Inhalt
Einführung
In diesem Dokument werden die erforderlichen Schritte zum Aktivieren der AnyConnect-Sperrung und zum Ausblenden von AnyConnect aus der Programmliste Hinzufügen/Entfernen für Windows-Computer beschrieben.
Unterstützt von Christian G. Hernandez R, Cisco TAC-Engineer
Voraussetzungen
Anforderungen
Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:
Verwendete Komponenten
Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:
- Cisco ASA Version 9.14.2.13
- Cisco Adaptive Security Device Manager (ASDM) Version 7.14.1
- Cisco AnyConnect, Versionen 4.9.04053 und 4.9.06037
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.
Hintergrundinformationen
AnyConnect-Sperrung für Windows: Cisco empfiehlt, Endbenutzern eingeschränkte Rechte an Cisco AnyConnect Secure Mobility Client auf ihrem Gerät. Wenn Endbenutzer zusätzliche Rechte versichern, können Installationsprogramme eine Sperrfunktion bereitstellen, die Benutzer und lokale Administratoren daran hindert, die AnyConnect-Dienste zu deaktivieren oder zu beenden.
Sie haben drei verschiedene Optionen, um die AnyConnect-Sperrfunktion zu aktivieren:
1. MSI-Installationsprogramme werden über die Windows-Eingabeaufforderungs-Terminalschnittstelle angezeigt.
2. Sperroption aus dem Installationsassistenten für das AnyConnect-Paket vor der Bereitstellung.
3. ASDM - Importieren Sie ein Beispiel-Installationsprogramm, um Dateien in die ASA zu transformieren.
Ausblenden von AnyConnect aus der Programmliste "Software" für Windows: Sie können die installierten AnyConnect-Module in der Liste "Software" in der Windows-Systemsteuerung Programme deinstallieren ausblenden.
Sie haben zwei Optionen, um die Funktion "AnyConnect aus der Programmliste ausblenden" zu aktivieren:
1. MSI-Installationsprogramme werden über die Windows-Eingabeaufforderungs-Terminalschnittstelle angezeigt.
2. ASDM - Importieren Sie ein Beispiel-Installationsprogramm, das ausgeblendet wird, wandelt eine Datei in die ASA um.
Konfiguration
Netzwerkdiagramm
AnyConnect-Sperrfunktion konfigurieren
MSI-Installationsprogramme werden über die Windows-Eingabeaufforderungs-Terminalschnittstelle angezeigt.
Konfigurationsschritte
Schritt 1: Laden Sie die AnyConnect-Paketdatei vor der Bereitstellung für Windows herunter.
Schritt 1.1 Rufen Sie die Seite zum Herunterladen der Cisco Software auf, und laden Sie die AnyConnect-Version herunter, die auf dem Windows-Computer installiert werden soll.
Laden Sie für dieses Beispiel das Windows AnyConnect-Pre-Deployment-Paket herunter, das die individuelle MSI-Komponente enthält Dateien für die Version 4.9.04053 (anyconnect-win-4.9.04053-predeploy-k9.zip).
Schritt 2: Laden Sie die Transform-Datei des AnyConnect-Installationsprogramms für Windows herunter.
Schritt 2.1 Rufen Sie die Seite zum Herunterladen der Cisco Software auf, und laden Sie die Datei AnyConnect Installer Transforms für Windows herunter, die der gleichen AnyConnect-Version entspricht, die auf dem Windows-Computer installiert werden soll.
Laden Sie für dieses Beispiel die Transformationsdatei für die AnyConnect-Version 4.9.04053 herunter (tools-anyconnect-win-4.9.04053-transforms.zip).
Schritt 3: Entpacken Sie die heruntergeladenen AnyConnect-Dateien in verschiedene Ordner.
Schritt 3.1 Die Datei anyconnect-win-4.9.04053-predeploy-k9.zip wird im nächsten Ordnerpfad entpackt: C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.
Schritt 3.2 Die Datei tools-anyconnect-win-4.9.04053-transforms.zipDatei wird im nächsten Ordnerpfad entzippt: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transforms.
Schritt 4: Kopieren Sie die AnyConnect-Sperrdatei, und fügen Sie sie in den gleichen Ordner wie die AnyConnect MSI-Installationsdateien ein.
Schritt 4.1 Im Ordner tools-anyconnect-win-4.9.04053-transformiert der Ordner _anyconnect-win-lockdown.mst wird die Datei transformiert und in den Ordner anyconnect-win-4.9.04053-predeploy-k9 eingefügt.
Schritt 5: CD in den Ordnerpfad mit den MSI AnyConnect-Installationsdateien.
Schritt 5.1 Öffnen Sie ein Windows-Eingabeaufforderungsterminal, und geben Sie die CD in den Ordnerpfad ein, in dem die MSI AnyConnect-Installationsdateien gespeichert sind, und der Absperrvorgang "anyconnect-win-lockdown.mst" wandelt die Datei, die im obigen Schritt kopiert/eingefügt wurde, um.
Dieses Beispiel cd in den nächsten Ordnerpfad C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.
Schritt 6: Installieren Sie die AnyConnect-Module mit der Absperrtransformationsdatei.
Schritt 6.1 I
Installieren Sie alle erforderlichen AnyConnect-Module mit dem nächsten MSI-Installationsbefehl, der auf die Moduldatei AnyConnect .msi zeigt, und die transformierte Datei _anyconnect-win-lockdown.mst.
msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Hinweis:Mit der LOCKDOWN-Wert-Einrichtung als "1" kann die Sperrfunktion für das AnyConnect-Modul installiert werden.
Hinweis: Cisco empfiehlt, die bereitgestellte Beispieltransformationsdatei zum Festlegen dieser Eigenschaft zu verwenden und die Transformation auf jeden MSI-Installer für jedes Modul anzuwenden, das gesperrt werden soll. Sie können die Beispieltransformationen von der Seite zum Herunterladen der Cisco AnyConnect Secure Mobility Client-Software herunterladen.
Hinweis:Wenn Sie den Core-Client sowie ein oder mehrere optionale Module bereitstellen, müssen Sie die LOCKDOWN-Eigenschaft auf jeden der Installationsprogramme anwenden. Dieser Vorgang ist nur eine Möglichkeit und kann nur entfernt werden, wenn Sie das Produkt neu installieren.
Schritt 6.2 In diesem Beispiel wird das AnyConnect CORE- und VPN-Modul sowie die Datei _anyconnect-win-lockdown.mst lockdown installiert, die beide mit den Dateien für die AnyConnect-Version 4.9.04053 übereinstimmen.
msiexec -i anyconnect-win-4.9.04053-core-vpn-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Schritt 6.3 In diesem Beispiel wird das AnyConnect Umbrella Roaming Security-Modul installiert und die Datei _anyconnect-win-lockdown.mst lockdown transformiert, die beide mit den Dateien für die AnyConnect-Version 4.9.04053 übereinstimmen.
msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-lockdown.mst LOCKDOWN=1 -lvx* install.log
Sperroption über AnyConnect Pre-Deployment-Paket Installationsassistent.
Konfigurationsschritte
Schritt 1: Laden Sie die Paketdatei Anyconnect vor der Bereitstellung für Windows herunter.
Schritt 1.1 Rufen Sie die Seite zum Herunterladen der Cisco Software auf, und laden Sie die AnyConnect-Version herunter, die auf dem Windows-Computer installiert werden soll.
Laden Sie in diesem Beispiel das Windows AnyConnect-Pre-Deployment-Paket herunter, das die einzelnen MSI-Dateien für die Version 4.9.04053 (anyconnect-win-4.9.04053-predeploy-k9.zip) enthält.
Schritt 2: Öffnen Sie die AnyConnect-Setup-Datei.
Schritt 2.1 Entpacken Sie die heruntergeladene Datei anyconnect-win-4.9.04053-pre-deploy-k9.zip, und öffnen Sie sie.
Schritt 2.2 Doppelklicken Sie dann auf die AnyConnect-Setup-Datei.
Schritt 3: Arbeiten Sie mit dem AnyConnect-Installationsassistenten.
Schritt 3.1 Wählen Sie aus den angezeigten Optionen die AnyConnect-Module aus, die Sie installieren möchten.
Wählen Sie in diesem Beispiel den AnyConnect CORE & VPN und die Umbrella Roaming Security-Module aus.
Schritt 4: Aktivieren Sie die AnyConnect-Sperrfunktion.
Schritt 4.1 Um die Sperrfunktion für CORE & VPN und die Umbrella Roaming Security-Module zu aktivieren, wählen Sie die Option Dienste für Komponenten sperren, und fahren Sie mit der Installation fort.
Schritt 5: Bestätigen Sie die Installation der AnyConnect-Module.
Schritt 5.1 Sobald die nächste Meldung angezeigt wird, ist die Installation der AnyConnect-Module zu 100 % abgeschlossen.
Konfigurieren Sie AnyConnect aus der Liste "Software" ausblenden/entfernen.
MSI-Installationsprogramme werden über die Windows-Eingabeaufforderungs-Terminalschnittstelle angezeigt.
Konfigurationsschritte
Schritt 1: Laden Sie die AnyConnect-Paketdatei vor der Bereitstellung für Windows herunter.
Schritt 1.1 Rufen Sie die Seite zum Herunterladen der Cisco Software auf, und laden Sie die AnyConnect-Version herunter, die auf dem Windows-Computer installiert werden soll.
Laden Sie für dieses Beispiel das Windows AnyConnect-Pre-Deployment-Paket herunter, das die individuelle MSI-Komponente enthält Dateien für die Version 4.9.04053 (anyconnect-win-4.9.04053-predeploy-k9.zip).
Schritt 2: Laden Sie die Transform-Datei des AnyConnect-Installationsprogramms für Windows herunter.
Schritt 2.1 Rufen Sie die Seite zum Herunterladen der Cisco Software auf, und laden Sie die Datei AnyConnect Installer Transforms für Windows herunter, die der gleichen AnyConnect-Version entspricht, die auf dem Windows-Computer installiert werden soll.
Laden Sie für dieses Beispiel die Transformationsdatei für die AnyConnect-Version 4.9.04053 herunter (tools-anyconnect-win-4.9.04053-transforms.zip).
Schritt 3: Entpacken Sie die heruntergeladenen AnyConnect-Dateien in verschiedene Ordner.
Schritt 3.1 Die Datei anyconnect-win-4.9.04053-predeploy-k9.zip wird im nächsten Ordnerpfad entpackt: C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.
Schritt 3.2 Die Datei tools-anyconnect-win-4.9.04053-transforms.zipDatei wird im nächsten Ordnerpfad entzippt: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.04053-transforms.
Schritt 4: Kopieren und fügen Sie die in der Ausblendung des AnyConnect enthaltenen Dateien in den gleichen Ordner wie die AnyConnect MSI-Installationsdateien ein.
Schritt 4.1 Transformiert den Ordner tools-anyconnect-win-4.9.04053, kopieren Sie den Ordner _anyconnect-win-hide-addremove-display.mst transformiert die Datei und fügt sie in den Ordner anyconnect-win-4.9.04053-predeploy-k9 ein.
Schritt 5: CD in den Ordnerpfad mit den MSI AnyConnect-Installationsdateien.
Schritt 5.1 Öffnen Sie ein Windows-Eingabeaufforderungsterminal, und geben Sie die CD in den Ordnerpfad ein, in dem die MSI AnyConnect-Installationsdateien und die Datei _anyconnect-win-hide-addremove-display.mst die Datei kopiert/eingefügt haben.
Dieses Beispiel cd in den nächsten Ordnerpfad C:\Users\calo\Downloads\anyconnect-win-4.9.04053-predeploy-k9.
Schritt 6: Installieren Sie die AnyConnect-Module mit der Datei Ausblenden-Umwandlungen.
Schritt 6.1 I
Installieren Sie alle erforderlichen AnyConnect-Module mit dem nächsten MSI-Installationsbefehl, der auf die Moduldatei AnyConnect .msi zeigt, und der Transformationsdatei _anyconnect-win-hide-addremove.mst.
msiexec -i anyconnect-win-4.9.04053-xxxxxxx-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log
Hinweis: Die ARPSYSTEMCOMPONENT-Werteinstellung als "1" aktiviert die Funktion "AnyConnect von der Add/Remove-Programmliste ausblenden" für das zu installierende AnyConnect-Modul.
Hinweis: Cisco empfiehlt, die bereitgestellte Beispieltransformationsdatei zu verwenden, um diese Eigenschaft festzulegen, die Transformation auf jeden MSI-Installer für jedes Modul anzuwenden, das Sie ausblenden möchten. Sie können die Beispieltransformationen von der Seite zum Herunterladen der Cisco AnyConnect Secure Mobility Client-Software herunterladen.
Hinweis: Wenn Sie den Core-Client sowie ein oder mehrere optionale Module bereitstellen, müssen Sie die HIDE-AnyConnect-Eigenschaft auf jeden der Installationsprogramme anwenden. Dieser Vorgang ist nur eine Möglichkeit und kann nur entfernt werden, wenn Sie das Produkt neu installieren.
Schritt 6.2 In diesem Beispiel wird das AnyConnect CORE & VPN-Modul installiert und die Datei_anyconnect-win-hide-addremove-display.mst transformiert, die beide mit den Dateien für die AnyConnect-Version 4.9.04053 übereinstimmen.
Schritt 6.3 In diesem Beispiel wird das AnyConnect Umbrella Roaming Security-Modul installiert und die Datei _anyconnect-win-hide-addremove-display.mst transformiert, die beide mit den Dateien für die AnyConnect-Version 4.9.04053 übereinstimmen.
msiexec -i anyconnect-win-4.9.04053-umbrella-predeploy-k9.msi TRANSFORMS=_anyconnect-win-hide-addremove-display.mst ARPSYSTEMCOMPONENT=1 -lvx* install.log
Konfigurieren Sie die AnyConnect-Sperrfunktion, und blenden Sie AnyConnect aus der Liste "Software" (Hinzufügen/Entfernen) mit ASDM aus.
Dieses Verfahren gilt nur für AnyConnect-Webbereitstellungsaktualisierungen. In diesem Beispiel wird ein Update der AnyConnect-Webbereitstellung von Version 4.9.04053 auf 4.9.0.6037 berücksichtigt.
Konfigurationsschritte
Schritt 1: Bestätigen Sie die AnyConnect-Version, die auf dem Windows-Computer ausgeführt wird.
Schritt 1.1 Auf dem Windows-Computer in diesem Beispiel ist die AnyConnect-Version 4.9.04053 bereits für die Core- und VPN-Module und die Umbrella Roaming Security-Module installiert.
Schritt 2: Laden Sie die AnyConnect-Headend-Bereitstellungspaketdatei für Windows herunter.
Schritt 2.1 Rufen Sie die Seite zum Herunterladen von Cisco Software auf, und laden Sie die Version des AnyConnect-Headend-Bereitstellungspakets herunter, die auf dem Windows-Computer für das Web-Bereitstellungs-Update installiert werden soll.
Laden Sie in diesem Beispiel das Windows AnyConnect-Headend-Bereitstellungspaket herunter Version 4.9.06037 (anyconnect-win-4.9.06037-webdeploy-k9.pkg).
Schritt 3: Laden Sie die Transform-Datei des AnyConnect-Installationsprogramms für Windows herunter.
Schritt 3.1 Rufen Sie die Seite zum Herunterladen der Cisco Software auf, und laden Sie die Transform-Datei für AnyConnect Installer für Windows herunter, die der gleichen AnyConnect-Version entspricht, die auf dem Windows-Computer installiert werden soll.
Laden Sie für dieses Beispiel die Transformationsdatei für die AnyConnect-Version 4.9.06037 herunter (tools-anyconnect-win-4.9.06037-transforms.zip).
Schritt 4: Entpacken Sie die heruntergeladene Datei mit den AnyConnect-Transformationen.
Schritt 4.1 T
the tools-anyconnect-win-4.9.06037-transforms.zipDatei wird im nächsten Ordnerpfad entzippt: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms.
Schritt 5: Öffnen Sie das ASDM, und stellen Sie mit Ihren Anmeldeinformationen eine Verbindung zur ASA her.
Schritt 6: Übertragen Sie das AnyConnect-Headend-Bereitstellungspaket vom PC auf den ASA-Flash-Speicher.
Schritt 6.1 Navigieren Sie zu Extras > Dateiverwaltung > Dateiübertragung > zwischen lokalem PC und Flash und übertragen Sie das AnyConnect-Headend-Bereitstellungspaket Version 4.9.06037 (anyconnect-win-4.9.06037-webdeploy-k9.pkg) auf den ASA-Speicher.
Schritt 7: Konfigurieren Sie die Version des Bereitstellungspakets für das übertragene AnyConnect-Headend für die Webbereitstellungsaktualisierung.
Schritt 7.1 Navigieren Sie zu ASDM Configuration > Remote Access VPN > AnyConnect Client Software und wählen Sie das installierte AnyConnect-Headend-Bereitstellungspaket Version 4.9.04053 aus.
Schritt 7.2 Wählen Sie anschließend Replace and Browse Flash, um das alte AnyConnect-Headend-Bereitstellungspaket Version 4.9.04053 durch das zuvor auf den Flash-Speicher übertragene 4.9.06037 zu ersetzen.
Schritt 7.3 Wenden Sie die Konfigurationsänderungen an, und senden Sie sie an die ASA.
Schritt 8: Importieren Sie die AnyConnect-Beispieltransformationsdateien.
Schritt 8.1 Navigieren Sie zu ASDM Configuration > Remote Access VPN > Customized Installer Transforms > Import and import the sample transforms files required.
Schritt 8.2 Importieren Sie die Beispieltransformationsdatei für die AnyConnect-Version 4.9.06037 _anyconnect-win-lockdown.mst, um die Sperrung für CORE- und VPN-Module und Umbrella Roaming Security-Module zu aktivieren.
Geben Sie die Werte wie folgt ein:
Name: _anyconnect-lockdown
Plattform: gewinnen
Datei auswählen - Lokaler Computer: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms\_anyconnect-win-lockdown.mst
Hinweis: Das Beispiel AnyConnect_anyconnect-win-lockdown.mst transformiert die Datei für alle erforderlichen AnyConnect-Module.
Schritt 8.3 Importieren Sie die Beispieltransformationsdatei AnyConnect Version 4.9.06037 _anyconnect-win-hide-addremove-display.mst, um das Ausblenden aus der Liste der Add/Remove-Programme sowohl für das CORE- und VPN-Modul als auch für die Umbrella Roaming Security- Module zu aktivieren.
Geben Sie die Werte wie folgt ein:
Name: _anyconnect-hiddremove
Plattform: gewinnen
Wählen Sie file: C:\Users\calo\Downloads\tools-anyconnect-win-4.9.06037-transforms\_anyconnect-win-hide-addremove-display.mst
Hinweis: Die mstsample-Transform-Datei_anyconnect-win-hide-addremove-display funktioniert für jedes beliebige AnyConnect-Modul.
Schritt 8.4 Speichern Sie die Konfigurationsänderungen, und senden Sie sie an die ASA.
Hinweis: Zum Zeitpunkt der Erstellung dieses Artikels muss der Name, der zum Importieren der Beispieltransformationsdateien verwendet wird, am Anfang des Namens einen Unterstrich ( "_") haben. Dadurch wird die importierte Beispieltransformation für jedes beliebige AnyConnect-Modul erzwungen. Wenn Sie einen anderen Namen ohne Unterstrich am Anfang des Namens verwenden, dann funktioniert das Beispiel transformierend importiert nur für das CORE & VPN Anyconnect-Modul (CSCvy38427).
Schritt 9: Automatische Aktualisierung der AnyConnect-Webbereitstellung
Schritt 9.1 Erzwingen Sie die automatische Aktualisierung der AnyConnect-Webbereitstellung für CORE & VPN und die Umbrella Roaming Security-Module.
Hier ist die ASA AnyConnect-Konfiguration vorhanden, um die automatische Aktualisierung von CORE & VPN und Umbrella Roaming Security-Modulen zu ermöglichen:
webvpn
enable outside
anyconnect image disk0:/anyconnect-win-4.9.06037-webdeploy-k9.pkg 1
anyconnect enable
tunnel-group-list enable
group-policy ANYCONNECT_GP1 internal
group-policy ANYCONNECT_GP1 attributes
vpn-tunnel-protocol ssl-client ssl-clientless
split-tunnel-policy tunnelspecified
split-tunnel-network-list value SPLIT_TUNNEL1
webvpn
anyconnect modules value umbrella
tunnel-group MY_TUNNEL1 type remote-access
tunnel-group MY_TUNNEL1 general-attributes
address-pool VPN_POOL1
default-group-policy ANYCONNECT_GP1
tunnel-group MY_TUNNEL1 webvpn-attributes
group-alias SSL_TUNNEL1 enable
Schritt 9.2 Starten Sie eine Verbindung zum ASA-Headend vom AnyConnect-Client, der Version 4.9.04053 auf dem Windows-Computer ausführt.
Schritt 9.3 Danach werden die AnyConnect Core- und VPN-Module und die Umbrella Roaming Security-Module auf Version 4.9.06037 aktualisiert, wobei die Sperrfunktion und das Ausblenden von den Funktionen der Add/Remove-Programmliste aktiviert sind.
Überprüfung
Überprüfen Sie, ob die Sperrfunktion für die installierten AnyConnect-Module aktiviert ist.
Schritt 1: Öffnen Sie die Windows-Dienste (services.msc) wie folgt.
Schritt 2: Dann rKlicken Sie mit der rechten Maustaste auf den CORE & VPN und die Umbrella Roaming Security-Services.
Sie können bestätigen, dass die Sperrfunktion aktiviert ist, da Sie die Dienste für diese AnyConnect-Module nicht starten, anhalten, fortsetzen oder neu starten können.
Bestätigen Sie die Aus der Liste "Software" ausblenden ist für die installierten AnyConnect-Module aktiviert.
Schritt 1: Öffnen Sie den AnyConnect-Client wie folgt.
Schritt 2: Bestätigen Sie die installierte AnyConnect-Version.
Wählen Sie dazu unter dem AnyConnect-Client das INFO-Symbol wie folgt aus:
Schritt 2.1 Für AnyConnect Version 4.9.04053:
Schritt 2.2 Für AnyConnect Version 4.9.06037:
Schritt 3: Vergewissern Sie sich, dass sowohl die AnyConnect CORE- und VPN-Module als auch die Umbrella Roaming Security-Module in der Windows-Programmliste "Add/Remove" ausgeblendet sind.
Navigieren Sie hierzu zu Windows-Systemsteuerung > Programm deinstallieren.
Fehlerbehebung
Es ist keine Fehlerbehebung für dieses Dokument erforderlich.
Zugehörige Fehler
CSCvy38427 ASDM: Der Dateiname der Transformation muss mit dem "_"-Unterstrich beginnen, damit er für mehrere Wechselstrommodule wirksam wird.
Zugehörige Informationen
Technischer Support und Dokumentation für Cisco Systeme
Administratorhandbuch für Cisco AnyConnect Secure Mobility Client, Version 4.0
Feedback