الاختباري لملف Microsoft (FCIV)، المتوفرة عند توفر ووصف الأداة المساعدة للتحقق من سلامة المجموع الاختباري للملف. بعد تثبيت FCIV، ضع نسخة مؤقتة من التطبيق ليتم حزمه على مسار لا يحتوي على مسافات (على سبيل المثال، c:/fciv.exe)، ثم أدخل تطبيق fciv.exe -sha1 في سطر الأوامر (على سبيل المثال، fciv.exe -sha1 c:\msimn.exe) لعرض تجزئة SHA-1.

  دائما ما تكون تجزئة SHA-1 عبارة عن 40 حرف سداسي عشر.

  قبل تخويل تطبيق للوصول الذكي إلى النفق، يقوم SSL VPN بدون عملاء بحساب تجزئة التطبيق الذي يطابق معرف التطبيق. وهو يؤهل التطبيق للوصول الذكي إلى النفق إذا كانت النتيجة تطابق قيمة التجزئة.

  يوفر إدخال تجزئة ضمانا معقولا بأن SSL VPN لا يؤهل ملفا غير شرعي يطابق السلسلة التي حددتها في معرف التطبيق. نظرا لتباين المجموع الاختباري مع كل إصدار أو حزمة تطبيق، يمكن للتجزئة التي تقوم بإدخالها مطابقة إصدار واحد أو حزمة واحدة فقط على المضيف البعيد. لتحديد تجزئة لأكثر من إصدار واحد من التطبيق، قم بإنشاء إدخال نفق ذكي فريد لكل قيمة تجزئة.

  ملاحظة: يجب عليك تحديث قائمة النفق الذكي في المستقبل إذا قمت بإدخال قيم التجزئة وتريد دعم الإصدارات أو تصحيحات التطبيق المستقبلية باستخدام الوصول الذكي إلى النفق. قد تشير مشكلة مفاجئة تتعلق بالوصول الذكي إلى النفق إلى أن التطبيق الذي يحتوي على قيم تجزئة غير محدث مع ترقية التطبيق. يمكنك تجنب هذه المشكلة بعدم إدخال تجزئة.

• بمجرد تكوين قائمة النفق الذكي، يجب تعيينها لنهج مجموعة أو نهج مستخدم محلي حتى تصبح نشطة كما يلي:

  • لتعيين القائمة إلى نهج مجموعة، أختر config > Remote Access VPN> Client SSL VPN Access > نهج المجموعة > إضافة أو تحرير > مدخل، واختر اسم النفق الذكي من القائمة المنسدلة المجاورة لسمة قائمة النفق الذكي.

  • أخترت in order to عينت القائمة إلى محلي مستعمل سياسة، config>Remote Access VPN> AAA إعداد>محلي مستعمل>إضافة أو تحرير>VPN سياسة > ClientLess SSL VPN، واخترت ال smart نفق إسم من القائمة المنسدلة بجوار السمة نفق ذكي قائمة.

تكوين النفق الذكي ASA (مثال Lotus) باستخدام ASDM 6.0(2)

يفترض هذا المستند أن التكوين الأساسي، مثل تكوين الواجهة، مكتمل ويعمل بشكل صحيح.

أتمت هذا steps in order to شكلت نفق ذكي:

ملاحظة: في مثال التكوين هذا، يتم تكوين النفق الذكي لتطبيق Lotus.

1. أخترت تشكيل>Remote Access VPN الوصول عن بعد>SSL VPN وصول>مدخل>مدخل>نفق ذكي in order to بدأت ال smart Tunnel تشكيل.

   

2. انقر فوق إضافة (Add).

   

   سوف يظهر مربع الحوار إضافة قائمة النفق الذكي.

   

3. في شاشة قائمة إضافة نفق ذكي، انقر إضافة.

   تظهر شاشة إضافة مدخل نفق ذكي.

   

4. في حقل معرف التطبيق، أدخل سلسلة لتحديد الإدخال داخل قائمة النفق الذكي.

5. أدخل اسم ملف وملحقه للتطبيق، ثم انقر فوق موافق.

6. في شاشة قائمة إضافة نفق ذكي، انقر موافق.

   

   ملاحظة: فيما يلي أمر تكوين CLI المكافئ:

   Cisco ASA 8.0(2)
   ciscoasa(config)#smart-tunnel list lotus LotusSametime connect.exe

7. قم بتعيين القائمة لنهج المجموعة وسياسات المستخدم المحلي التي تريد توفير وصول ذكي إلى التطبيقات المقترنة بها كما يلي:

   أخترت in order to عينت القائمة إلى مجموعة سياسة، تشكيل>Remote Access VPN>Client SSL VPN منفذ > مجموعة نهج، ويضيف أو يحرر طقطقة.

   

   يظهر مربع الحوار إضافة نهج مجموعة داخلي.

   

8. في شاشة إضافة نهج مجموعة داخلي، انقر فوق مدخل، واختر اسم النفق الذكي من القائمة المنسدلة قائمة النفق الذكي، وانقر فوق موافق.

   ملاحظة: يستخدم هذا المثال Lotus كاسم قائمة النفق الذكي.

9. أخترت in order to عينت القائمة إلى محلي مستعمل سياسة، تشكيل > Remote Access VPN> AAA إعداد>محلي مستعمل، ويضيف طقطقة أن يشكل مستعمل جديد أو طقطقة يحرر أن يحرر مستعمل حالي.

   

   يظهر مربع الحوار تحرير حساب المستخدم.

   

10. في شاشة تحرير حساب المستخدم، انقر فوق SSL VPN بدون عميل، واختر اسم النفق الذكي من القائمة المنسدلة لقائمة النفق الذكي، وانقر فوق موافق.

    ملاحظة: يستخدم هذا المثال Lotus كاسم قائمة النفق الذكي.

اكتمل تكوين النفق الذكي.

استكشاف الأخطاء وإصلاحها

يتعذر علي الاتصال باستخدام عنوان URL للنفق الذكي ذي العلامات المدرسية في المدخل الذي لا يحتوي على عملاء. لماذا تحدث هذه المشكلة، وكيف يمكنني حلها؟

يقع هذا إصدار واجب إلى المشكلة يصف في cisco بق id CSCsx05766 (يسجل زبون فقط) . لحل هذه المشكلة، قم بتخفيض الوظيفة الإضافية لوقت تشغيل Java إلى إصدار أقدم.

هل يمكنني العثور على عنوان URL لارتباط نفق ذكي تم تكوينه في WebVPN؟

عندما يتم إستخدام نفق ذكي على ال ASA، لا يمكنك خزن URL أو إخفاء شريط العنوان الخاص بالمستعرض. يمكن للمستخدمين عرض عناوين URL الخاصة بالروابط التي تم تكوينها في WebVPN والتي تستخدم النفق الذكي. ونتيجة لذلك، يمكنهم تغيير المنفذ والوصول إلى الخادم للحصول على خدمة أخرى.

لحل هذه المشكلة، أستخدم قوائم التحكم في الوصول إلى WebType. ارجع إلى قوائم التحكم في الوصول إلى WebType للحصول على مزيد من المعلومات.

معلومات ذات صلة

• أجهزة الأمان المعدلة Cisco ASA 5500 Series Adaptive Security Appliances
• SSL VPN Client (SVC) على ASA مع مثال تكوين ASDM
• الدعم التقني والمستندات - Cisco Systems