客户端远程桌面连接器

ASA8.
x:VPN访问与使用自签名证书的AnyConnectVPN客户端配置示例目录简介先决条件要求使用的组件规则背景信息配置步骤1.
配置自发证书步骤2.
上载并标识SSLVPN客户端映像步骤3.
启用Anyconnect访问步骤4.
创建新的组策略配置VPN连接的访问列表绕开选项步骤6.
创建AnyConnect客户端连接的连接配置文件和隧道组步骤7.
配置AnyConnect客户端的NAT免除步骤8.
将用户添加到本地数据库验证故障排除故障排除命令(可选)相关信息简介本文档介绍如何使用自签名证书允许从CiscoAnyConnect2.
0客户端到ASA的远程访问SSLVPN连接.
先决条件要求尝试进行此配置之前,请确保满足以下要求:运行软件版本8.
0的基本ASA配置qASDM6.
0(2)q使用的组件本文档中的信息基于以下软件和硬件版本:CiscoASA8.
0(2)、ASDM6.
0(2)qCiscoAnyConnect2.
0q规则有关文档规则的详细信息,请参阅Cisco技术提示规则.
背景信息CiscoAnyConnect2.
0客户端是一款基于SSL的VPN客户端.
AnyConnect客户端可以在多种操作系统上安装和使用,例如Windows2000、WindowsXP、WindowsVista、Linux(多个发行版本)和MACOSX.
AnyConnect客户端可由系统管理员手动安装在远程PC上.
也可将其加载到安全设备中,以供远程用户下载.
下载后,该应用程序可以在连接终止时自动自我卸载,也可以保留在远程PC中,以备将来进行SSLVPN连接.
本示例中的AnyConnect客户端在基于浏览器的SSL身份验证成功的情况下可供下载.
有关AnyConnect2.
0客户端的详细信息,请参阅AnyConnect2.
0发行版本注释.
注意:不支持将微软终端服务和AnyConnect客户端一起使用.
您不能使用远程桌面协议(RDP)连接到计算机然后启动AnyConnect会话.
您不能使用远程桌面协议(RDP)连接到经由AnyConnect连接的客户端.
注意:首次安装AnyConnect要求用户拥有管理员权限(无论您是使用独立的AnyConnectmsi程序包,还是由ASA推送pkg文件).
如果用户没有管理员权限,则系统会弹出对话框说明这一要求.
随后的升级将不再要求之前安装了AnyConnect的用户拥有管理员权限.
配置要将ASA配置为能够使用AnyConnect客户端进行VPN访问,请完成以下步骤:配置自发证书.
1.
上载并标识SSLVPN客户端映像.
2.
启用Anyconnect访问.
3.
创建新的组策略.
4.
配置VPN连接的访问列表绕开选项.
5.
创建AnyConnect客户端连接的连接配置文件和隧道组.
6.
配置AnyConnect客户端的NAT免除.
7.
将用户添加到本地数据库.
8.
步骤1.
配置自发证书默认情况下,安全设备拥有自签名证书,该证书在设备每次重新启动时都重新生成.
您可以从类似Verisign或EnTrust这样的供应商处购买自己的证书,也可配置ASA,让其向自己发出身份证书.
这样的证书在设备重新启动后仍会保持不变.
完成此步骤可以生成设备重新启动后仍会存留的自发证书.
ASDM步骤单击Configuration,然后单击RemoteAccessVPN.
1.
展开CertificateManagement,然后选择IdentityCertificates.
2.
单击Add,然后单击Addanewidentitycertificate单选按钮.
3.
单击New.
4.
在AddKeyPair对话框中单击Enternewkeypairname单选按钮.
5.
输入用于标识密钥对的名称.
本示例使用的是sslvpnkeypair.
6.
单击GenerateNow.
7.
在AddIdentityCertificate对话框中,确保新创建的密钥对处于选中状态.
8.
对于CertificateSubjectDN,请输入用于连接到VPN终接接口的完全限定域名(FQDN).
CN=sslvpn.
cisco.
com9.
单击Advanced,然后在CertificateSubjectDN字段中输入使用的FQDN.
例如,FQDN:sslvpn.
cisco.
com10.
单击Ok.
11.
选中GenerateSelfSignedCertificate复选框,然后单击AddCertificate.
12.
单击Ok.
13.
单击Configuration,然后单击RemoteAccessVPN.
14.
展开Advanced,然后选择SSLSettings.
15.
在Certificates区域,选择将用于终接SSLVPN的接口(外部),然后单击Edit.
16.
在Certificate下拉列表中,选择先前生成的自签名证书.
17.
单击OK,然后单击Apply.
18.
命令行示例ciscoasaciscoasa(config)#cryptokeygeneratersalabelsslvpnkeypairINFO:Thenameforthekeyswillbe:sslvpnkeypairKeypairgenerationprocessbegin.
Pleasewait.
GenerateanRSAkeyforthecertificate.
(Thenameshouldbeunique.
!
---Forexample,sslvpnkeypair.
)ciscoasa(config)#cryptocatrustpointlocaltrust!
---Createatrustpointfortheself-issuedcertificate.
ciscoasa(config-ca-trustpoint)#enrollmentselfciscoasa(config-ca-trustpoint)#fqdnsslvpn.
cisco.
comciscoasa(config-ca-trustpoint)#subject-nameCN=sslvpn.
cisco.
com!
---ThefullyqualifieddomainnameisusedforbothfqdnandCN.
!
---ThenameshouldresolvetotheASAoutsideinterfaceIPaddress.
ciscoasa(config-ca-trustpoint)#keypairsslvpnkeypair!
---TheRSAkeyisassignedtothetrustpointforcertificatecreation.
ciscoasa(config-ca-trustpoint)#cryptocaenrolllocaltrustnoconfirm%Thefully-qualifieddomainnameinthecertificatewillbe:sslvpn.
cisco.
comciscoasa(config)#ssltrust-pointlocaltrustoutside!
---AssignthetrustpointtobeusedforSSLconnectionsontheoutsideinterface.
步骤2.
上载并标识SSLVPN客户端映像本文档使用的是AnyConnectSSL2.
0客户端.
您可以在Cisco软件下载网站获取该客户端.
对于远程用户计划使用的操作系统而言,每个操作系统都需要单独的AnyConnect映像.
有关详细信息,请参阅CiscoAnyConnect2.
0发行版本注释.
获取AnyConnect客户端后,请完成以下步骤:ASDM步骤单击Configuration,然后单击RemoteAccessVPN.
1.
展开Network(Client)Access,然后展开Advanced.
2.
展开SSLVPN,然后选择ClientSettings.
3.
在SSLVPNClientImages区域,单击Add,然后单击Upload.
4.
浏览并找到AnyConnect客户端下载到的位置.
5.
选择文件,然后单击UploadFile.
一旦客户端上载完成,您将收到消息提示您文件已成功上载到闪存.
6.
单击Ok.
随后会出现一个对话框,要求您确认是否要将新上载的映像用作当前SSLVPN客户端映像.
7.
单击Ok.
8.
单击OK,然后单击Apply.
9.
针对要使用的每个特定于操作系统的AnyConnect程序包重复本部分中的这些步骤.
10.
命令行示例ciscoasaciscoasa(config)#copytftp://192.
168.
50.
5/anyconnect-win-2.
0.
0343-k9.
pkgflashAddressornameofremotehost[192.
168.
50.
5]Sourcefilename[anyconnect-win-2.
0.
0343-k9.
pkg]Destinationfilename[anyconnect-win-2.
0.
0343-k9.
pkg]Accessingtftp://192.
168.
50.
5/anyconnect-win-2.
0.
0343-k9.
pkg.
Writingfiledisk0:/anyconnect-win-2.
0.
0343-k9.
pkg.
.
.
2635734bytescopiedin4.
480secs(658933bytes/sec)!
---AnyConnectimageisdownloadedtoASAviaTFTP.
ciscoasa(config)#webvpnciscoasa(config-webvpn)#svcimagedisk0:/anyconnect-win-2.
0.
0343-k9.
pkg1!
---SpecifytheAnyConnectimagetobedownloadedbyusers.
Theimagethatis!
---downloadedthemostshouldhavethelowestnumber.
Thisimageuses1forthe!
---AnyConnectWindowsimage.
步骤3.
启用Anyconnect访问要允许AnyConnect客户端连接到ASA,您必须在终止SSLVPN连接的接口上启用访问.
本示例使用外部接口终止AnyConnect连接.
ASDM步骤单击Configuration,然后单击RemoteAccessVPN.
1.
展开Network(Client)Access,然后选择SSLVPNConnectionProfiles.
2.
选中EnableCiscoAnyConnectVPNClient复选框.
3.
选中外部接口的AllowAccess复选框,然后单击Apply.
4.
命令行示例ciscoasaciscoasa(config)#webvpnciscoasa(config-webvpn)#enableoutsideciscoasa(config-webvpn)#svcenable!
---EnableAnyConnecttobedownloadedtoremotecomputers.
步骤4.
创建新的组策略组策略用于指定客户端连接时应该应用于客户端的配置参数.
本示例将创建名为SSLClientPolicy的组策略.
ASDM步骤单击Configuration,然后单击RemoteAccessVPN.
1.
展开Network(Client)Access,然后选择GroupPolicies.
2.
单击Add.
3.
选择General,然后在Name字段输入SSLClientPolicy.
4.
取消选中AddressPoolsInherit复选框.
5.
单击Select,然后单击Add.
此时将出现AddIPPool对话框.
6.
在网络中当前未使用的IP范围内配置地址池.
本示例使用这些值:名称:SSLClientPool起始IP地址:192.
168.
25.
1EndingIPAddress:192.
168.
25.
50子网掩码:255.
255.
255.
07.
单击Ok.
8.
选择新创建的地址池,然后单击Assign.
9.
单击OK,然后单击MoreOptions.
10.
取消选中TunnelingProtocolsInherit复选框.
11.
选中SSLVPNClient.
12.
在左窗格中选择Servers.
13.
取消选中DNSServersInherit复选框,然后输入AnyConnect客户端将使用的内部DNS服务器的IP地址.
本示例使用192.
168.
50.
5.
14.
单击MoreOptions.
15.
取消选中DefaultDomainInherit复选框.
16.
输入内部网络使用的域.
例如,tsweb.
local.
17.
单击OK,然后单击Apply.
18.
命令行示例ciscoasaciscoasa(config)#iplocalpoolSSLClientPool192.
168.
25.
1-192.
168.
25.
50mask255.
255.
255.
0!
---DefinetheIPpool.
TheIPpoolshouldbearangeofIPaddresses!
---notalreadyinuseontheinternalnetwork.
ciscoasa(config)#group-policySSLCLientPolicyinternalciscoasa(config)#group-policySSLCLientPolicyattributesciscoasa(config-group-policy)#dns-servervalue192.
168.
50.
5!
---SpecifytheinternalDNSservertobeused.
ciscoasa(config-group-policy)#vpn-tunnel-protocolsvc!
---SpecifyVPNtunnelprotocoltobeusedbytheGroupPolicy.
ciscoasa(config-group-policy)#default-domainvaluetsweb.
local!
---DefinethedefaultdomainassignedtoVPNusers.
ciscoasa(config-group-policy)#address-poolsvalueSSLClientPool!
---AssigntheIPpoolcreatedtotheSSLClientPolicygrouppolicy.
配置VPN连接的访问列表绕开选项启用该选项后,您将允许SSL/IPsec客户端绕开接口访问列表.
ASDM步骤单击Configuration,然后单击RemoteAccessVPN.
1.
展开Network(Client)Access,然后展开Advanced.
2.
展开SSLVPN,然后选择BypassInterfaceAccessList.
3.
确保EnableinboundSSLVPNandIPSECSessionstobypassinterfaceaccesslists复选框处于选中状态,然后单击Apply.
4.
命令行示例ciscoasaciscoasa(config)#sysoptconnectionpermit-vpn!
---Enableinterfaceaccess-listbypassforVPNconnections.
!
---Thisexampleusesthevpn-filtercommandforaccesscontrol.
ciscoasa(config-group-policy)#步骤6.
创建AnyConnect客户端连接的连接配置文件和隧道组连接到ASA时,VPN客户端将连接到连接配置文件或隧道组.
隧道组用于定义特定类型的VPN连接(如IPsecL2L、IPsec远程访问、无客户端SSL和客户端SSL)的连接参数.
ASDM步骤单击Configuration,然后单击RemoteAccessVPN.
1.
展开Network(Client)Access,然后展开SSLVPN.
2.
选择ConnectionProfiles,然后单击Add.
3.
选择Basic,然后输入以下值:名称:SSLClientProfile验证:本地默认组策略:SSLClientPolicy4.
确保SSLVPNClientProtocol复选框处于选中状态.
5.
在左窗格中展开Advanced,然后选择SSLVPN.
6.
在ConnectionAliases下单击Add,然后输入用户可以将其VPN连接关联到的名称.
例如,SSLVPNClient.
7.
单击OK,然后再次单击OK.
8.
在ASDM窗口底部,选中Allowusertoselectconnection,identifiedbyaliasinthetableaboveatloginpage复选框,然后单击Apply.
9.
命令行示例ciscoasaciscoasa(config)#tunnel-groupSSLClientProfiletyperemote-access!
---DefinetunnelgrouptobeusedforVPNremoteaccessconnections.
ciscoasa(config)#tunnel-groupSSLClientProfilegeneral-attributesciscoasa(config-tunnel-general)#default-group-policySSLCLientPolicyciscoasa(config-tunnel-general)#tunnel-groupSSLClientProfilewebvpn-attributesciscoasa(config-tunnel-webvpn)#group-aliasSSLVPNClientenable!
---Assignaliasfortunnelgroup.
ciscoasa(config-tunnel-webvpn)#webvpnciscoasa(config-webvpn)#tunnel-group-listenable!
---Enablealias/tunnelgroupselectionforSSLVPNconnections.
步骤7.
配置AnyConnect客户端的NAT免除对于要允许SSLVPN客户端访问的任何IP地址或范围,都必须配置NAT免除.
在本示例中,SSLVPN客户端仅需要访问内部IP192.
168.
50.
5.
注意:如果未启用Nat-control,则不必执行此步骤.
使用showrunnat-control命令进行验证.
要通过ASDM进行验证,请单击Configuration,单击Firewall,然后选择NatRules.
如果Enabletrafficthroughthefirewallwithoutaddresstranslation复选框已选中,则可以跳过此步骤.
ASDM步骤单击Configuration,然后单击Firewall.
1.
选择NatRules,然后单击Add.
2.
选择AddNATExemptRule,然后输入以下值:操作:豁免接口:里面来源:192.
168.
50.
5目的地:192.
168.
25.
0/24NATExemptDirection:NATExemptoutboundtrafficfrominterface'inside'tolowersecurityinterfaces(Default)3.
单击OK,然后单击Apply.
4.
命令行示例ciscoasaciscoasa(config)#access-listno_natextendedpermitiphost192.
168.
50.
5192.
168.
25.
0255.
255.
255.
0!
---DefineaccesslisttobeusedforNATexemption.
ciscoasa(config)#nat(inside)0access-listno_nat!
---Allowexternalconnectionstountranslatedinternal!
---addressesdefinedbyaccesslisyno_nat.
ciscoasa(config)#步骤8.
将用户添加到本地数据库如果要使用本地身份验证(默认选项),则您必须在本地数据库中定义用户名和口令,以便进行用户身份验证.
ASDM步骤单击Configuration,然后单击RemoteAccessVPN.
1.
展开AAASetup,然后选择LocalUsers.
2.
单击Add,然后输入以下值:用户名:matthewp密码:p@ssw0rd确认密码:p@ssw0rd3.
选择NoASDM,SSH,TelnetorConsoleAccess单选按钮.
4.
单击OK,然后单击Apply.
5.
对于其他用户,请重复此步骤,然后点击Save.
6.
命令行示例ciscoasaciscoasa(config)#usernamematthewppasswordp@ssw0rdciscoasa(config)#usernamematthewpattributesciscoasa(config-username)#service-typeremote-access!
---Assignuserremoteaccessonly.
NoSSH,Telnet,ASDMaccessallowed.
ciscoasa(config-username)#writememory!
---Savetheconfiguration.
验证使用此部分可以验证SSLVPN配置是否成功使用AnyConnect客户端连接到ASA直接在PC上安装客户端,然后连接到ASA外部接口,或者在Web浏览器中输入ASA的https和FQDN/IP地址.
如果使用Web浏览器,客户端会在成功登录后自动安装.
验证SSLVPN客户端连接使用showvpn-sessiondbsvc命令验证连接的SSLVPN客户端.
ciscoasa(config-group-policy)#showvpn-sessiondbsvcSessionType:SVCUsername:matthewpIndex:6AssignedIP:192.
168.
25.
1PublicIP:172.
18.
12.
111Protocol:ClientlessSSL-TunnelDTLS-TunnelEncryption:RC4AES128Hashing:SHA1BytesTx:35466BytesRx:27543GroupPolicy:SSLClientPolicyTunnelGroup:SSLClientProfileLoginTime:20:06:59UTCTueOct162007Duration:0h:00m:12sNACResult:UnknownVLANMapping:N/AVLAN:noneciscoasa(config-group-policy)#vpn-sessiondblogoffnameusername命令可以根据用户名注销用户.
断开时,用户将收到AdministratorReset消息.
ciscoasa(config)#vpn-sessiondblogoffnamematthewpDoyouwanttologofftheVPNsession(s)[confirm]INFO:Numberofsessionswithname"matthewp"loggedoff:1ciscoasa(config)#有关AnyConnect2.
0客户端的详细信息,请参阅CiscoAnyConnectVPN管理员指南.
故障排除本部分提供的信息可用于对配置进行故障排除.
故障排除命令(可选)命令输出解释程序(仅限注册用户)(OIT)支持某些show命令.
使用OIT可查看对show命令输出的分析.
注意:使用debug命令之前,请参阅有关Debug命令的重要信息.
debugwebvpnsvc255—显示与通过WebVPN连接到SSLVPN客户端相关的debug消息.
成功的AnyConnect登录ciscoasa(config)#debugwebvpnsvc255INFO:debugwebvpnsvcenabledatlevel255.
ciscoasa(config)#ATTR_FILTER_ID:Name:SSLVPNClientAccess,Id:1,refcnt:1webvpn_rx_data_tunnel_connectCSTPstate=HEADER_PROCESSINGhttp_parse_cstp_method().
.
.
input:'CONNECT/CSCOSSLC/tunnelHTTP/1.
1'webvpn_cstp_parse_request_field().
.
.
input:'Host:10.
10.
1.
5'OutsideIPofASAProcessingCSTPheaderline:'Host:10.
10.
1.
5'webvpn_cstp_parse_request_field().
.
.
input:'User-Agent:CiscoAnyConnectVPNClient2,0,0343'AnyConnectVersionProcessingCSTPheaderline:'User-Agent:CiscoAnyConnectVPNClient2,0,0343'Settinguser-agentto:'CiscoAnyConnectVPNClient2,0,0343'webvpn_cstp_parse_request_field().
.
.
input:'Cookie:webvpn=3338474156@28672@1192565782@EFB9042D72C63CE02164F790435897AC72EE70AE'ProcessingCSTPheaderline:'Cookie:webvpn=3338474156@28672@1192565782@EFB9042D72C63CE02164F790435897AC72EE70AE'FoundWebVPNcookie:'webvpn=3338474156@28672@1192565782@EFB9042D72C63CE02164F790435897AC72EE70AE'WebVPNCookie:'webvpn=3338474156@28672@1192565782@EFB9042D72C63CE02164F790435897AC72EE70AE'IPADDR:'3338474156',INDEX:'28672',LOGIN:'1192565782'webvpn_cstp_parse_request_field().
.
.
input:'X-CSTP-Version:1'ProcessingCSTPheaderline:'X-CSTP-Version:1'Settingversionto'1'webvpn_cstp_parse_request_field().
.
.
input:'X-CSTP-Hostname:wkstation1'-!
---ClientdesktophostnameProcessingCSTPheaderline:'X-CSTP-Hostname:wkstation1'Settinghostnameto:'wkstation1'webvpn_cstp_parse_request_field().
.
.
input:'X-CSTP-Accept-Encoding:deflate;q=1.
0'ProcessingCSTPheaderline:'X-CSTP-Accept-Encoding:deflate;q=1.
0'webvpn_cstp_parse_request_field().
.
.
input:'X-CSTP-MTU:1206'ProcessingCSTPheaderline:'X-CSTP-MTU:1206'webvpn_cstp_parse_request_field().
.
.
input:'X-CSTP-Address-Type:IPv4'ProcessingCSTPheaderline:'X-CSTP-Address-Type:IPv4'webvpn_cstp_parse_request_field().
.
.
input:'X-DTLS-Master-Secret:q72B8AD72F327059AE22CBB451CB0948AFBE98296FD84949EB6CAEDC203865C76BDBD634845FA89634C668A67152ABB51'ProcessingCSTPheaderline:'X-DTLS-Master-Secret:72B8AD72F327059AE22CBB451CB0948AFBE98296FD84949EB6CAEDC203865C76BDBD634845FA89634C668A67152ABB51'webvpn_cstp_parse_request_field().
.
.
input:'X-DTLS-CipherSuite:AES256-SHA:AES128-SHA:DES-CBC3-SHA:DES-CBC-SHA'ProcessingCSTPheaderline:'X-DTLS-CipherSuite:AES256-SHA:AES128-SHA:DES-CBC3-SHA:DES-CBC-SHA'Validatingaddress:0.
0.
0.
0CSTPstate=WAIT_FOR_ADDRESSwebvpn_cstp_accept_address:192.
168.
25.
1/255.
255.
255.
0-!
---IPassignedfromIPPoolCSTPstate=HAVE_ADDRESSSVC:NPsetupnp_svc_create_session(0x7000,0xD41612C8,TRUE)webvpn_svc_np_setupSVCACLName:NULLSVCACLID:-1SVCACLID:-1vpn_put_uauthsuccess!
SVCIPv6ACLName:NULLSVCIPv6ACLID:-1SVC:addingtosessmgmtSVC:SendingresponseUnabletoinitiateNAC,NACmightnotbeenabledorinvalidpolicyCSTPstate=CONNECTEDwebvpn_rx_data_cstpwebvpn_rx_data_cstp:gotinternalmessageUnabletoinitiateNAC,NACmightnotbeenabledorinvalidpolicy失败的AnyConnect登录(错误口令)webvpn_portal.
c:ewaFormSubmit_webvpn_login[1808]ewaFormSubmit_webvpn_login:tgCookie=0ewaFormSubmit_webvpn_login:cookie=d53d2990ewaFormSubmit_webvpn_login:tgCookieSet=0ewaFormSubmit_webvpn_login:tgroup=NULLwebvpn_portal.
c:http_webvpn_kill_cookie[627]webvpn_auth.
c:http_webvpn_pre_authentication[1905]WebVPN:callingAAAwithewsContext(-717386088)andnh(-717388536)!
WebVPN:starteduserauthentication.
.
.
webvpn_auth.
c:webvpn_aaa_callback[4380]WebVPN:AAAstatus=(REJECT)webvpn_portal.
c:ewaFormSubmit_webvpn_login[1808]ewaFormSubmit_webvpn_login:tgCookie=0ewaFormSubmit_webvpn_login:cookie=d53d2990ewaFormSubmit_webvpn_login:tgCookieSet=0ewaFormSubmit_webvpn_login:tgroup=NULLwebvpn_auth.
c:http_webvpn_post_authentication[1180]WebVPN:user:(matthewp)rejected.
http_remove_auth_handle():handle9notfound!
webvpn_portal.
c:ewaFormServe_webvpn_login[1749]webvpn_portal.
c:http_webvpn_kill_cookie[627]相关信息CiscoAnyConnectVPNClient管理员指南,版本2.
0qAnyConnectVPN客户端版本2.
0的发行版本注释q技术支持和文档-CiscoSystemsq