Скачать Cisco AnyConnect — корпоративная безопасность для iPhone, IPad и iPod Touch [App Store] | Яблык

А как я могу гарантировать, что домашний пользователь не подцепит ничего в интернет?

В AnyConnect есть такая функция — Always-On VPN, которая предотвращает прямой доступ в Интернет, если пользователь не находится в так называемой доверенной сети, которой может быть ваша корпоративная инфраструктура. Но обратите внимание, что данная функция работает очень гибко.

Если пользователь находится в корпоративной сети, VPN автоматически отключается, а при ее покидании (например, если пользователь работает с ноутбука, планшета или смартфона), VPN опять включается; причем прозрачно и незаметно для пользователя. Тем самым пользователь всегда будет находиться под защитой корпоративных средств защиты, установленных на периметре, — межсетевого экрана, системы предотвращения вторжений, системы анализа аномалий, прокси и т.п.

Многие компании, выдавая удаленным работникам корпоративные устройства, ставят условие использования их только для служебных целей. А чтобы контролировать исполнение этого требования включают в AnyConnect настройки, запрещающие пользователю ходить в Интернет напрямую.

Anticisco blogs » blog archive » anyconnect с аутентификацией по сертификатам ldap

Backgound information

For a successful client certificate authentication on Linux devices, AnyConnect secure mobility client supports the following certificate stores:

1. Linux OS (PEM) certificate store 2. Firefox (NSS) certificate store

This document is based on client certificate authentication using a Linux OS (PEM) certificate store.

1. To use Linux OS certificate store, PEM file-based certificates are placed in these directories.

Note: By default, the path for installing client certificate and the private key is not present so it needs to be manually created using this command.

mkdir -p .cisco/certificates/client/private/

If you are using a Windows Certificate Authority,

‎cisco anyconnect

Configurations

Linux Client Setup

Step 1. Download the Anyconnect package, extract the contents and install the Anyconnect application on the Linux client.

tactest:Documents$ pwd
/home/tactest/Documents
tactest:Documents$ ls
anyconnect-linux64-4.6.03049-predeploy-k9.tar.gz 
tactest:Documents$ tar -xvf anyconnect-linux64-4.6.03049-predeploy-k9.tar.gz 
tactest:Documents$ ls
anyconnect-linux64-4.6.03049  anyconnect-linux64-4.6.03049-predeploy-k9.tar.gz
tactest:Documents$ cdanyconnect-linux64-4.6.03049/vpn/
tactest:vpn$ sudo su
[sudo] password for tactest: 
root:vpn# pwd
/home/tactest/Documents/anyconnect-linux64-4.6.03049/vpn
root:vpn# ./vpn_install.sh 
Installing Cisco AnyConnect Secure Mobility Client...

Step 2. Create a certificate signing request for the identity certificate on Linux client using OpenSSL.

[dime@localhost ~]$ openssl genrsa -des3 -out server.key 2048
Generating RSA private key, 2048 bit long modulus
..................................   
............................................   
e is 65537 (0x10001)
Enter pass phrase for server.key:
Verifying - Enter pass phrase for server.key:
[dime@localhost ~]$ 
[dime@localhost ~]$ openssl rsa -in server.key -out server.key.insecure
Enter pass phrase for server.key:
writing RSA key
[dime@localhost ~]$ mv server.key server.key.secure
[dime@localhost ~]$ 
[dime@localhost ~]$ mv server.key.insecure server.key
[dime@localhost ~]$ 
[dime@localhost ~]$ !  The insecure key is now named server.key, and you can use this file to generate the CSR without passphrase. 
[dime@localhost ~]$ 
[dime@localhost ~]$ openssl req -new -key server.key -out server.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:US
State or Province Name (full name) []:CA
Locality Name (eg, city) [Default City]:SJ
Organization Name (eg, company) [Default Company Ltd]:Cisco
Organizational Unit Name (eg, section) []:HTTS
Common Name (eg, your name or your server's hostname) []:dimenet
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
[dime@localhost ~]$ 
[dime@localhost ~]$ ls | grep -i server
server.csr  server.key  server.key.secure 
[dime@localhost ~]$ 
[dime@localhost ~]$ cat server.csr
-----BEGIN CERTIFICATE REQUEST-----
MIICvTCCAaUCAQAwYTELMAkGA1UEBhMCVVMxCzAJBgNVBAgMAkNBMQswCQYDVQQH
DAJTSjEOMAwGA1UECgwFQ2lzY28xDTALBgNVBAsMBEhUVFMxGTAXBgNVBAMMEGRp
bWViCG5lCAgICAgICAgwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQC/
0e5PF09y45/ vlfZbuWRaw1vUiJPxy8OdXZhKT7VmDSitdTnPs2Q7cfzVaM1GdIw
c/HoHTL rmmCn2Ccc9NGoWok3damhhu19xAt2VXz8jS6mV5bqTeBLYEWJ2Tgh7wA
4/0aPGILZCkQNNn3PruTLe8dqfEhFU6nGp7iJKNjlvyd34Di5YL1NhEQGdZ9q7aK
5VE3nBhgELmPOle53Pt/ZYWwji138QN8Qo9bXOZmQmRXgRucFaeN0VJVF 0EnnAJ
Y58 yiImEvqKe8h1OCxT2H/TH 5 XRHmggee/zZvis7JMWWcKACOUjQ9scTrjp z
TW4CM2Cmox3AEcOJ9yg/AgMBAAGgFzAVBgkqhkiG9w0BCQcxCAwGY2lzY28IMA0G
CSqGSIb3DQEBCwUAA4IBAQC7uRbj 0JxUw7REXc41Ma30WIxhhzvn6QGax8 EPlL
c7wpsMtCSwV7BOgFLKqI7h dcME CfBYlcPre2/5LMYo336i9i0tsodV/ EU3NBg
L/RSoH099wBIEo7Xxx30xi38PvnCPnbZZEL2IWrgTyO4ohEOUjEOYnD16kUJvISy
Ky8z/3gGDRuhks2Yv4CTTRcvQAvljsLCOZiyaVVrp2xmsPtHxrd6vLrupoxdNpJy
xG1P/67JMLS3qqpTuvAqXT5uT2OBAC2hBgMGuKZCOC3mR4WlmoED9woFPESUUMQf
mKOksgQfrrxOZKPyhV8J4jByAjLSw6vh41dJHY9qKaGo
-----END CERTIFICATE REQUEST-----
[dime@localhost ~]$ 

Radius аутентификация

Как настроить Radius аутентификацию с Windows Server 2021 NPS (Network Policy Server) на Cisco IOS можно посмотреть в статье. Принцип настройки аналогичен, с небольшими изменениями.

Requirements

This document assumes that the ASA is fully operational and configured to allow the Cisco Adaptive Security Device Manager (ASDM) or Command Line Interface (CLI) to make configuration changes.

Cisco recommends that you have knowledge of these topics:

Basic knowledge of ASA’s CLI and ASDM SSLVPN configuration on the Cisco ASA Head EndFundamental knowledge of PKI Familiarity with Linux OS

Troubleshoot

This section provides the information you can use in order to troubleshoot your configuration.

Note: Refer to Important Information on Debug Commands before you use debug commands.

Caution: On the ASA, you can set various debug levels; by default, level 1 is used. If you change the debug level, the verbosity of the debugs might increase. Do this with caution, especially in production environments.

To troubleshoot an incoming AnyConnect client connection from Linux OS client, you can use the following:

Here is a sample debug taken on an ASA from a working scenario:

Verify

Use this section in order to confirm that your configuration works properly.

Note: The Output Interpreter Tool (registered customers only) supports certain show commands. Use the Output Interpreter Tool in order to view an analysis of show command output.

Vpn cisco anyconnect, сертификаты crt, rdp-клиент с поддержкой подключения через шлюз и debian 7 64 |

А ваш anyconnect не снизит качество видео- и голосовых телеконференций?

Нет. Как я уже описывал выше, Cisco AnyConnect поддерживает протокол DTLS, который специально ориентирован на защиту мультимедиа-трафика.

На самом деле Cisco AnyConnect обладает куда большим количеством возможностей. Он может работать в скрытом режиме, динамически выбирать наиболее оптимальный шлюз удаленного доступа, поддерживает IPv6, имеет встроенный персональный межсетевой экран, мониторится удаленно, обеспечивает контроль доступа, поддерживает RDP и т.п.

А еще он русифицирован, чтобы у пользователей не возникало вопросов относительно тех редких сообщений, которые Cisco AnyConnect может выдавать. Так что Cisco AnyConnect — это не просто VPN-клиент, но гораздо более интересное решение для обеспечения защищенного удаленного доступа, который в последние недели начинает набирать популярность из-за пандемии коронавируса, заставляющего работодателей переводить отдельные категории своих работников на удаленку.

А ведь пользователь может подцепить вредонос на домашний компьютер, который затем попадет в корпоративную сеть. как с этим бороться?

С одной стороны Cisco AnyConnect может проверять наличие у вас системы защиты Cisco AMP for Endpoints и устанавливать ее при отсутствии. Но возможно у пользователя уже установлен собственный антивирус или этот антивирус уже был установлен вами при переводе работников на удаленную работу.

Однако все мы знаем, что антивирус сегодня ловит очень мало серьезных угроз и неплохо бы дополнить его более продвинутыми решениями по обнаружению вредоносных программ, аномалий и иных атак. Если в вашей корпоративной инфраструктуре развернуто решение Cisco Stealthwatch, то вы можете легко интегрировать с ним и агенты Cisco AnyConnect, установленные на домашних компьютерах ваших работников.

, которым может являться как

, так и какой-либо SIEM, например, Splunk. Среди прочего NVM-модуль может передавать следующую информацию, на базе которой можно выявлять аномальную и вредоносную активность на домашнем компьютере, которая осталась незаметной для установленного антивируса:

А если я работаю с планшета или смартфона и постоянно перемещаюсь. у меня будет рваться vpn-соединение и мне надо будет каждый раз устанавливать его заново?

Нет, не надо. В Cisco AnyConnect встроен специальный роуминговый модуль, который позволяет не только автоматически и прозрачно переподключать VPN при переходе между различными типами подключений (3G/4G, Wi-Fi и т.п.), но и автоматически защищать ваше мобильное (ведь вряд ли вы будете носить с собой стационарный домашний компьютер) устройство с помощью решения Cisco Umbrella, которое будет инспектировать весь DNS-трафик на предмет доступа к фишинговым сайтам, командным серверам, ботнетам и т.п.

Подключение к Umbrella потребуется в том случае, если вы разрешили пользователю функцию split tunneling и он может подключаться к различным ресурсам Интернет напрямую, минуя шлюз удаленного доступа. Модуль подключения к Cisco Umbrella будет полезен даже в том случае если вы не используете VPN — тогда весь трафик будет проверяться через этот защитный сервис.

Используемые компоненты

Сведения, содержащиеся в данном документе, касаются следующих версий программного обеспечения и оборудования:

• Cisco ASA 5500 версии 9(2)1
• Cisco Adaptive Security Device Manager (ASDM) версии 7.1.6
• Cisco VPN Client версии 5.0.07.0440
• Cisco AnyConnect Secure Mobility версии 3.1.05152

Сведения, представленные в этом документе, были получены от устройств, работающих в специальной лабораторной среде. Все устройства, описанные в этом документе, были запущены с чистой (стандартной) конфигурацией. В рабочей сети необходимо изучить потенциальное воздействие всех команд до их использования.

Как импортировать сертификаты в приложение cisco anyconnect для iphone? | 2021

1. Tap attached certificate in the email sent to your iphone 2. Tap install 

3. Choose desired conection > then select detail disclosure button 4. Tap Advanced > Certificate 5. Tap the name of the certificate you just imported 

X509v3 extensions: X509v3 Key Usage: critical Digital Signature, Key Encipherment, Data Encipherment 

openssl x509 -noout -text -in my_cert.pem 

Какие характеристики предлагает нам cisco anyconnect?

Удобство. Прежде всего, это удобство пользовательских функций. Это удобство достигается благодаря сочетанию уже существующих функций Cisco AnyConnect, особенность которых заключается в поддержке непрерывного подключения виртуальных частей сетей (VPN)

для PC и встроенных функций iOS, с помощью которых устанавливается VPN-соединения. Cisco AnyConnect способен автоматически создавать защищенные туннели в том случае, когда пользователю необходима безопасная связь на высоком профессиональном уровне.

Безопасность. Повышение уровеня безопасности удалось достичь благодаря 256-разрядному шифрованию по стандарту AES и с DTLS или SSL туннелями. С его помощью администраторы сетей смогут распределять и регулировать доступ к ресурсам компании.

Устойчивость.Cisco AnyConnect продолжает автоматически поддерживать безопасный доступ даже при переходе из зоны сети Wi-Fi в зону мобильной связи и в обратном направлении. Настройка данного функционала производится с помощью опции межсетевого роуминга.

Легкость настройки. Данные о политике и профиле соединения можно заранее настроить и обновлять автоматически при помощи устройств Cisco ASA 5500. Если при использовании приложения у Вас возникли вопросы, то Вы всегда можете пройти обучение Cisco.

Аутентификация. Утилита поддерживает широкий спектр функций аутентификации Cisco ASA, в том числе мультифакторную аутентификацию и цифровые сертификаты на основе протокола Simple Certificate Enrollment Protocol.

Производительность. Доскональная оптимизация производительности приложения теперь позволит без задержек использовать такие услуги как передачу видео и голоса. Это достигается благодаря туннелированию DTLS VPN.

Подробнее о работе приложения Вы можете узнать из этого видеоролика:

Настройка asa через asdm

Выполните следующие действия в ASDM, чтобы разрешить клиентам VPN доступ к локальной сети при наличии подключения к устройству ASA:

1.   Выберите Configuration> Remote Access VPN> Network (Client) Access> Group Policy (Конфигурация > VPN для удаленного доступа > Доступ к сети (клиент) > Групповая политика) и выберите групповую политику, в которой следует включить доступ к локальной сети.  Затем нажмите Edit (Редактировать).

   

2. Перейдите в меню Advanced > Split Tunneling (Дополнительно > Разделенное туннелирование).

   

3.  Снимите флажок Inherit (Наследовать) для политики и выберите Exclude Network List Below (Исключить список сетей ниже).  

   

4.  Снимите флажок Inherit (Наследовать) для списка сетей и затем нажмите Manage (Управление), чтобы запустить диспетчер списков контроля доступа (ACL Manager).   

   

5.  В приложении ACL Manager, последовательно выберите Add > Add ACL…, чтобы создать новый список доступа. 

   

6.  Укажите имя ACL и нажмите кнопку OK.

   

7.  После создания списка ACL выберите Добавить > Добавить ACE…, чтобы добавить элемент контроля доступа (ACE). 

   

8. Определите элемент контроля доступа, соответствующий локальной сети клиента.
   1.  Выберите Permit (Разрешить).
   2.  Выберите IP-адрес 0.0.0.0
   3.  Выберите маску подсети /32.
   4. Введите описание (необязательно). 
   5.  Нажмите кнопку ОК.

      

9.  Нажмите кнопку OK, чтобы завершить работу с приложением ACL Manager. 

   

10. Убедитесь, что только что созданный список контроля доступа выбран для списка сетей разделенных туннелей.

    

11.  Нажмите кнопку OK, чтобы вернуться к настройке групповой политики. 

    

12.  Нажмите кнопку Apply и затем (если потребуется) Send, чтобы отправить эти команды в модуль ASA.   

    

Настройка asa через интерфейс командной строки

Разрешить VPN-клиентам доступ к локальной сети при наличии подключения к ASA можно не только при помощи ASDM, но и посредством интерфейса командной строки устройства ASA:

1. Переход в режим конфигурирования.

   ciscoasa>enable
   Password:
   ciscoasa#configure terminal
   ciscoasa(config)#

2. Создайте список контроля доступа, чтобы разрешить доступ к локальной сети.

   ciscoasa(config)#access-list Local_LAN_Access remark Client Local LAN Access
   ciscoasa(config)#access-list Local_LAN_Access standard permit host 0.0.0.0

   Внимание.  : Из-за различий в синтаксисе списка контроля доступа в версиях 8.x и 9.x программного обеспечения ASA этот список контроля доступа стал некорректным, и администраторы будут получать следующее сообщение об ошибке при попытке его настройки:
   rtpvpnoutbound6(config)# access-list test standard permit host 0.0.0.0
   Ошибка: недопустимый IP-адрес

   Можно использовать только следующую команду:
   rtpvpnoutbound6(config)# access-list test standard permit any4

    Это известная неполадка, для обхода которой был создан идентификатор ошибки Cisco CSCut3131. Выполните обновление до версии, в которой исправлена эта ошибка, чтобы иметь возможность настроить доступ к локальной сети.

3. Перейдите в режим настройки для групповой политики, которую необходимо изменить.

   ciscoasa(config)#group-policy hillvalleyvpn attributes
   ciscoasa(config-group-policy)#

4. Укажите политику раздельных туннелей. В данном случае используется политика excludespecified.

   ciscoasa(config-group-policy)#split-tunnel-policy excludespecified

5. Укажите список доступа к разделенным туннелям. В данном случае используется список Local_LAN_Access.

   ciscoasa(config-group-policy)#split-tunnel-network-list value Local_LAN_Access

6. Введите следующую команду:

   ciscoasa(config)#tunnel-group hillvalleyvpn general-attributes

7. Привяжите групповую политику к туннельной группе

   ciscoasa(config-tunnel-ipsec)# default-group-policy hillvalleyvpn

8. Выйдите из обоих режимов конфигурирования.

   ciscoasa(config-group-policy)#exit
   ciscoasa(config)#exit
   ciscoasa#

9.  Сохраните конфигурацию в энергонезависимой памяти (NVRAM) и нажмите клавишу ВВОД, когда будет предложено указать имя файла источника. 

   ciscoasa#copy running-config startup-config
   Source filename [running-config]?
   Cryptochecksum: 93bb3217 0f60bfa4 c36bbb29 75cf714a
   3847 bytes copied in 3.470 secs (1282 bytes/sec)
   ciscoasa#

Настройка и включение webvpn контекста

Контекст WebVPN используется для настройки ряда параметров для нашего VPN-сервера.

Пример типовой настройки контекста WebVPN:

Пояснения по командам:

• Задаем текст, который будет отображаться в заголовке страницы веб-браузера.
• Задаем текст, который будет отображаться в разделе входа в веб-страницу webvpn.
• Указываем какой шаблон Virtual-Template интерфейса использовать.
• Указываем какой список аутентификации использовать.
• Указываем какой использовать шлюз WebVPN.
• Задаем максимальное кол-во пользователей, которые могут подключится к данному VPN-соединению.
• Указываем использовать проверку подлинности SSL.
• (Далее идет настройка политики пользователей)
• Включаем туннельный режим. Подключившийся VPN-пользователь, получит возможность загрузить на свой ПК клиентское программное обеспечение AnyConnect.
• Задаем время простоя, после которого пользователь будет отключен.
• Указываем какой пул IP-адресов использовать, для выдачи IP-адресов подключившимся пользователям.
• Указываем какой домен использовать по-умолчанию (Если таковой имеется в вашей инфраструктуре).
• Команды svc split (dns, include) позволяет разделить туннелирование, указав, какой сетевой трафик и dns запросы домена будут отправлены через туннель VPN. Если эта команда не включена, пользователям VPN не будет разрешен доступ к Интернету при подключении к VPN.
• Указываем какой DNS-сервер использовать при подключении к VPN.
• Назначаем групповую политику используемую по-умолчанию.
• Активируем работу контекста.

Настройка и включение webvpn шлюза

Виртуальный шлюз WebVPN позволяет использовать интерфейс или IP-адрес и номер порта, на котором служба WebVPN будет «прослушивать» входящие соединения:

Пояснения по командам:

• Создаем шлюз WebVPN.
• Указываем используемый интерфейс и порт (GigabitEthernet0/1 — порт провайдера).
• Указываем какой trustpoint использовать (используем ранее созданный).
• Включаем логирование.
• Активируем работу шлюза.

Настройка клиента cisco anyconnect secure mobility

Для настройки клиента Cisco AnyConnect Secure Mobility обратитесь к разделу Установление VPN-соединения на базе SSL с SVC документа ASA 8.x:  Разрешить раздельное туннелирование для VPN Client AnyConnect на примере конфигурации ASA.

Для раздельного туннелирования типа Split-exclude необходимо включить AllowLocalLanAccess в клиенте AnyConnect. Раздельное туннелирование типа All split-exclude рассматривается как доступ к локальной сети.  Для использования функции исключения в раздельном туннелировании необходимо включить опцию AllowLocalLanAccess в настройках VPN-клиента AnyConnect.  По умолчанию доступ к локальной сети отключен.

Общие сведения

В отличие от классического сценария раздельного туннелирования, в котором весь трафик Интернета отправляется нешифрованным, при разрешении доступа к локальной сети для VPN-клиентов, таким клиентам разрешается обмениваться нешифрованными данными только с устройствами из сети клиента.

Список доступа используется, чтобы разрешить доступ к локальной сети подобно тому, как в устройстве ASA настраивается раздельное туннелирование. Однако вместо определения сетей, которые должны шифроваться, в данном случае список доступа определяет сети, которые не должны шифроваться.   Кроме того, в отличие от сценария раздельного туннелирования, в таком списке не требуется указывать действительные сети.

Примечание. Когда клиент подключен и настроен для доступа к локальной сети, вы не можете выполнять печать или просмотр по имени в локальной сети.  Однако имеется возможность просмотра или печати по IP-адресу. См. раздел Поиск и устранение неполадок этого документа для получения дополнительной информации, а также сведений о временных решениях для этой ситуации.

Проверка

Выполните действия, описанные в этих разделах, чтобы проверить конфигурацию.

Подключите клиент Cisco AnyConnect Secure Mobility к устройству ASA, чтобы проверить конфигурацию.

1.  Выберите запись соединения из списка серверов и нажмите Connect (Подключить).

   

2.   Выберите Advanced Window for All Components > Statistics… (Дополнительное окно для всех компонентов > Статистика…) для отображения туннельного режима.  

   

3. Нажмите вкладку Route Details (Сведения о маршрутах), чтобы просмотреть маршруты, к которым у клиента Cisco AnyConnect Secure Mobility Client по-прежнему есть локальный доступ. 

   В данном примере клиенту разрешен доступ к локальной сети по адресу 10.150.52.0/22 и 169.254.0.0/16, а весь прочий трафик зашифрован и передается через туннель.

   

Проверка доступа к локальной сети с помощью эхо-запроса

 Дополнительный способ проверить наличие доступа VPN-клиента к локальной сети при использовании туннелирования к головному устройству VPN состоит в использовании команды ping в командной строке Microsoft Windows. В приведенном примере локальная сеть клиента имеет адрес 192.168.0.0/24, а другой хост находится в сети с IP-адресом 192.168.0.3.

C:>ping 192.168.0.3
Pinging 192.168.0.3 with 32 bytes of data:
Reply from 192.168.0.3: bytes=32 time<1ms TTL=255
Reply from 192.168.0.3: bytes=32 time<1ms TTL=255
Reply from 192.168.0.3: bytes=32 time<1ms TTL=255
Reply from 192.168.0.3: bytes=32 time<1ms TTL=255
Ping statistics for 192.168.0.3:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 0ms, Maximum = 0ms, Average = 0ms

Требования

В этом документе предполагается, что функциональная конфигурация VPN для удаленного доступа уже существует на устройстве ASA.

 См. PIX/ASA 7.x как удаленный VPN-сервер на примере конфигурации ASDM для клиента Cisco VPN Client, если он еще не настроен.   

 См. Доступ к VPN через ASA 8.x на примере конфигурации клиента AnyConnect SSL VPN Client для клиента Cisco AnyConnect Secure Mobility Client, если он еще не настроен.