Konfiguration und Bereitstellung von AnyConnect Web Security über ASA

Einleitung

In diesem Dokument wird die Bereitstellung eines AnyConnect-Websicherheitsmoduls für Client-basiertes VPN mit Terminierung auf Cisco Adaptive Security Appliances (ASA) beschrieben.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Hintergrundinformationen

• Laden Sie das AnyConnect-Image (Empfehlung v4.1+) auf die ASA hoch.

• Aktivieren Sie das VPN-Profil auf der ASA, wie im Bild gezeigt.

Konfigurieren

AnyConnect WebSecurity-Bereitstellung über ASA

Die Konfiguration umfasst folgende Schritte:

• Client-Profil für AnyConnect WebSecurity konfigurieren
• AnyConnect VPN-Gruppenrichtlinie bearbeiten
• Teilungsausschluss für Web Security festlegen und Web Security Client-Modul herunterladen auswählen  
• AnyConnect VPN-Gruppenrichtlinie bearbeiten und Websicherheits-Clientprofil auswählen

Schritt 1: Konfigurieren des AnyConnect WebSecurity Client-Profils

Navigieren Sie zu Konfiguration > Zugriff entfernen VPN > Netzwerkzugriff (Client) > AnyConnect-Clientprofil, klicken Sie auf

Fügen Sie das AnyConnect Web Security Client-Profil hinzu, und wählen Sie es aus.

Hinweis: Der Profilname ist auf der Clientseite fest codiert, sodass die ASA unabhängig vom konfigurierten Namen immer Websecurity_serviceprofile.wso an den Client weiterleitet.

Hinweis: Dies ist ein Standardprofil ohne Authentifizierungslizenzschlüssel.

Schritt 2: Bearbeiten Sie das neu erstellte Profil, um einen Authentifizierungslizenzschlüssel hinzuzufügen, und passen Sie die Konfiguration an.

Schritt 3: Unterteilungsausschluss für Web Security festlegen und Web Security Client-Modul herunterladen auswählen

Bearbeiten Sie die AnyConnect VPN-Gruppenrichtlinie, wie im Bild gezeigt. 

Richten Sie, wie im Bild gezeigt, einen Split-Ausschluss für Web Security ein.

  Wählen Sie Download Web Security Client-Modul, wie im Bild dargestellt.

Schritt 4: Websicherheits-Clientprofil herunterladen

Bearbeiten Sie die AnyConnect VPN-Gruppenrichtlinie > Client Profiles to Download > Add, und wählen Sie jetzt das erstellte Profil aus (wie in Schritt 1).

Klicken Sie auf OK, und wenden Sie die Änderungen an.

Überprüfung

Wenn Sie eine Verbindung mit AnyConnect VPN herstellen, überträgt ASA das AnyConnect-Websicherheitsmodul über VPN, wie im Bild gezeigt.

Wenn Sie bereits angemeldet sind, wird empfohlen, sich abzumelden und anschließend erneut anzumelden, um die Funktion zu aktivieren.

Upgrade-/Downgrade Anyconnect-Version

Die Bereitstellungsfunktion bleibt unverändert, wenn die Version aktualisiert wird. Ein Downgrade ist jedoch nicht möglich. Mit dem aktuellen Beispiel 4.1.x kann also ein Upgrade auf Version 4.2 durchgeführt werden.

Es sind folgende Schritte erforderlich:

Schritt 1: Laden Sie das neueste AnyConnect-Paket 4.2 in Flash hoch, und ersetzen Sie 4.1 durch die neueste Datei.

Wählen Sie unter AnyConnect Client Software > Replace die aktuelle Image-Datei aus.

Schritt 2: Wenn Sie erneut eine Verbindung mit AnyConnect VPN herstellen, überträgt ASA das neueste AnyConnect-Modul über VPN, ohne Änderungen am Websicherheitsprofil vorzunehmen.

Hinweis: Downgrade wird nicht unterstützt.

Fehlerbehebung

In diesem Abschnitt erhalten Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration.

Erfassen von Fehlerbehebungsinformationen mithilfe von DART:

DART ist das AnyConnect-Diagnose- und Reporting-Tool, mit dem Sie nützliche Daten zur Behebung von AnyConnect-Installations- und Verbindungsproblemen erfassen können. DART unterstützt Windows 7, Windows Vista, Windows XP, Mac Version 10.5 und 10.6 sowie Linux Redhat. Der DART-Assistent wird auf dem Computer ausgeführt, auf dem AnyConnect ausgeführt wird. Es fasst die Protokolle sowie Status- und Diagnoseinformationen für die Analyse durch das Cisco Technical Assistance Center (TAC) zusammen und erfordert keine Administratorrechte.

Obwohl DART sich nicht auf irgendeine Komponente der AnyConnect-Software stützt, um ausgeführt zu werden, können Sie sie dennoch von AnyConnect aus starten, wird die AnyConnect-Protokolldatei erfasst, sofern sie verfügbar ist. Derzeit ist DART als eigenständige Installation verfügbar, oder der Administrator kann diese Anwendung als Teil der dynamischen Download-Infrastruktur von AnyConnect auf den Client-PC übertragen. Nach der Installation kann der Endbenutzer den Assistenten über die Schaltfläche Start im Cisco-Ordner starten.