ASA 无客户端 SSL VPN (WebVPN) 故障排除技术说明

下载选项

PDF (319.8 KB)
在各种设备上使用 Adobe Reader 查看
ePub (264.3 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (812.0 KB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2008 年 4 月 29 日

文档 ID:104298

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

在多数情况下，如果 Internet Explorer 无法访问可以通过无客户端 SSL VPN 访问的 URL，则使用其他浏览器也将无法访问。

为确保此行为与客户端 PC 或操作系统无关，请从其他位置使用另一个客户端进行访问。您还可以测试 Ipsec 或 SSL VPN 客户端的使用。

请确保按照“在浏览器中启用 WebVPN 的 Cookie”的说明将 ASA 包含到浏览器可信区域中，并按照启用 Cookie 的说明启用 Cookie。

如果此过程仍失败，请执行以下步骤以采集必要信息，然后打开 TAC 案例。

按照清除浏览器缓存的说明清除浏览器缓存。
按照清除 Java 缓存的说明清除 Java 缓存。
按照配置缓存的说明在 ASA 上禁用 Webvpn 缓存。
如果存在 Java 小程序，请按照启用 Java 小程序调试选项的说明在小程序窗口中使用调试级别 5。
通过无客户端 SSL VPN 登录 ASA。
在问题 URL 之前的 URL 上，按照启用 HTML 捕获工具的说明在浏览器中启用 HTML 捕获工具。
捕获从此点发往问题 URL 的序列。
按键盘上的 Ctrl+Print Screen 以捕获屏幕截图。
停止 HTML 捕获工具。
当您使用 Ipsec 或 SSL VPN 会话通过 ASA 直接连接到 URL 时，请执行相同的第 1 步至第 9 步；或是直接连接相同 LAN 网段（如果可能），然后将数据发送到 TAC 以供分析。

ASA 版本 8.0 无客户端

本部分介绍用于 ASA 版本 8.0 和所有过渡版本的故障排除技术。

在此版本中，如果无法通过无客户端 SSL VPN 使用复杂的 URL 或应用程序，则可以考虑使用其他选项（例如使用智能隧道）。有关智能隧道的详细信息，请参阅配置智能隧道访问。

您也可以考虑使用应用程序访问端口转发或使用代理旁路。有关这些替代方案的详细信息，请参阅配置应用程序访问和使用代理旁路。

在多数情况下，如果 Internet Explorer 无法访问可以通过无客户端 SSL VPN 访问的 URL，则使用其他浏览器也将无法访问。

为确保此行为与客户端 PC 或操作系统无关，请从其他位置使用另一个客户端进行访问。您还可以测试 Ipsec 或 SSL VPN 客户端的使用。

请确保按照“在浏览器中启用 WebVPN 的 Cookie”的说明将 ASA 包含到浏览器可信区域中，并按照启用 Cookie 的说明启用 Cookie。

如果应用程序遇到无客户端内容转换引擎 (CTE/rewriter) 的问题，您可以修改此应用程序的书签以启用“智能隧道”选项，如下图所示：

为书签启用此选项不需要其他额外的配置。与端口转发类似，您可以通过单击书签打开一个新窗口，以使用智能隧道传递应用程序流量并避免重写问题，这也是一种简单的办法。

当您对TCP Winsock 32应用程序（如RDP）使用此功能时，管理员需要确定要通过智能隧道使用的进程。例如，RDP 使用 mstsc.exe 进程；您可以为此进程创建一个简单的智能隧道条目。

更复杂的应用程序可能产生多个进程。从 Webvpn 门户页中，选择 Application Access 面板。当它装载时，allowed applications 列表将连接到网络的专用部分。

如果此过程仍失败，请执行以下步骤以采集必要信息，然后打开 TAC 案例。

按照清除浏览器缓存的说明清除浏览器缓存。
按照清除 Java 缓存的说明清除 Java 缓存。
按照配置缓存的说明在 ASA 上禁用 Webvpn 缓存。
如果存在 Java 小程序，请按照启用 Java 小程序调试选项的说明在小程序窗口中使用调试级别 5。
通过无客户端 SSL VPN 登录 ASA。
在问题 URL 之前的 URL 上，按照启用 HTML 捕获工具的说明在浏览器中启用 HTML 捕获工具。
捕获从此点发往问题 URL 的序列。
按键盘上的 Ctrl+Print Screen 以捕获屏幕截图。
停止 HTML 捕获工具。
当您使用 Ipsec 或 Any Connect SSL 会话通过 ASA 直接连接到 URL 时，请执行相同的第 1 步至第 9 步；或是直接连接相同 LAN 网段（如果可能），执行以下步骤，然后将数据发送到 TAC 以供分析。

程序

将 ASA 添加为可信站点

当您在 Internet Explorer 中访问 ASA 时，如果此站点未包含在可信站点列表中，您将收到一条验证错误。

执行以下步骤以将 ASA 添加为可信站点：

在 Interent Explorer 中，选择工具 > Internet 选项。
单击安全选项卡，然后选择“可信站点”。
单击站点。
添加 ASA 的 https:// 地址，然后单击添加。
添加站点后，“可信站点”图标将显示在 Internet Explorer 状态栏中。

注意：有关此过程的详细信息，请参阅使用Internet Explorer 6安全设置。

启用 Cookie

执行以下步骤以启用 Cookie：

在 Interent Explorer 中，选择工具 > Internet 选项。
单击隐私选项卡，然后单击“高级”。
在“高级隐私设置”对话框中，选中替代自动 cookie 处理复选框，单击“接受”单选按钮，然后单击“确定”。

清除浏览器缓存

执行以下步骤以清除 Internet Explorer 的缓存：

在 Interent Explorer 中，选择工具 > Internet 选项。
在“常规”选项卡中，单击“浏览历史记录”部分中的删除。
单击全部删除。
选中同时删除加载项存储的文件和设置复选框，然后单击“是”。
清除缓存后，关闭所有浏览器实例，然后重新启动浏览器。

注意：要清除其他浏览器的缓存，请参阅如何清除浏览器的缓存（以提高其性能）？

清除 Java 缓存

执行以下步骤以清除 Java 缓存：

从 Windows“开始”菜单中选择控制面板。
双击 Java。
单击设置。
单击删除文件。

注意：请参阅如何清除Java缓存？。

启用 Java 小程序调试选项

执行以下步骤以启用 Java 小程序调试选项：

确保启用 Java 1.4 或更高版本：
1. 从 Windows“开始”菜单中选择控制面板。
2. 双击 Java。
3. 单击关于，然后检查版本号。
注意：您可以从http://java.com/en/下载Java更新。
确保将 Java 配置为启用追踪、显示控制台并将 Microsoft Internet Explorer 设置为默认浏览器，如下图所示：
确保按照清除 Java 缓存的说明清除 Java 缓存。
在 Internet Explorer 中，选择工具 > JAVA 控制台以打开 Java 调试窗口。
打开 JAVA 控制台调试窗口后，按 5 以设置跟踪级别

当访问包含 Java 小程序的 URL 时，在此窗口中将会捕获此活动。
单击复制以复制信息。