Clientless SSL VPN (WebVPN) en el ejemplo de configuración ASA

Transcripción

1 Clientless SSL VPN (WebVPN) en el ejemplo de configuración ASA Contenido Introducción prerrequisitos Requisitos Componentes Utilizados Convenciones Configurar Diagrama de la red Procedimiento Configuración Sustituciones Macro de Clientless SSL VPN (WEBVPN) Verificación Troubleshooting Procedimientos Usados para Troubleshooting Comandos Usados para Troubleshooting Problema - No se puede Conectar a Más de Tres usuarios de VPN WEB con PIX/ASA Problema - Los clientes de VPNsWEB No Pueden Ejecutar los Marcadores y están Atenuados Problema - Conexión del Citrix con el WEBVPN Problema: Cómo evitar la necesidad de una segunda autenticación para los usuarios Información Relacionada Introducción Clientless SSL VPN (WebVPN) permite acceso seguro limitado pero valioso a la red corporativa desde cualquier ubicación. Los usuarios pueden alcanzar el acceso basado en buscador seguro a los recursos corporativos en cualquier momento. Este documento proporciona una configuración directa para que Cisco Adaptive Security Appliance 5500 series (ASA) permita el acceso de Clientless SSL VPN a los recursos de red interna. La tecnología VPN SSL se puede utilizar de tres maneras: Clientless SSL VPN, Thin-Client SSL VPN (Port Forwarding), y SSL VPN Client (SVC Tunnel Mode). Cada una tiene sus propias ventajas y acceso único a los recursos. 1. Clientless SSL VPN Un cliente remoto necesita solamente un buscador Web habilitado por SSL para acceder a los servidores Web http o https en la LAN corporativa. El acceso está también disponible para buscar archivos de Windows con el sistema Común de Archivos de Internet (CIFS). Un buen ejemplo del acceso http es el cliente de Outlook Web Access (OWA). 2. Cliente liviano SSL VPN (expedición del puerto) Un cliente remoto debe descargar un pequeño subprograma Java para el acceso seguro de las aplicaciones TCP que utilizan los números del puerto estático. El UDP no se soporta. Los ejemplos incluyen el acceso a POP3, S TP, IMAP, SSH, y a Telnet. El usuario necesita privilegios administrativos locales porque los cambios se realizan a los archivos en el equipo local. Este método de SSL VPN no funciona con las aplicaciones que utilizan las asignaciones de puerto dinámico, por ejemplo, varias aplicaciones FTP. Consulte Ejemplo de Configuración de Thin-Client SSL VPN (WebVPN) en ASA con ASDM para obtener más información sobre Thin-Client SSL VPN. 3. Cliente VPN SSL (modo del SVC-túnel) El SSL VPN Client descarga a un pequeño cliente a la estación de trabajo remota y permite por completo, acceso seguro a los recursos en la red corporativa interna. El SVC se puede descargar permanentemente a la estación remota, o puede ser quitado una vez que finaliza la sesión segura. El clientless SSL VPN se puede configurar en el Concentrador VPN de Cisco 3000 y el Routers específico del del Cisco IOS con la versión 12.4(6)T y posterior. El acceso de Clientless SSL VPN también se puede configurar en Cisco ASA en la interfaz de línea de comando (CLI) o con el Adaptive Security Device Manager (ASDM). El uso de ASDM hace que las configuraciones sean más directas. Clientless SSL VPN y ASDM no deben habilitarse en la misma interfaz ASA. Es posible que las dos tecnologías coexistan en la misma interfaz si los cambios se realizan a los números del puerto. Se recomienda encarecidamente que el ASDM esté habilitado en la interfaz interior, así que el

2 WebVPN se puede habilitar en la interfaz exterior. Consulte el Ejemplo de Configuración de SSL VPN Client (SVC) en ASA Using ASDM para obtener más información sobre SSL VPN Client. El Clientless SSL VPN habilita el acceso seguro a estos recursos en la LAN corporativa: OWA/Exchange HTTP y HTTPS a servidores Web internos Acceso a archivos y Búsqueda en Windows Servidores Citrix con el cliente thin de Citrix El Cisco ASA adopta la función de un proxy seguro para equipos de clientes que pueden acceder a recursos preseleccionados en la LAN corporativa. Este documento demuestra una configuración simple con el ASDM para habilitar el uso del Clientless SSL VPN en el Cisco ASA. La configuración del cliente no es necesaria si el cliente tiene ya un buscador Web con SS habilitado. La mayoría de los buscadores Web ya tiene la capacidad de invocar las sesiones SSL/TLS. Las líneas de comando resultantes de Cisco ASA también se muestran en este documento. prerrequisitos Requisitos Asegúrese de cumplir estos requisitos antes de intentar esta configuración: Buscador con Client-SSL habilitado, por ejemplo, Internet Explorer, Netscape, y Mozilla ASA con la versión 7.1 o posterior Puerto TCP 443, que no se debe bloquear a lo largo de la trayectoria del cliente al ASA Componentes Utilizados La información que contiene este documento se basa en las siguientes versiones de software y hardware. Cisco ASA Software Version 7.2(1) Cisco ASDM 5.2(1) Nota: Consulte Cómo Permitir el Acceso HTTPS para el ASDM para que el ASA sea configurado por el ASDM. Cisco ASA 5510 series La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos usados en este documento comenzaron con una configuración despejada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando. Convenciones Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos. Configurar En esta etapa, puede ejecutar _IP Address buscador Web para acceder a la aplicación ASDM. Una vez cargado ASDM, comienza la configuración para el WebVPN. Esta sección contiene la información necesaria para configurar las características descritas dentro de este documento. Nota: Use la Command Lookup Tool (clientes registrados solamente) para obtener más información sobre los comandos usados en esta sección. Diagrama de la red En este documento, se utiliza esta configuración de red:

3 Procedimiento Configure la el WebVPN en el ASA con cuatro pasos principales: Habilite el WebVPN en una interfaz ASA. Cree una lista de servidores o de URL para el acceso del WebVPN. Cree una política de grupo para los usuarios de WebVPN. Aplique la nueva política del grupo a un grupo de túnel. 1. En ASDM, elija Configuration > VPN > WebVPN > WebVPN Access. Elija la interfaz para cerrar usuarios WebVPN > Enable > Apply.

4 2. Elija Servers y URLs > Add. Ingrese un nombre para la lista de servidores accesibles por el WebVPN. Haga clic en el botón Add (Agregar). Se muestra el cuadro de diálogo Agregar Servidor o URL. Ingrese el nombre de cada servidor. Éste es el nombre que el cliente ve. Elija el menú desplegable URL para cada servidor y elija el protocolo apropiado. Agregue los servidores a su lista del cuadro de diálogo Agregar Servidor o URL y haga clic en Aceptar. Haga clic en Apply > Save. 3. Expanda General en el menú izquierdo de ASDM. Elija Group Policy > Add.

5 Elija Agregar Política de Grupo Interna. Desmarque los Tunneling Protocols: Desmarque la casilla de verificación Inherit. Active la casilla de verificación WebVPN. Elija la pestaña WebVPN. Desmarque la casilla de verificación Inherit. Elija de la lista de funciones. Haga clic en OK> Apply.

6 4. Elija al Grupo de Túnel en la columna izquierda. Haga clic en el botón Editar. Haga clic en el menú desplegable Política de Grupo. Elija la política creada en el paso 3.

7 Es importante observar que si no se crean las nuevas Políticas de Grupos y los Grupos de Túnel, los valores predeterminados son GroupPolicy 1 y DefaultWEBVPNGroup. Haga clic en la pestaña WebVPN. Elija los Servidores de NetBIOS. Haga clic en el botón Add (Agregar). Complete la dirección IP del servidor WINS/NBNS. Haga clic en OK > ACEPTABLE. Siga los prompts Apply > Save > Yes para escribir la configuración.

8 Configuración Esta configuración refleja los cambios realizados en ASDM para habilitar el WebVPN: ciscoasa#show running-config Building configuration... Ciscoasa ASA Version 7.2(1) hostname ciscoasa domain-name cisco.com enable password 9jNfZuG3TC5tCVH0 encrypted names dns-guard interface Ethernet0/0 nameif outside security-level 0 ip address interface Ethernet0/1 nameif inside security-level 100 ip address interface Ethernet0/2 nameif DMZ1 security-level 50 no ip address interface Management0/0 description For Mgt only shutdown nameif Mgt security-level 0 ip address management-only passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive dns server-group DefaultDNS domain-name cisco.com pager lines 24 logging enable logging asdm informational mtu outside 1500

9 mtu inside 1500 mtu DMZ mtu Mgt 1500 icmp permit any outside asdm image disk0:/asdm521.bin no asdm history enable arp timeout global (outside) 1 interface nat (inside) route outside timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout uauth 0:05:00 absolute --- group policy configurations group-policy GroupPolicy1 internal group-policy GroupPolicy1 attributes vpn-tunnel-protocol IPSec l2tp-ipsec webvpn webvpn functions url-entry file-access file-entry file-browsing mapi port-forward filter http-proxy auto-download citrix username cisco password 53QNetqK.Kqqfshe encrypted --- asdm configurations http server enable http inside no snmp-server location no snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart --- tunnel group configurations tunnel-group DefaultWEBVPNGroup general-attributes default-group-policy GroupPolicy1 tunnel-group DefaultWEBVPNGroup webvpn-attributes nbns-server master timeout 2 retry 2 telnet timeout 5 ssh outside ssh timeout 5 console timeout 0 class-map inspection_default match default-inspection-traffic policy-map type inspect dns preset_dns_map parameters message-length maximum 512 policy-map global_policy class inspection_default inspect dns preset_dns_map inspect ftp inspect h323 h225 inspect h323 ras inspect rsh inspect rtsp inspect esmtp inspect sqlnet inspect skinny inspect sunrpc inspect xdmcp inspect sip inspect netbios inspect tftp service-policy global_policy global --- webvpn configurations webvpn enable outside

10 url-list ServerList "WSHAWLAP" cifs:// url-list ServerList "FOCUS_SRV_1" 2 url-list ServerList "FOCUS_SRV_2" 3 prompt hostname context end Sustituciones Macro de Clientless SSL VPN (WEBVPN) Las substituciones macro de Clientless SSL VPN le permiten configurar los usuarios para el acceso a los recursos personalizados que contienen la identificación del usuario y la contraseña u otros parámetros de entrada. Los ejemplos de tales recursos incluyen las entradas de la dirección de Internet, las listas url, y las partes de archivos. Nota: Por razones de seguridad, las substituciones de la contraseña se inhabilitan para el acceso al archivo URL (cifs://). Nota: También por motivos de seguridad, tenga cuidado cuando ingresa la contraseña de las sustituciones para links Web, especialmente para instancias que no pertenecen a SSL. Se soportan estas substituciones macro: CSCO_WEBVPN_USERNAME - ID de inicio de sesión de usuario de SSL VPN CSCO_WEBVPN_PASSWORD - Contraseña de inicio de sesión del usuario de VPN SSL CSCO_WEBVPN_INTERNAL_PASSWORD - Contraseña de los recursos internos del usuario de VPN SSL CSCO_WEBVPN_CONNECTION_PROFILE - Descenso-abajo del grupo del login del usuario de VPN SSL, un grupo alias dentro del perfil de la conexión CSCO_WEBVPN_MACRO1 - Fije con el atributo específico del proveedor RADIUS/LDAP CSCO_WEBVPN_MACRO2 - Fije con el atributo específico del proveedor RADIUS/LDAP Para conocer más sobre las substituciones macro, consulte substituciones macro de Clientless SSL VPN. Verificación Use esta sección para confirmar que su configuración funciona correctamente. Establezca una conexión a su dispositivo ASA de un cliente exterior para probar esto: El cliente recibe una página de Cisco WebVPN que permite el acceso a la LAN corporativa en una manera segura. El cliente solamente cuenta con el acceso que se enumera en la política creada recientemente del grupo. Autenticación: Un simple inicio de sesión y contraseña fueron creados en el ASA para esta prueba de concepto del laboratorio. Si un prefiere un sencillo inicio de sesión continuo al dominio para los usuarios de WebVPN, consulte esta URL: Ejemplo de Configuración de ASA con WebVPN y Single Sign-on con ASDM y NTLMv1 Troubleshooting En esta sección encontrará información que puede utilizar para solucionar problemas de configuración. Nota: No interrumpa el comando Copy File to Server ni pase a otra pantalla cuando el proceso de copiado está en curso. Si se interrumpe la operación, puede hacer que se guarde un archivo incompleto en el servidor. Nota: Los usuarios pueden cargar y descargar los nuevos archivos con el cliente del WEBVPN, pero no se permite al usuario sobregrabar los archivos en CIFS en el WEB VPN con el comando Copy de la copia al File to Server. Cuando el usuario intenta substituir un archivo en el servidor, el usuario recibe este mensaje: No fue posible añadir el archivo. Procedimientos Usados para Troubleshooting Sigue estas instrucciones de resolver problemas su configuración. 1. En ASDM, elija Monitoring > Logging > Real-time Log Viewer > View. Cuando un cliente conecta con el ASA, observe el establecimiento y el fin de sesión de SSL y TLS en los registros en tiempo real.

11 2. En ASDM, elija Monitoring > VPN > VPN Statistics > Sessions. Busque la nueva sesión WebVPN. Asegúrese de elegir el filtro de WebVPN y haga clic enfiltro. Si ocurre un problema, desvíe temporalmente el dispositivo ASA para asegurarse de que los clientes pueden acceder a los recursos de red deseados. Revisa los pasos para la configuración enumerados en este documento. Comandos Usados para Troubleshooting La herramienta Output Interpreter Tool (clientes registrados solamente) (OIT) soporta ciertos comandos show. Utilice la OIT para ver un análisis del resultado del comando show. Nota: Consulte información importante en los comandos del debug antes del uso de los comandos del debug. muestra el webvpn? - Hay muchos comandos show asociados al WebVPN. Para ver el uso de los comandos show detalladamente, consulte la sección de referencia de comandos de la aplicación del Cisco Security. haga el debug del webvpn? El uso de los comandos debug puede afectar al contrario el ASA. Para ver el uso de los comandos debug más detalladamente, consulte la sección de referencia de comandos de la aplicación del Cisco Security. Problema - No se puede Conectar a Más de Tres usuarios de VPN WEB con PIX/ASA Problema: Solamente tres clientes VPN del WEB pueden conectar con ASA/PIX; la conexión para el cuarto cliente falla.

12 Solución: En la mayoría de los casos, este problema se relaciona con una configuración simultánea del login dentro de la política del grupo. Utiliza este ejemplo para configurar el número deseado de inicios de sesión simultáneos. En este ejemplo, el valor deseado era 20. ciscoasa(config)# group-policy Bryan attributes ciscoasa(config-group-policy)# vpn-simultaneous-logins 20 Problema - Los clientes de VPNsWEB No Pueden Ejecutar los Marcadores y están Atenuados Problema: Si estas direcciones de Internet fueron configuradas para que a los usuarios firmen dentro de VPN sin cliente, pero, en la pantalla principal bajo aplicaciones de Web aparecen atenuados, cómo puedo habilitar estas conexiones HTTP de modo que los usuarios puedan hacer clic y entrar el URL determinado? Solución: Primero debe asegurarse de que el ASA pueda resolver los sitios Web con DNS. Intente hacer ping en los sitios web por nombre. Si el ASA no puede resolver el nombre, la conexión se atenuará. Si los servidores DNS son internos a su red, configure la interfaz privada de dominio de búsqueda DNS. Problema - Conexión del Citrix con el WEBVPN Problema Aparece el mensaje de error the ica client received a corrupt icafile. para el Citrix en WEBVPN. Solución Si utiliza el modo seguro de gateway para la conexión del Citrix con WebVPN, el archivo ICA puede dañarse. Como el ASA no es compatible con este modo de operación, cree un nuevo archivo ICA en el modo directo (modo NON-seguro). Problema: Cómo evitar la necesidad de una segunda autenticación para los usuarios Problema Cuando acceder CIFS conecta en el portal del WebVPN del clientless, los usuarios se indica para las credenciales después de hacer clic el marcador. El LDAP se utiliza para autenticar los recursos y los usuarios han ingresado ya las credenciales del LDAP para iniciar sesión a la sesión de VPN. Solución Usted puede utilizar la característica del auto-anuncio del comienzo de las emisiones en este caso. Bajo grupo-directiva específica que es utilizada y bajo sus atributos del WebVPN, configure esto: auto-signon allow uri cifs://x.x.x.x/* auth-type all donde X.X.X.X=IP del servidor y del *=restof CIFS la trayectoria para alcanzar el archivo/la carpeta de la parte en la pregunta. Un snippet del ejemplo de configuración se muestra aquí: hostname(config)# group-policy ExamplePolicy attributes hostname(config-group-policy)# webvpn hostname(config-group-webvpn)# auto-signon allow uri auth-type all Para más información sobre esto, refiera a configurar el SSO con el HTTP básico o la autenticación NTLM. Información Relacionada Ejemplos de Configuración y Lista de Notas Técnicas

13 Cisco Systems Inc. Todos los Derechos Reservados. Fecha de Generación del PDF: 13 Agosto