Configuración e implementación de AnyConnect Web Security a través de ASA

Introducción

Este documento describe la implementación del módulo de seguridad web AnyConnect para VPN basada en cliente que termina en Cisco Adaptive Security Appliances (ASA).

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Antecedentes

• Cargue la imagen de Anyconnect (recomendado v4.1+) en ASA

• Habilite el perfil VPN en ASA, como se muestra en la imagen

Configurar

Implementación de Anyconnect WebSecurity a través de ASA

Los pasos que intervienen en la configuración son:

• Configurar el perfil de cliente de Anyconnect Websecurity
• Editar directiva de grupo VPN de Anyconnect
• Establezca la exclusión dividida para Web Security y seleccione el módulo de cliente de descarga de Web Security  
• Edite la directiva de grupo VPN de Anyconnect y seleccione el perfil de cliente de Web Security

Paso 1. Configuración del perfil de Anyconnect Websecurity Client

Vaya a Configuration >Remove Access VPN >Network (Client) Access >Anyconnect Client Profile, haga clic en

Agregue y seleccione el perfil de cliente de AnyConnect Web Security.

Nota: El nombre del perfil está codificado en el lado del cliente, por lo que independientemente del nombre configurado, el ASA siempre envía Websecurity_serviceprofile.wso al cliente.

Nota: Este es un perfil predeterminado sin clave de licencia de autenticación.

Paso 2. Edite el perfil recién creado para agregar la clave de licencia de autenticación y personalizar la configuración.

Paso 3. Establezca la exclusión dividida para Web Security y seleccione el módulo de descarga de cliente de Web Security

Edite la política de grupo VPN de Anyconnect, como se muestra en la imagen. 

Como se muestra en la imagen, configure la exclusión dividida para Web Security.

  Seleccione descargar el módulo de cliente de Web Security, como se muestra en la imagen.

Paso 4. Descargar perfil de cliente de seguridad web

Edite Anyconnect VPN group policy > Client Profiles to Download > Add, ahora elija el perfil creado (como en el Paso 1)

Haga clic en Aceptar y aplique los cambios.

Verificación

Cuando se conecta a Anyconnect VPN, ASA impulsará el módulo de seguridad web Anyconnect a través de VPN, como se muestra en la imagen.

Si ya ha iniciado sesión, se recomienda cerrar la sesión y volver a iniciarla para habilitar la funcionalidad.

Actualización/Desactualización de Anyconnect versión

La funcionalidad de implementación permanece inalterada si se actualiza la versión. Sin embargo, no es posible la reversión. Por lo tanto, con el ejemplo actual de 4.1.x, se puede actualizar a la versión 4.2

Los pasos son los siguientes:

Paso 1. Cargue el último paquete Anyconnect 4.2 en flash y reemplace 4.1 con el último archivo.

En Anyconnect Client Software > Replace y luego elija el archivo de imagen reciente.

Paso 2. Cuando se vuelve a conectar a Anyconnect VPN, ASA enviará el último módulo Anyconnect a través de VPN sin alterar el perfil de seguridad web.

Nota: No se admite la reducción de categoría.

Troubleshoot

En esta sección se brinda información que puede utilizar para resolver problemas en su configuración.

Uso de DART para recopilar información sobre resolución de problemas:

DART es la herramienta de informes y diagnóstico de AnyConnect que puede utilizar para recopilar datos útiles para solucionar problemas de conexión e instalación de AnyConnect. DART es compatible con Windows 7, Windows Vista, Windows XP, Mac versión 10.5 y 10.6 y Linux Redhat. El asistente de DART se ejecuta en el equipo que ejecuta AnyConnect. Reúne los registros, el estado y la información de diagnóstico para el análisis de Cisco Technical Assistance Center (TAC) y no requiere privilegios de administrador.

Aunque DART no depende de ningún componente del software AnyConnect para ejecutarse, puede iniciarlo desde AnyConnect, recopilará el archivo de registro de AnyConnect, si está disponible. Actualmente, DART está disponible como una instalación independiente o el administrador puede enviar esta aplicación al equipo cliente como parte de la infraestructura de descarga dinámica de AnyConnect. Una vez instalado, el usuario final puede iniciar el asistente desde la carpeta de Cisco disponible a través del botón Start.