Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Conventions

Configuração

Verificar

Informações Relacionadas

Introduction

Este documento fornece uma configuração de exemplo para o Cisco Adaptive Security Appliance (ASA) para permitir que o Cisco AnyConnect Secure Mobility Client (conhecido como "AnyConnect" no restante deste documento) estabeleça um túnel VPN SSL sobre uma rede IPv4 ou IPv6.

Além disso, essa configuração permite que o cliente passe o tráfego IPv4 e IPv6 pelo túnel.

Prerequisites

Requirements

Para estabelecer com êxito um túnel SSLVPN sobre IPv6, atenda aos seguintes requisitos:

- A conectividade IPv6 de ponta a ponta é necessária

- A versão do AnyConnect precisa ser 3.1 ou posterior

- A versão do software ASA precisa ser 9.0 ou posterior

No entanto, se algum desses requisitos não for atendido, a configuração discutida neste documento ainda permitirá que o cliente se conecte via IPv4.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- ASA-5505 com versão de software 9.0(1)

- AnyConnect Secure Mobility Client 3.1.00495 no Microsoft Windows XP Professional (sem suporte a IPv6)

- AnyConnect Secure Mobility Client 3.1.00495 no Microsoft Windows 7 Enterprise de 32 bits

Conventions

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Configuração

Primeiro, defina um pool de endereços IP dos quais você atribuirá um a cada cliente que se conecta.

Se você quiser que o cliente também transporte tráfego IPv6 pelo túnel, precisará de um pool de endereços IPv6. Ambos os pools são referenciados posteriormente na política de grupo.

ip local pool pool4 172.16.2.100-172.16.2.199 mask 255.255.255.0

ipv6 local pool pool6 fcfe:2222::64/64 128

Para a conectividade IPv6 com o ASA, você precisa de um endereço IPv6 na interface à qual os clientes se conectarão (geralmente a interface externa).

Para conectividade IPv6 no túnel para hosts internos, você precisa do IPv6 na(s) interface(s) interna(ais) também.

interface Vlan90

nameif outside

security-level 0

ip address 203.0.113.2 255.255.255.0

ipv6 address 2001:db8:90::2/64

!

interface Vlan102

nameif inside

security-level 100

ip address 192.168.102.2 255.255.255.0

ipv6 address fcfe:102::2/64

Para IPv6, você também precisa de uma rota padrão apontando para o roteador do próximo salto em direção à Internet.

ipv6 route outside ::/0 2001:db8:90::5

route outside 0.0.0.0 0.0.0.0 203.0.113.5 1

Para se autenticar nos clientes, o ASA precisa ter um certificado de identidade. As instruções sobre como criar ou importar esse certificado estão fora do escopo deste documento, mas podem ser facilmente encontradas em outros documentos, como

/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/98596-asa-8-x-3rdpartyvendorcert.html

A configuração resultante deve ser semelhante à seguinte:

crypto ca trustpoint testCA

keypair testCA

crl configure

...

crypto ca certificate chain testCA

certificate ca 00

30820312 308201fa a0030201 02020100 300d0609 2a864886 f70d0101 05050030

...

quit

certificate 04

3082032c 30820214 a0030201 02020104 300d0609 2a864886 f70d0101 05050030

...

quit

Em seguida, instrua o ASA a usar este certificado para SSL:

ssl trust-point testCA

A seguir, a configuração básica da webvpn (SSLVPN) onde o recurso é ativado na interface externa. Os pacotes de clientes disponíveis para download são definidos e definimos um perfil definido (mais adiante):

webvpn

enable outside

anyconnect image disk0:/anyconnect-win-3.1.00495-k9.pkg 1

anyconnect profiles asa9-ssl-ipv4v6 disk0:/asa9-ssl-ipv4v6.xml

anyconnect enable

Neste exemplo básico, os pools de endereços IPv4 e IPv6 são configurados, as informações do servidor DNS (que serão enviadas ao cliente) e um perfil na política de grupo padrão (DfltGrpPolicy). Muitos outros atributos podem ser configurados aqui e, opcionalmente, você pode definir diferentes políticas de grupo para diferentes conjuntos de usuários.

Observação: o atributo "gateway-fqdn" é novo na versão 9.0 e define o FQDN do ASA como é conhecido no DNS. O cliente aprende esse FQDN do ASA e o usará quando estiver em roaming de uma rede IPv4 para uma rede IPv6 ou vice-versa.

group-policy DfltGrpPolicy attributes

dns-server value 10.48.66.195

vpn-tunnel-protocol ssl-client

gateway-fqdn value asa9.example.net

address-pools value pool4

ipv6-address-pools value pool6

webvpn

anyconnect profiles value asa9-ssl-ipv4v6 type user

Em seguida, configure um ou mais grupos de túnel. O padrão (DefaultWEBVPNGroup) é usado para este exemplo e o configura para exigir que o usuário faça a autenticação usando um certificado:

tunnel-group DefaultWEBVPNGroup webvpn-attributes

authentication certificate

Por padrão, o cliente AnyConnect tenta se conectar via IPv4 e, somente se isso falhar, tenta se conectar via IPv6. Entretanto, esse comportamento pode ser alterado por uma configuração no perfil XML. O perfil do AnyConnect "asa9-ssl-ipv4v6.xml" referenciado na configuração acima, foi gerado usando o Editor de perfis no ASDM (Configuração - Acesso remoto VPN - Acesso à rede (cliente) - Perfil do cliente do AnyConnect).

O perfil XML resultante (com a maior parte da parte padrão omitida para ser breve):

<?xml version="1.0" encoding="UTF-8"?>

<AnyConnectProfile xmlns="http://schemas.xmlsoap.org/encoding/"

xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

xsi:schemaLocation="http://schemas.xmlsoap.org/encoding/ AnyConnectProfile.xsd">

<ClientInitialization>

...

IPv6,IPv4

...

</ClientInitialization>

<ServerList>

<HostEntry>

SSL to ASA9 (IPv4,IPv6)

asa9.example.net

</HostEntry> </ServerList>

</AnyConnectProfile>

No perfil acima, um HostName também é definido (o que pode ser qualquer coisa, ele não precisa corresponder ao nome de host real do ASA) e um HostAddress (que geralmente é o FQDN do ASA).

Observação: o campo HostAddress pode ser deixado em branco, mas o campo HostName deve conter o FQDN do ASA.

Observação: a menos que o perfil seja pré-implantado, a primeira conexão exige que o usuário digite o FQDN do ASA. Essa conexão inicial preferirá o IPv4. Após a conexão bem-sucedida, o perfil será baixado. A partir daí, as configurações do perfil serão aplicadas.

Verificar

Para verificar se um cliente está conectado por IPv4 ou IPv6, verifique a GUI do cliente ou o banco de dados da sessão VPN no ASA:

- No cliente, abra a janela Avançado, acesse a guia Estatísticas e verifique o endereço IP do "Servidor".

Este primeiro usuário está se conectando de um sistema Windows XP sem suporte para IPv6:

Este segundo usuário se conecta de um host Windows 7 com conectividade IPv6 ao ASA:

- No ASA, na CLI, verifique o "IP público" na saída "show vpn-sessiondb anyconnect". Neste exemplo, você pode ver as mesmas duas conexões acima: um do XP sobre IPv4 e um do Windows 7 sobre IPv6:

asa9# show vpn-sessiondb anyconnect

Session Type: AnyConnect

Username : Nanashi no Gombei Index : 45

Assigned IP : 172.16.2.101 Public IP : 192.0.2.95

Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel

License : AnyConnect Premium

Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)RC4 DTLS-Tunnel: (1)AES128

Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA1 DTLS-Tunnel: (1)SHA1

Bytes Tx : 13138 Bytes Rx : 22656

Group Policy : DfltGrpPolicy Tunnel Group : DefaultWEBVPNGroup

Login Time : 11:14:29 UTC Fri Oct 12 2012

Duration : 1h:45m:14s

Inactivity : 0h:00m:00s

NAC Result : Unknown

VLAN Mapping : N/A VLAN : none

Username : Uno Who Index : 48

Assigned IP : 172.16.2.100 Public IP : 2001:db8:91::7

Assigned IPv6: fcfe:2222::64

Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel

License : AnyConnect Premium

Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)RC4 DTLS-Tunnel: (1)AES128

Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA1 DTLS-Tunnel: (1)SHA1

Bytes Tx : 11068 Bytes Rx : 10355

Group Policy : DfltGrpPolicy Tunnel Group : DefaultWEBVPNGroup

Login Time : 12:55:45 UTC Fri Oct 12 2012

Duration : 0h:03m:58s

Inactivity : 0h:00m:00s

NAC Result : Unknown

VLAN Mapping : N/A VLAN : none

Informações Relacionadas

- Suporte Técnico e Documentação - Cisco Systems