Installazione automatizzata di AnyConnect NAM con conversione dei profili tramite script di file batch

Introduzione

In questo documento viene descritto in dettaglio come installare l'agente Cisco Anyconnect NAM con la conversione dei profili tramite file batch (.bat). Il file batch può quindi essere eseguito localmente sul sistema o in remoto su tutti i computer tramite il server SCCM in un'installazione su larga scala. Cisco ISE può effettuare il provisioning di questo software, ma richiede l'interazione dell'utente finale e i privilegi di installazione.

L'utilizzo dello script di file batch offre diversi vantaggi:

• Tutte le conversioni del profilo wireless.
• Se non si desidera, è possibile disabilitare il modulo VPN.
• Riduzione dei tempi e dei costi di implementazione manuale grazie all'esecuzione del file batch e all'installazione simultanea dei moduli AnyConnect.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Sistema operativo Windows. Network Access Manager non è supportato su Mac OS X o Linux. 
• I pacchetti AnyConnect devono avere una memoria minima di 50 MB.
• Il servizio WLAN (configurazione automatica WLAN) deve essere in esecuzione nei sistemi.

Nota: La conversione non viene eseguita se esiste già un file di configurazione XML di Network Access Manager (userConfiguration.xml).

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Windows 7
• AnyConnect 4.6.0.3.049

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

1. L'intero pacchetto Cisco Anyconnect deve essere scaricato dal sito Cisco ed estratto. I file msi richiesti e il file configuration.xml devono essere presenti nel percorso da cui viene eseguito il file batch.

      Questi file devono essere copiati nel percorso C:\cisco  :

      anyconnect-win-4.6.03049-core-vpn-predeploy-k9.msi

      anyconnect-win-4.6.03049-nam-predeploy-k9.msi

      configuration.xml

   2. Il modulo Network Access Manager può essere configurato per convertire alcuni profili wireless esistenti di Windows 7 o versioni successive nel formato del profilo Network Access Manager quando il modulo viene installato per la prima volta sul sistema client. Reti di infrastruttura che soddisfano i criteri seguenti che è possibile convertire:

• Open (Aperto)

• WEP statico

• WPA/WPA2 Personale

• Vengono convertiti solo i profili di rete utente Wi-Fi nativi non oggetto Criteri di gruppo.
  
  

  Nota: Per i profili WPA2 Enterprise, è necessario creare un profilo con lo stesso nome mediante l'Editor profili di Network Access Manager nel file configuration.xml

  3.  Il sistema viene riavviato dopo l'installazione e questo deve essere già notificato agli utenti.

Configurazione

Creazione del file batch

In questo documento, si presume che il percorso dei file msi, configuration.xml di Anyconnect sia C:\cisco. Questi comandi o il file batch con questi comandi devono essere eseguiti dalla stessa posizione.

• cd C:\cisco

Per installare il modulo NAM è necessario installare il modulo VPN di base. Questo comando installa il modulo VPN principale e nasconde il riquadro del modulo VPN.

• msiexec /package anyconnect-win-4.6.04054-core-vpn-predeploy-k9.msi /norestart /passive PRE_DEPLOY_DISABLE_VPN=1  

Per completare l'installazione del modulo è necessario un timeout. Questo comando induce un timeout di 15 minuti.

• timeout /t 15  

Con questo comando viene installato il modulo NAM con la conversione del profilo abilitata.

• msiexec /i anyconnect-win-4.6.04054-name-predeploy-k9.msi PROFILE_CONVERSION=1 /norestart /passive

Per completare l'installazione del modulo è necessario un timeout. Questo comando induce un timeout di 15 minuti.

• timeout /t 15

Questo comando copia il profilo configuration.xml creato con l'editor dei profili NAM nella posizione richiesta.

• xcopy configuration.xml C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Network Access Manager\newConfigFiles

Questo comando indica che l'installazione e la conversione necessarie sono state completate e notifica che il riavvio verrà avviato tra 2 minuti.

• echo "Il computer verrà riavviato tra 2 minuti. Salvare i dati" 

Questo comando avvia il riavvio del sistema operativo Windows tra 2 minuti

• shutdown -r -t 120

Nota: Tutti questi comandi o il file batch con questi comandi devono essere eseguiti con privilegi amministrativi e nello stesso ordine.

Procedura Anyconnect User-End

1. Dopo aver installato l'agente Anyconnect sul computer al riavvio, l'icona Anyconnect si apre e l'utente è connesso al SSID preferito nell'elenco.

2.  È possibile connettersi ad altri SSID dal menu a discesa disponibile nell'interfaccia utente del modulo AnyConnect NAM.

3. Per visualizzare le reti salvate, fare clic sull'icona di elenco disponibile nell'interfaccia utente del modulo NAM, quindi fare clic su Gestisci reti, come mostrato nell'immagine.

4. Le connessioni a qualsiasi rete fornite dalle schede gestite dal modulo AnyConnect NAM devono essere effettuate da AnyConnect NAM.

   

Esempio: Per connettersi a una nuova connessione wifi Mnason-mob-new, selezionare la rete, viene generata una schermata popup per la chiave. Immettere la password wifi nel campo Chiave per connettersi alla nuova rete.

Ulteriori informazioni

L'icona Native Supplicant nell'area di notifica può confondere gli utenti per la connessione a una rete, poiché è necessario utilizzare NAM e non Native Supplicant. È possibile apportare le seguenti modifiche al Registro di sistema di Windows per nascondere l'icona della barra delle applicazioni per la connettività di rete:

1. Passare a HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer.
2. Modificare il valore di REG_DWORD denominato HideSCANetwork in 1 (esadecimale) se presente o crearne uno se non presente.
3. Riavviare il sistema.

Nota: Questa modifica al Registro di sistema è stata testata con Windows 7 e Windows 10.

Verifica

Per verificare che la configurazione funzioni correttamente, consultare questa sezione.

Dopo le modifiche al Registro di sistema e il riavvio, l'area della connettività di rete dovrebbe essere nascosta.