Configurazione e distribuzione di AnyConnect Web Security tramite ASA

Introduzione

Questo documento descrive la distribuzione del modulo di sicurezza Web AnyConnect per VPN basate su client che terminano su Cisco Adaptive Security Appliance (ASA).

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

• Caricare l'immagine Anyconnect (versione consigliata 4.1+) sull'appliance ASA

• Abilitare il profilo VPN su ASA, come mostrato nell'immagine

Configurazione

Distribuzione di Anyconnect WebSecurity tramite ASA

Di seguito sono riportati i passi necessari per la configurazione.

• Configura profilo client Anyconnect Websecurity
• Modifica Criteri di gruppo per Anyconnect VPN
• Impostare l'esclusione di suddivisione per Web Security e selezionare scarica modulo client Web Security  
• Modificare i Criteri di gruppo per Anyconnect VPN e selezionare il profilo client Web Security

Passaggio 1. Configurazione del profilo di Anyconnect Websecurity Client

Selezionare Configuration >Remove Access VPN >Network (Client) Access >Anyconnect Client Profile, quindi fare clic su

Aggiungere e selezionare il profilo AnyConnect Web Security Client.

Nota: il nome del profilo è hardcoded sul lato client, quindi, a prescindere dal nome configurato, l'ASA invia sempre Websecurity_serviceprofile.wso al client.

Nota: si tratta di un profilo predefinito senza chiave di licenza di autenticazione.

Passaggio 2. Modificare il profilo appena creato per aggiungere la chiave di licenza di autenticazione e personalizzare la configurazione.

Passaggio 3. Impostare l'esclusione di divisione per Web Security e selezionare scarica modulo client Web Security

Modificare i Criteri di gruppo di Anyconnect VPN, come mostrato nell'immagine. 

Come mostrato nell'immagine, impostare l'esclusione di divisione per la sicurezza Web.

  Selezionare scarica modulo client Web Security, come mostrato nell'immagine.

Passaggio 4. Scarica profilo client di Web Security

Modifica Criteri di gruppo Anyconnect VPN > Profili client da scaricare > Aggiungi, quindi scegliere il profilo creato (come al passo 1)

Fare clic su OK e applicare le modifiche.

Verifica

Quando ci si connette a una VPN Anyconnect, ASA spinge il modulo di sicurezza Web Anyconnect attraverso la VPN, come mostrato nell'immagine.

Se è già stato eseguito l'accesso, si consiglia di disconnettersi e quindi di eseguire nuovamente l'accesso per abilitare la funzionalità.

Aggiornamento/Downgrade della versione di Anyconnect

La funzionalità di distribuzione rimane invariata se la versione viene aggiornata. Tuttavia, il declassamento non è possibile. Pertanto, con l'esempio corrente di 4.1.x, può essere aggiornato alla versione 4.2

Si tratta di:

Passaggio 1. Caricare l'ultimo pacchetto Anyconnect 4.2 per installarlo nella memoria flash e sostituire la versione 4.1 con il file più recente.

In Anyconnect Client Software > Replace, quindi selezionare il file dell'immagine recente.

Passaggio 2. Quando ci si riconnette a Anyconnect VPN, ASA distribuisce l'ultimo modulo Anyconnect tramite VPN senza modifiche al profilo di sicurezza Web.

Nota: downgrade non supportato.

Risoluzione dei problemi

Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione.

Utilizzo di DART per raccogliere informazioni sulla risoluzione dei problemi:

DART è lo strumento di diagnostica e segnalazione di AnyConnect che può essere utilizzato per raccogliere dati utili per la risoluzione dei problemi di installazione e connessione di AnyConnect. DART supporta Windows 7, Windows Vista, Windows XP, Mac versione 10.5 e 10.6 e Linux Redhat. La procedura guidata DART viene eseguita sul computer su cui è in esecuzione AnyConnect. Assembla i registri, lo stato e le informazioni di diagnostica per l'analisi del Cisco Technical Assistance Center (TAC) e non richiede i privilegi di amministratore.

Sebbene DART non si basi sull'esecuzione di alcun componente del software AnyConnect, è possibile avviarlo da AnyConnect. Tuttavia, raccoglierà il file di log di AnyConnect, se disponibile. Al momento, DART è disponibile come installazione standalone oppure l'amministratore può eseguire il push di questa applicazione sul PC client come parte dell'infrastruttura di download dinamico di AnyConnect. Dopo l'installazione, l'utente finale può avviare la procedura guidata dalla cartella Cisco disponibile tramite il pulsante Start.