ASA 上的无客户端 SSL VPN WebVPN 配置示例.docx
- 文档编号:6891900
- 上传时间:2023-01-12
- 格式:DOCX
- 页数:20
- 大小:904.05KB
ASA 上的无客户端 SSL VPN WebVPN 配置示例.docx
《ASA 上的无客户端 SSL VPN WebVPN 配置示例.docx》由会员分享,可在线阅读,更多相关《ASA 上的无客户端 SSL VPN WebVPN 配置示例.docx(20页珍藏版)》请在冰豆网上搜索。
ASA上的无客户端SSLVPNWebVPN配置示例
前言
前提条件
需求
使用的组件
惯例
配置
网络图
步骤
配置
无客户端SSLVPN(WEBVPN)宏替换
验证
故障排除
用于排除故障的步骤
用于排除故障的命令
问题-连接到PIX/ASA的WEBVPN用户不能超过三个
问题-WEBVPNClient无法点击书签,书签显示为灰色
问题-通过WEBVPN进行的Citrix连接
思科支持社区–特别的对话
相关信息
前言
通过客户端SSLVPN(WebVPN),可从任意位置以安全方式访问公司网络,此类访问虽受到限制但非常有用。
用户随时可以通过具有安全功能的浏览器访问公司资源。
本文为Cisco自适应安全设备(ASA)5500系列提供了一种简单直观的配置,无客户端SSLVPN通过该配置可访问内部网络资源。
可通过以下三种方式利用SSLVPN技术:
无客户端SSLVPN、瘦客户端SSLVPN(端口转发)和SSLVPNClient(SVC隧道模式)。
每种方式都有自身的优点和特有的资源访问方式。
1.无客户端SSLVPN
远程客户端只需一个启用了SSL的Web浏览器,便可访问公司局域网内启用了http或https的Web服务器。
也可以使用通用Internet文件系统(CIFS)来访问浏览Windows文件。
OutlookWebAccess(OWA)客户端是http访问的一个好例子。
2.瘦客户端SSLVPN(端口转发)
远程客户端必须下载一个基于Java的小程序,才能以安全方式访问使用静态端口号的TCP应用程序。
不支持UDP。
示例包括对POP3、SMTP、IMAP、SSH和Telnet的访问。
由于更改的是本地计算机中的文件,因此用户需要具有本地管理权限。
此SSLVPN方法不适用于使用动态端口分配的应用程序,例如一些FTP应用程序。
要详细了解瘦客户端SSLVPN,请参阅在ASA上使用ASDM配置瘦客户端SSLVPN(WebVPN)配置。
3.SSLVPNClient(SVC隧道模式)
SSLVPNClient将一个小客户端下载到远程工作站,从而允许对公司内部网络中的资源进行全面安全的访问。
可将SVC永久下载到远程站,也可以在安全会话结束后将其删除。
无客户端SSLVPN在CiscoVPN集中器3000和有版本12.4(6)T和以上的特定CiscoIOS路由器可以®配置。
也可以在CiscoASA中通过命令行界面(CLI)或自适应安全设备管理器(ASDM)来配置无客户端SSLVPN访问。
ASDM的使用简化了配置操作。
不得在同一个ASA接口上同时启用无客户端SSLVPN和ASDM。
如果更改端口号,这两种技术将可以共存在同一个接口上。
强烈建议在内部接口上启用ASDM,这样便可在外部接口上启用WebVPN。
要详细了解SSLVPNClient,请参阅在ASA中使用ASDM配置SSLVPNClient(SVC)的示例。
使用无客户端SSLVPN可对公司局域网中的以下资源进行安全访问:
∙OWA/Exchange
∙通过HTTP和HTTPS访问内部Web服务器
∙访问和浏览Windows文件
∙有Citrix瘦客户端的Citrix服务器
CiscoASA充当客户端计算机的安全代理,随后客户端计算机即可访问公司局域网中预先选择的资源。
本文档演示了用ASDM做出的一个简单配置,通过此配置可在CiscoASA上使用无客户端SSLVPN。
如果客户端已经具有启用了SSL的Web浏览器,则无需进行任何客户端配置。
多数Web浏览器已经具有调用SSL/TLS会话的功能。
本文还演示了所生成的CiscoASA命令行。
前提条件
需求
尝试进行此配置之前,请确保满足以下要求:
∙启用客户端SSL的浏览器,例如,InternetExplorer、Netscape和Mozilla
∙7.1或更高版本的ASA
∙TCP端口443,在从客户端到ASA的路径中不得阻止该端口
使用的组件
本文档中的信息基于以下软件和硬件版本:
∙CiscoASA软件版本7.2
(1)
∙CiscoASDM5.2
(1)
注意:
要使ASDM可配置ASA,请参阅允许ASDM进行HTTPS访问。
∙CiscoASA5510系列
本文档中的信息都是基于特定实验室环境中的设备创建的。
本文档中使用的所有设备最初均采用原始(默认)配置。
如果您在一个工作网络中操作,在使用之前请确认您已经理解所有指令的潜在影响。
惯例
有关文档规则的详细信息,请参阅Cisco技术提示规则。
配置
在此阶段,从Web浏览器发出https:
//inside_IPAddress即可访问ASDM应用程序。
加载ASDM后,即开始配置WebVPN。
本部分包含在配置本文介绍的功能时所需要的信息。
注意:
使用命令查找工具(仅限注册用户)可详细了解本部分所使用的命令。
网络图
本文档使用以下网络设置:
步骤
在ASA上配置WebVPN分为以下四个主要步骤:
∙在ASA接口上启用WebVPN。
∙创建用于WebVPN访问的服务器和/或URL的列表。
∙为WebVPN用户创建一个组策略。
∙将这一新的组策略应用于隧道组。
1.在ASDM中,选择Configuration>VPN>WebVPN>WebVPNAccess。
选择终止WebVPN用户的接口>Enable>Apply。
2.选择ServersandURLs>Add。
输入可供WebVPN访问的服务器列表的名称。
单击Add按钮。
此时将显示AddServerorURL对话框。
请输入每个服务器的名称。
这是将向客户端显示的名称。
从URL下拉菜单为每个服务器选择适当的协议。
通过AddServerorURL对话框向列表添加服务器,然后单击OK。
单击Apply>Save。
3.在ASDM左侧菜单中展开General。
选择GroupPolicy>Add。
o选择AddInternalGroupPolicy。
取消选中TunnelingProtocols:
的Inherit复选框。
选中WebVPN复选框。
o选择WebVPN选项卡。
取消选中Inherit复选框。
从功能列表中选择功能。
单击OK>Apply。
4.在左侧列中选择TunnelGroup。
单击Edit按钮。
单击GroupPolicy下拉菜单。
选择在第3步创建的策略。
请注意,如果没有创建新的组策略和隧道组,则默认设置为GroupPolicy1和DefaultWEBVPNGroup,了解这一点很重要。
单击WebVPN选项卡。
选择NetBIOSServers。
单击Add按钮。
填写WINS/NBNS服务器的IP地址。
单击OK>OK。
按照提示Apply>Save>Yes写入该配置。
配置
此配置反映了ASDM为启用WebVPN而进行的更改:
Ciscoasa
ciscoasa#showrunning-config
Buildingconfiguration...
ASAVersion7.2
(1)
hostnameciscoasa
domain-name
enablepassword9jNfZuG3TC5tCVH0encrypted
names
dns-guard
interfaceEthernet0/0
nameifoutside
security-level0
ipaddress172.22.1.160255.255.255.0
interfaceEthernet0/1
nameifinside
security-level100
ipaddress10.2.2.1255.255.255.0
interfaceEthernet0/2
nameifDMZ1
security-level50
noipaddress
interfaceManagement0/0
descriptionForMgtonly
shutdown
nameifMgt
security-level0
ipaddress10.10.10.1255.255.255.0
management-only
passwd2KFQnbNIdI.2KYOUencrypted
ftpmodepassive
dnsserver-groupDefaultDNS
domain-name
pagerlines24
loggingenable
loggingasdminformational
mtuoutside1500
mtuinside1500
mtuDMZ11500
mtuMgt1500
icmppermitanyoutside
asdmimagedisk0:
/asdm521.bin
noasdmhistoryenable
arptimeout14400
global(outside)1interface
nat(inside)110.2.2.0255.255.255.0
routeoutside0.0.0.00.0.0.0172.22.1.11
timeoutxlate3:
00:
00
timeoutconn1:
00:
00half-closed0:
10:
00udp0:
02:
00icmp0:
00:
02
timeoutsunrpc0:
10:
00h3230:
05:
00h2251:
00:
00mgcp0:
05:
00mgcp-pat0:
05:
00
timeoutsip0:
30:
00sip_media0:
02:
00sip-invite0:
03:
00sip-disconnect0:
02:
00
timeoutuauth0:
05:
00absolute
!
!
---grouppolicyconfigurations
!
group-policyGroupPolicy1internal
group-policyGroupPolicy1attributes
vpn-tunnel-protocolIPSecl2tp-ipsecwebvpn
webvpn
functionsurl-entryfile-accessfile-entryfile-browsingmapiport-forwardfilter
http-proxyauto-downloadcitrix
usernameciscopassword53QNetqK.Kqqfsheencrypted
!
!
---asdmconfigurations
!
httpserverenable
http10.2.2.0255.255.255.0inside
!
nosnmp-serverlocation
nosnmp-servercontact
snmp-serverenabletrapssnmpauthenticationlinkuplinkdowncoldstart
!
!
---tunnelgroupconfigurations
!
tunnel-groupDefaultWEBVPNGroupgeneral-attributes
default-group-policyGroupPolicy1
tunnel-groupDefaultWEBVPNGroupwebvpn-attributes
nbns-server10.2.2.2mastertimeout2retry2
!
telnettimeout5
ssh172.22.1.0255.255.255.0outside
sshtimeout5
consoletimeout0
!
class-mapinspection_default
matchdefault-inspection-traffic
!
policy-maptypeinspectdnspreset_dns_map
parameters
message-lengthmaximum512
policy-mapglobal_policy
classinspection_default
inspectdnspreset_dns_map
inspectftp
inspecth323h225
inspecth323ras
inspectrsh
inspectrtsp
inspectesmtp
inspectsqlnet
inspectskinny
inspectsunrpc
inspectxdmcp
inspectsip
inspectnetbios
inspecttftp
!
service-policyglobal_policyglobal
!
!
---webvpnconfigurations
!
webvpn
enableoutside
url-listServerList"WSHAWLAP"cifs:
//10.2.2.21
url-listServerList"FOCUS_SRV_1"https:
//10.2.2.32
url-listServerList"FOCUS_SRV_2"http:
//10.2.2.43
!
prompthostnamecontext
!
end
无客户端SSLVPN(WEBVPN)宏替换
使用无客户端SSLVPN宏替换可对用户进行配置,使其可以访问包含用户ID和口令或其他输入参数的个性化资源。
此类资源的示例包括书签条目、URL列表和文件共享。
注意:
出于安全考虑,将对文件访问URL(cifs:
//)禁用口令替换/)。
注意:
同样出于安全考虑,在为Web链接(尤其是非SSL)实例引入口令替换时,请务必谨慎。
支持以下宏替换:
1.CSCO_WEBVPN_USERNAME-SSLVPN用户登录ID
2.CSCO_WEBVPN_PASSWORD-SSLVPN用户登录口令
3.CSCO_WEBVPN_INTERNAL_PASSWORD-SSLVPN用户内部资源口令
4.CSCO_WEBVPN_CONNECTION_PROFILE-SSLVPN用户登录组下拉菜单,这是连接配置文件中的一个组别名
5.CSCO_WEBVPN_MACRO1-通过RADIUS/LDAP供应商特定属性来设置
6.CSCO_WEBVPN_MACRO2-通过RADIUS/LDAP供应商特定属性来设置
要详细了解宏替换,请参阅无客户端SSLVPN宏替换。
验证
使用本部分可确认配置能否正常运行。
建立从外部客户端到ASA设备的连接,以测试以下地址:
https:
//ASA_outside_IP_Address
客户端会收到一个CiscoWebVPN页面,通过该页面可以安全访问公司局域网。
只允许客户端进行新创建的组策略中列出的访问。
认证:
为验证此概念,在ASA中创建了一个简单的登录名和口令。
如果单点无缝登录某域是WebVPN用户的首选方法,请参阅下面这个URL:
使用ASDM和NTLMv1配置具有WebVPN和单点登录的ASA示例
故障排除
本部分提供的信息可用于对配置进行故障排除。
注意:
当复制过程正在进行时,请勿中断CopyFiletoServer命令或导航到其他屏幕。
如果中断该操作,可能导致文件在服务器上保存不完整。
注意:
用户可以使用WEBVPNClient上载和下载新文件,但不允许用户使用CopyFiletoServer命令覆盖WEBVPN上CIFS中的文件。
当用户尝试替换该服务器上的文件时,该用户将收到以下消息:
“Unabletoaddthefile.”。
用于排除故障的步骤
请按照以下说明排除配置故障。
1.在ASDM中,选择Monitoring>Logging>Real-timeLogViewer>View。
当客户端连接到ASA时,请在实时日志中注意SSL和TLS会话的建立与终止。
2.在ASDM中,选择Monitoring>VPN>VPNStatistics>Sessions。
查找新的WebVPN会话。
请务必选择WebVPN过滤器,然后单击Filter。
如果出现问题,请暂时绕过ASA设备,以确保客户端可以访问所需的网络资源。
请查看本文列出的配置步骤。
用于排除故障的命令
命令输出解释程序工具(仅限注册用户)(OIT)支持某些show命令。
使用OIT可查看对show命令输出的分析。
注意:
在使用debug命令之前,请参阅关于Debug命令的重要信息。
∙showwebvpn?
—有许多与WebVPN关联的show命令。
要详细了解show命令的用法,请参阅Cisco安全设备的命令参考部分。
∙debugwebvpn?
—使用debug命令可能对ASA产生不利影响。
要详细了解debug命令的用法,请参阅Cisco安全设备的命令参考部分。
问题-连接到PIX/ASA的WEBVPN用户不能超过三个
问题:
只能将三个WEBVPNClient连接到ASA/PIX;连接第四个客户端时将失败。
解决方案:
在许多情况下,此问题与组策略中的一个同时登录设置有关。
按照下图配置所需的同时登录数。
在本例中,所需值为20。
ciscoasa(config)#group-policyBryanattributes
ciscoasa(config-group-policy)#vpn-simultaneous-logins20
问题-WEBVPNClient无法点击书签,书签显示为灰色
问题:
如果配置这些书签供用户登录无客户端VPN,但这些书签在主机屏幕中的“WebApplications”下显示为灰色,我该如何启用这些HTTP链接,以使用户能单击书签并进入特定URL?
解决方案:
首先应确保ASA能通过DNS解析网站。
尝试按名称ping这些网站。
如果ASA无法解析该名称,链接将变灰。
如果DNS服务器在网络内部,请配置DNS域查找专用接口。
问题-通过WEBVPN进行的Citrix连接
问题
通过WEBVPN进行Citrix连接时出现错误消息“theicaclientreceivedacorrupticafile.”。
解决方案
如果将安全网关模式用于通过WebVPN进行的Citrix连接,ICA文件可能损坏。
由于ASA与此操作模式不兼容,请在直接模式(非安全模式)下新建一个ICA文件。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- ASA 上的无客户端 SSL VPN WebVPN 配置示例 客户端 配置 示例
![提示](https://static.bdocx.com/images/bang_tan.gif)