Instalación automatizada de AnyConnect NAM con conversión de perfiles a través del script de archivo por lotes

Introducción

Este documento describe detalladamente los pasos necesarios para instalar el agente Cisco Anyconnect NAM con la conversión de perfiles a través del archivo por lotes(.bat). El archivo por lotes se puede entonces ejecutar localmente en el sistema o de forma remota en todas las máquinas a través del servidor SCCM en una implementación a gran escala. Cisco ISE puede aprovisionar este software, pero requiere la interacción del usuario final y los privilegios de instalación.

El uso de la secuencia de comandos de archivo por lotes ofrece varias ventajas:

• Toda la conversión de perfiles inalámbricos.
• El módulo VPN se puede inhabilitar si no se desea.
• Reduzca el tiempo y el coste de implementación manual ejecutando el archivo por lotes e instalando todos los módulos de AnyConnect de una vez.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Sistema operativo Windows. El administrador de acceso de red no es compatible con Mac OS X o Linux. 
• El sistema debe tener un almacenamiento mínimo de 50 MB para los paquetes de AnyConnect.
• El servicio WLAN (WLAN AutoConfig) debe ejecutarse en los sistemas.

Nota: La conversión no se realiza si ya existe un archivo de configuración XML del administrador de acceso de red (userConfiguration.xml).

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Windows 7
• AnyConnect 4.6.0.3.049

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

1. El paquete Cisco Anyconnect completo debe descargarse del sitio de Cisco y extraerse. Los archivos msi requeridos y el archivo configuration.xml deben estar presentes en la ubicación desde la que se ejecuta el archivo por lotes.

      Estos archivos deben copiarse en la ubicación C:\cisco  :

      anyconnect-win-4.6.03049-core-vpn-preDeploy-k9.msi

      anyconnect-win-4.6.03049-nam-preDeploy-k9.msi

      configuration.xml

   2. El módulo Administrador de acceso de red se puede configurar para convertir algunos perfiles inalámbricos de Windows 7 o posterior existentes al formato de perfil del administrador de acceso de red cuando el módulo se instala en el sistema cliente por primera vez. Redes de infraestructura que cumplen estos criterios y que pueden convertirse:

• Abierto

• WEP estática

• WPA/WPA2 Personal

• Sólo se convierten perfiles de red de usuario Wi-Fi nativos que no son de GPO.
  
  

  Nota: Para los perfiles empresariales WPA2, se debe crear un perfil con el mismo nombre a través del Editor de perfiles del administrador de acceso de red en el archivo configuration.xml

  3.  El sistema se reinicia después de la instalación y se debe notificar a los usuarios ya.

Configurar

Creación del archivo por lotes

En este documento, la ubicación supuesta de los archivos msi de Anyconnect, configuration.xml es C:\cisco. Estos comandos o el archivo por lotes con estos comandos deben ejecutarse desde la misma ubicación.

• cd C:\cisco

Se requiere la instalación del módulo VPN principal para que se instale el módulo NAM. Este comando instala el módulo VPN principal y oculta el mosaico del módulo VPN.

• msiexec /package anyconnect-win-4.6.04054-core-vpn-preDeploy-k9.msi /norestart /passive PRE_DEPLOY_DISABLE_VPN=1  

Se requiere un tiempo de espera para completar la instalación del módulo. Este comando induce un tiempo de espera de 15 minutos.

• timeout /t 15  

Este comando instala el módulo NAM con la conversión de perfil activada.

• msiexec /i anyconnect-win-4.6.04054-nam-preDeploy-k9.msi PROFILE_CONVERSION=1 /norestart /passive

Se requiere un tiempo de espera para completar la instalación del módulo. Este comando induce un tiempo de espera de 15 minutos.

• timeout /t 15

Este comando copia el perfil configuration.xml que se crea con el editor de perfiles NAM, en la ubicación requerida.

• xcopy configuration.xml C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Network Access Manager\newConfigFiles

Este comando indica que la instalación y la conversión necesarias se han completado y notifica que se inicia un reinicio en 2 minutos.

• echo "Su máquina se reiniciará en 2 minutos. Guarde su trabajo" 

Este comando inicia un reinicio del sistema operativo Windows en 2 minutos

• shutdown -r -t 120

Nota: Todos estos comandos o el archivo por lotes con estos comandos deben ejecutarse con privilegios administrativos y en el mismo orden.

Procedimiento de fin de usuario de Anyconnect

1. Cuando el agente Anyconnect se instala en la máquina cuando se reinicia la máquina, aparece el icono Anyconnect y el usuario se conecta al SSID preferido en la lista.

2.  Uno puede conectarse a otros SSID desde el menú desplegable proporcionado en la interfaz de usuario del módulo AnyConnect NAM.

3. Para ver las redes guardadas, haga clic en el icono de lista proporcionado en la interfaz de usuario del módulo NAM y luego haga clic en Administrar redes, como se muestra en la imagen.

4. Las conexiones a cualquier red proporcionada por los adaptadores administrados por el módulo AnyConnect NAM deben realizarse desde AnyConnect NAM.

   

Ejemplo: Para conectarse a una nueva conexión wifi Mnason-mob-new, seleccione la red, se inicia una pantalla emergente para la clave. Ingrese la contraseña wifi en el campo Key para conectarse a la nueva red.

Additional Information

El icono de la bandeja del suplicante nativo puede confundir a los usuarios para conectarse a una red, ya que se debe utilizar NAM y no el suplicante nativo. Estos cambios se pueden realizar en el registro de Windows para ocultar el icono de la bandeja de conectividad de red:

1. Navegue hasta HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer.
2. Edite el valor de REG_DWORD denominado HideSCANetwork a 1 (hexadecimal) si está presente o cree uno si no está presente.
3. Reiniciar el sistema.

Nota: Este cambio en el Registro se probó con Windows 7 y Windows 10.

Verificación

Use esta sección para confirmar que su configuración funciona correctamente.

Después de los cambios en el registro y el reinicio, la bandeja de conectividad de red debe estar oculta.