Настройка Cisco AnyConnect VPN with 2FA (ActiveDirectory and Certificate) через ASDM
Сразу хочу отметить, — не собираюсь устраивать холивар на счет того, что лучше — ASDM or console: на вкус и цвет все фломастеры разные…Я предпочитаю ASDM и настройки такого плана произвожу именно через нее. Поэтому статья будет насыщенна картинками (скринами)
Итак, приступим. Начнем с настройки LDAP сервера (в нашем случае это DC ActiveDirectory), для этого переходим в Configuration > DeviceManagement > Users/AAA > AAA Server Groups и создаем группу, назовем ее OFFICE, Protocol указываем LDAP
Configuration Cisco ASA AAA Server Groups
Для того, чтобы добавить сервер в созданную группу, нам необходимо предварительно создать LDAP Atribute Map. Для этого переходим в соответствующий раздел: Configuration > DeviceManagement > Users/AAA >LDAP Attribute Map и создаем новую карту: в нашем случае это Map Name: AD, Mapping of Attribute Name > LDAP Attribute Name: memberOf, Cisco Attribute Name: IETF-Radius-Class
LDAP Attribute Map
Теперь можно добавить сервер (настроить подключение к контроллеру домена), указываем интерфейс, через который будем подключаться, IP адрес DC, Server Type: Microsoft, Base DN, Naming Attribute: sAMAccountName, Login DN, Login Password, только что созданную карту LDAP Attribute Map: AD, Group Base DN:
AAA Server — Microsoft DC
Add AAA Server
После добавления сервера делаем проверку, проходим аутентификацию учетной записью AD:
Test AAA Server — Authentication
Теперь можно добавить сертификат удостоверяющего центра (используется Microsoft CA, в рамках статьи о его настройке рассказывать не буду, единственное о чем следует обязательно помнить: Cisco ASA не воспринимает сертификаты с Signature algorithm RSASSA-PSS, который Microsoft предлагает использовать по умолчанию. мы меняли на sha512RSA):
Identity Certificates Signature algorithm RSASSA-PSS — sha512
Переходим Configuration > DeviceManagement >Certificate Management > Identity Certificates и импортируем в формате PKCS12 (*.pfx сертификат + private key):
Identity Certificates Signature algorithm sha512RSA (ECDSA 521 bits)
С подготовительными действиями закончили, можно переходить к настройке профилей для AnyConnect VPN. Для примера, будем использовать 2 профиля, у которых будут разные IP Address Pools и соотв. ACL, Dynamic Access Policies, Group Policies и соответственно 2 группы ActiveDirectory. При подключении пользователей по ВПН используем политику «Туннелирование только указанных сетей», так называемый Split Tunneling, чтобы не гнать весь пользовательский траффик через впн. Но это «на любителя», может кому-то, наоборот, такое потребуется — последнее время это очень актуально 😉
Начнем с IP Address Pools, для этого переходим в Configuration > Remote Access VPN > Network (Client) Access > Address Assignment > Address Pools
Создадим пул адресов (сегмент) для администраторов (назовем, например VPN_Admins):
Address Assignment — Address Pools
Далее создадим политику (это основная часть настроеек профиля, в которой можно задат: протоколы, которые будут использоваться для туннелей, время доступа, количество одновременных логинов, закрыть доступы к определенным VLAN, выставить таймауты, задать DNS серверы, настроить Split Tunneling, клиентский файерволл и тд и тп) — в общем этой настройке следует уделить особое внимание! Итак, начнем: Configuration > Remote Access VPN > Network (Client) Access > Group Policies, Add Internal Group Policy
Все выставленные параметры сугубо индивидуальны — в нашем случае немного параноидальны Указаны протоколы, которые допускаются для создания туннеля (Tunneling Protocols), временной период для доступа по ВПН (Access Hours), количество одновременных подключений с одной учетной записью (Simultaneous Logins), максимальное время для сеанса и пр.:
Configuration > Remote Access VPN > Network (Client) Access > Group Policies > Add Internal Group Policy
Следующая полезная настройка — вкладка Servers, в которой мы можем указать внутр. ДНС серверы, для пользователей ВПН AnyConnect, чтобы они могли обращаться к внутренним ресурсам по имени:
Configuration > Remote Access VPN > Network (Client) Access > Group Policies > Edit Internal Group Policy — Servers
Теперь перейдем к еще одной интересной опции — настройке Split Tunneling. Как я уже писал ранее — будем использовать политику «туннелирование только указанных сетей» (мы не заворачиваем в туннель весь траффик пользователей и разрешаем доступ к локальным ресурсам — опция «Local Lan Access» далее будет отдельно рассмотрена):
Configuration > Remote Access VPN > Network (Client) Access > Group Policies > Edit Internal Group Policy > Advanced > Split Tunneling >
Ранее мы указали к каким сетям\хостам мы разрешили доступ, теперь ограничим доступ к ним по протоколам\портам (еще один ACL):
Configuration > Remote Access VPN > Network (Client) Access > Group Policies > Edit Internal Group Policy > Advanced > AnyConnect Client > Client Firewall > Private Network Rule
В итоге, после подключения к впн AnyConnect клиентом, можно увидеть маршруты в сторону туннеля и правила файерволла:
AnyConnect Client > Route Details
AnyConnect Client > Firewall
Теперь можно перейти непосредственно к созданию профиля AnyConnect, переходим Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Connection Profiles >, Add AnyConnect Connection Profile
и указываем: Name, Aliases, далее Authentication Method (AAA and certificate), AAA Server Group, Client Address Pools, Group Policy — все созданное ранее!
Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Connection Profiles > Add AnyConnect Connection Profile > Basic
И теперь небольшой «лайфхак» — мы из пользовательского сертификата вытащим значение E-mail и с помощью регулярки (.*)@ отрежем от него @domain.ru
(значение E-mail должно быть %AD username%@somedomain.ru ) и подставим его в поле Username при подключении.
Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Connection Profiles > Add AnyConnect Connection Profile > Advanced > Authentication > Username Mapping from Certificate
Когда профили настроили — мы уже можем подключаться, потому как будет отрабатывать политика по умолчанию DfltAccessPolicy для всех пользователей, прошедших аутентификацию (у нее самый высокий приоритет). Мы же хотим, чтобы для разных групп ActiveDirectory использовался свой профиль и отрабатывала своя групповая политика \ политика доступа. Поэтому, переходим: Configuration > Remote Access VPN > Network (Client) Access > Dynamic Access Policies и запрещаем DfltAccessPolicy (на самом деле не запрещаем, а делаем Terminate с уведомлением пользователя — хорошая диагностика того, что пользователь не включен в требую группу ActiveDirectory):
Configuration > Remote Access VPN > Network (Client) Access > Dynamic Access Policies
Terminate connection from users who are not in the access group
После того, как политику по умолчанию запретили, — создадим новую:
Configuration > Remote Access VPN > Network (Client) Access > Dynamic Access Policies > Add Dynamic Access Policy
Configuration > Remote Access VPN > Network (Client) Access > Dynamic Access Policies > Add Dynamic Access Policy with AAA Attributes
где g_vpn_level_01 — созданная в ActiveDirectory группа безопасности, куда мы включаем необходимые админские учетки, для подключения по ВПН AnyConnect с профилем VPN-ADMINS:
Configuration > Remote Access VPN > Network (Client) Access > Dynamic Access Policies > Add Dynamic Access Policy with AAA Attributes > Get AD Groups
ну и заключительный «штрих» — рекомендую сохранить созданный профиль в файл (полезно, например, для синхронизации профилей для StandBy unit при Failover конфигурации):
Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Client Profile
После того, как профиль сохранен — его можно немного «потюнинговать»: помните я говорил про опцию»Local Lan Access«? Она как раз здесь настраивается. А еще здесь же можно настроить выбор хранилища сертификатов; автообновление клиента AnyConnect; разрешить\запретить возможность подключения к компьютеру через рдп, при подключенном впн; указать версию протокола (IPv4 or IPv6 or both); параметры сертификатов и серверов; мобильные политики. В общем — есть, что «подкрутить» под ваши нужды!
Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Client Profile > Edit
Как настроить VPN с Cisco
Название Cisco является синонимом сетевого оборудования и телекоммуникационного оборудования в глобальном масштабе. Это одно из самых узнаваемых имен большинства корпоративных маршрутизаторов и значительная часть используемых сегодня магистральных интернет-маршрутизаторов.
Компания также предоставляет приложение Cisco AnyConnect , которое используется во многих колледжах и университетах, а также на разных предприятиях по всему миру.
Cisco AnyConnect — это приложение, которое предоставляет пользователям высокозащищенный доступ к корпоративной сети с любого устройства, в любое время и в любом месте. Приложение включает в себя базовый клиент для установки на все ваши устройства и Adaptive Security Appliance (ASA).
Эти устройства Cisco ASA включают в себя брандмауэр, антивирус, спам-фильтр, VPN-сервер, устройство SSL-сертификата, а также множество дополнительных встроенных функций.
Все, что заключено в одном устройстве, — это отличный способ защитить свой бизнес, не создавая головной боли для ИТ-отдела. Именно из-за этого решения «одно устройство защищает все» использование ASA стало настолько популярным.
Настройка виртуальной частной сети (VPN) значительно расширит возможности вашего бизнеса по поддержке удаленных сотрудников и обеспечит безопасный доступ к вашей сети с любого клиента через Интернет.
В этой статье будут рассмотрены основы того, как вы можете настроить VPN для своей организации и подключиться к ней с помощью Cisco AnyConnect.
Настройка собственного Cisco VPN Server
Поскольку мы будем использовать устройство безопасности ASA, вы можете использовать Cisco Adaptive Security Device Manager (ASDM) для настройки параметров VPN, а также других функций, таких как правила межсетевого экрана и параметры преобразования сетевых адресов (NAT).
Существует три ключевых аспекта VPN-соединения: идентификация, шифрование и туннелирование. У каждого есть определенный набор стандартов, чтобы все это работало вместе.
Во-первых, вам понадобится способ идентифицировать и проверить удаленного пользователя. Это означает, что ваши пользователи должны будут пройти аутентификацию в базе данных авторизованных пользователей и получить все необходимые права доступа. Вы можете использовать сертификаты для установления личности или создания набора политик аутентификации, авторизации и учета (AAA) либо локально, либо на отдельном сервере.
Далее вы захотите зашифровать весь трафик между сервером и клиентом и установить уровень шифрования. Чем выше уровень шифрования, тем сложнее будет получить к нему доступ, но это также приведет к увеличению издержек при расшифровке.
Наконец, туннель должен быть установлен. Вы можете настроить сервер для настройки политик, которые указывают пользователям на конкретные сети в вашей организации.
Вполне возможно, что у вашей Cisco VPN может быть настройка по умолчанию, называемая Easy VPN, которая позволит вам создать единую группу с общими характеристиками. Эта функция позволит пользователям, которые хотят получить доступ к серверу, использовать только предварительный общий ключ, а также имя пользователя и пароль для аутентификации.
Как настроить Cisco AnyConnect VPN
Когда дело доходит до настройки Cisco AnyConnect VPN, подход будет зависеть от устройства, на котором вы его устанавливаете. Однако после установки настройка очень проста.
Получить Cisco AnyConnect так же просто, как перейти на веб-сайт Cisco и загрузить его. Хотя, если вы используете приложение для подключения к колледжу или сети вашего работодателя, они должны предоставить вам ссылку. То же самое можно сказать, если вы являетесь работодателем, поскольку вам нужно будет предоставить ссылку.
Вам потребуется логин для подключения к VPN через Cisco AnyConnect. Подключение к сети колледжа или компании? Сотрудники отдела кадров или ИТ-службы должны были предоставить эту информацию заранее. Без входа в систему вы не сможете подключиться к VPN.
Если вы настраиваете свою собственную Cisco VPN, первое, что вам нужно сделать, — это загрузить клиент Cisco AnyConnect VPN и установить его на свое устройство с помощью файла InstallAnyConnect.exe .
Следуйте инструкциям мастера настройки и выберите OK, когда дойдете до конца. Проверьте подлинность установки, если требуется, и затем выберите Готово после завершения.
Этот метод установки предназначен для ОС Windows. Другие операционные системы, вероятно, будут использовать другой установщик.
Создание соединения
После установки Cisco AnyConnect VPN вы и другие пользователи можете подключаться к VPN в любое время, если у вас есть данные для входа.
Установить соединение очень просто. Все, что вам нужно сделать, это запустить приложение с вашего устройства, войти в сеть, предоставить данные для входа в систему, нажать кнопку «Подключиться» , и соединение будет установлено.
Настройка 2FA в вашей VPN — статья на другой день. Однако для некоторых других сетей, к которым вы хотите подключиться, может потребоваться двухфакторная аутентификация. Вам нужно будет получить код, который, вероятно, предоставлен вашей службой поддержки персонала или ИТ-службой, и ввести его в новом окне 2FA при появлении соответствующего запроса.
Как настроить Cisco VPN
Отказ от ответственности: некоторые страницы этого сайта могут содержать партнерскую ссылку. На нашу редакцию это никак не влияет.
Хотите знать, как настроить Cisco VPN? Cisco — одно из самых узнаваемых имен в области сетевых технологий. Это имя стоит за большинством корпоративных маршрутизаторов, значительной частью магистральных интернет-маршрутизаторов, брандмауэров, коммутаторов и сетевого оборудования. Он также предоставляет приложения для конечных пользователей, такие как Cisco AnyConnect, которые используются во многих колледжах и университетах, а также на предприятиях по всему миру. Это руководство поможет вам настроить Cisco AnyConnect VPN.
VPN — важный инструмент для защиты сетевого трафика от слежки. Независимо от того, спонсируется ли это государством, интернет-провайдером или взломом, шифрование вашего трафика защищает его от посторонних глаз. Даже если вам нечего скрывать, защита вашего интернет-трафика является фундаментальной частью компьютерной безопасности. Некоторые образовательные учреждения настаивают на этом, как и большинство компаний, которые разрешают удаленный доступ к данным или приложениям.
Cisco AnyConnect включает в себя клиент, который вы устанавливаете на свои устройства, а также веб-приложение или Adaptive Security Appliance (ASA). Cisco ASA — это единое устройство, которое включает в себя брандмауэр, антивирус, спам-фильтр, VPN-сервер, устройство с сертификатом SSL и другие дополнительные функции. Там, где раньше мы использовали отдельный аппаратный брандмауэр, VPN-сервер и антивирусное решение, все это можно инкапсулировать в одном устройстве. Это отличный способ обезопасить свой бизнес. Это одно устройство защищает все решения — одна из причин популярности ASA.
Ограниченное предложение: 3 месяца БЕСПЛАТНО!
Настройка Cisco AnyConnect VPN
Настройка Cisco AnyConnect VPN аналогична настройке любого VPN-клиента. Подход зависит от устройства, на которое вы его устанавливаете, но после установки установка очень проста. Вы можете скачать Cisco AnyConnect VPN напрямую с сайта Cisco, но если вы используете его для подключения к своему колледжу или работодателю, они должны предоставить ссылку. Вы должны использовать эту ссылку, так как она может содержать файл конфигурации, необходимый для быстрого подключения.
Чтобы вы могли подключиться к VPN с помощью Cisco AnyConnect, вам потребуется логин. Если вы подключаетесь к сети колледжа или компании, ваш отдел кадров или служба ИТ-поддержки должны были в какой-то момент прислать вам их. Без них вы не сможете подключиться.
Ограниченное предложение: 3 месяца БЕСПЛАТНО!
В противном случае:
Программа установки может не включать какие-либо конкретные шаги установки в зависимости от того, откуда вы получили доступ к файлу загрузчика. В приведенном выше примере используется исполняемый файл Windows. Android, Mac OS и другие операционные системы будут использовать что-то другое.
Настройка Cisco AnyConnect VPN на устройстве Chromebook или Android
Другим примером может быть установка Cisco AnyConnect VPN на Chromebook. Я упоминаю об этом специально, так как он не использует стандартную установку приложения. Хотя у Cisco есть совместимое приложение для Android, оно работает не так, как должно, поэтому компания рекомендует вместо этого использовать расширение Chrome. Просто имейте в виду, что в этом случае будет зашифрован только трафик Chrome. Весь остальной трафик не будет использовать VPN.
Ограниченное предложение: 3 месяца БЕСПЛАТНО!
После аутентификации расширения вы можете установить новое соединение, сохранить его и использовать, когда вам нужно подключиться.
Подключение Cisco AnyConnect VPN
После установки вы можете подключиться к Cisco AnyConnect VPN в любое время, если у вас есть данные для входа, предоставленные вашим колледжем или работодателем. Откройте приложение, войдите в сеть, к которой вы хотите подключиться, введите свои данные для входа, нажмите «Подключиться», и через несколько секунд вы увидите окно с подключением.
В некоторых сетях требуется двухфакторная аутентификация. Если у вас один из них, получите код и введите его в новом окне 2FA. Нажмите «Продолжить», и VPN подключится. На вашем устройстве должен появиться статус, говорящий о том, что вы подключились к службе Cisco AnyConnect.
Чтобы отключиться, либо выберите уведомление Windows, либо откройте приложение Cisco AnyConnect на своем устройстве и выберите Отключить. Дайте ему несколько секунд, чтобы отключиться от защищенной сети, и еще несколько секунд, чтобы ваши устройства применили сетевые настройки по умолчанию. Теперь вы сможете нормально пользоваться Интернетом за пределами VPN.
VPN-клиент Cisco AnyConnect быстро справляется с защитой интернет-трафика между организацией и удаленными клиентами. Это быстро, безопасно и отлично справляется с задачей упрощения для пользователей. Неудивительно, что он так популярен!
16 Сен Как настроить безопасный VPN доступ удаленных сотрудников с помощью Сisco AnyConnect?
Удаленные пользователи и множество локаций, многочисленные личные устройства — как ИТ-командам держать все это разнообразие под контролем и защитить компанию от кибер угроз? Предыдущий 2020 год отличился многочисленными атаками через удаленный доступ. Ведь злоумышленники уже давно пользуются недостатками в защите личных устройств сотрудников и используют их как входную точку для атак на корпоративные сети.
Если перед вами также стоит задача обеспечить мобильным работникам простой и безопасный доступ к корпоративным ресурсам без риска для вашей компании: с любой локации и с любого устройства, эта статья именно для вас.
Узнайте больше о возможностях и преимуществах решения Cisco AnyConnect для безопасного VPN доступа удаленных работников.
Cisco AnyConnect — это VPN клиент, позволяющий установить защищенное подключение удаленных работников к корпоративной сети. Его основные функции — удаленный доступ, контроль состояния конечного устройства, функции веб-безопасности и защита в роуминге. Рассмотрим их подробнее.
1. Удаленный доступ
Cisco AnyConnect поддерживает все современные платформы:
- Windows
- LINUX
- Apple macOS / iOS
- ChromeOS / Android
Благодаря единому решению, ИТ-специалисты или специалисты по Информационной безопасности будут видеть полную картину своей расширенной сети. Клиент имеет функции автоматического определения доверенной сети, с одной стороны уменьшает нагрузку на шлюз, если работник находится в офисе, а с другой — обеспечивает автоматическое поднятие туннеля, когда работник находится удаленно.
Cisco AnyConnect содержит функционал распределения трафика. Для удобства есть 2 способа:
а. Отделение и шифрование корпоративного трафика;
б. Разграничение корпоративных и частных приложений, с шифрованием первых.
2. Котроль состояния конечных устройств
Cisco AnyConnect имеет значительное количество вариантов защиты конечных пользователей и корпоративной сети. Благодаря интеграции с Cisco Identity Service Engine есть возможность полностью автоматизировать процесс подготовки устройства к работе в корпоративной сети с заранее подготовленными правилам, например, включенный антивирус, установленные последние патчи безопасности системы и тому подобное.
Cisco AnyConnect проверяет конечное устройство на соответствие требованиям политики безопасности компании:
3. Функции веб-безопасности и защиты в роуминге
Модуль NVM Cisco AnyConnect® помогает увидеть поведение пользователей и конечных точек.
Этот модуль собирает стандартные потоки данных от конечных точек (например, ноутбуков), такие как пользователь, программа, устройство, местонахождение и для кого предназначена информация.
Благодаря анализу этих данных ИТ-специалисты смогут лучше защищать организацию от потенциальных угроз.
Для усиления защиты удаленных сотрудников, в случае подключенного VPN, Cisco имеет решение — благодаря интеграции с комплексом Umbrella весь трафик от удаленного пользователя будет проходить проверку при подключении к недоверенной сети:
Возможности Cisco AnyConnect для работы:
- Не снижает качество видео и голосовых конференций. Поддерживает протокол DTLS, который специально ориентирован на поддержку мультимедиа-трафика.
- Дает возможность работать в скрытом режиме, динамично выбирать оптимальный шлюз удаленного доступа, поддерживает IPv6, имеет встроенный персональный межсетевой экран, отдаленно мониторится, обеспечивает контроль доступа, поддерживает RDP.
- Возможность доступа к корпоративной сети с любого устройства, в любое время и в любом месте.
- Детальный анализ поведения пользователей и конечных устройств с помощью полномасштабного мониторинга корпоративных сетевых ресурсов компании. Благодаря встроенному модулю мониторинга сети Network Visibility Module (NVM) может обеспечить эффективную защиту сети и улучшить ее работу.
- Платформа Cisco ISE помогает защитить сеть от устройств, не отвечающих требованиям безопасности.
- С помощью многофакторной аутентификации Cisco Duo (MFA) есть возможность настраивать безопасный удаленный доступ с проверкой идентификационных данных.
Закажите бесплатно лицензии Cisco AnyConnect (до 25-ти) и протестируйте в течение 30 дней: