Índice

Introdução

Pré-requisitos

Requisitos

Componentes Utilizados

Convenções

Informações de Apoio

Diagrama de Rede

Configurar o CSD no ASA para clientes do Windows

Obtenha, instale, e permita o software CSD

Defina lugar de Windows

Identificação de local de Windows

Configurar o módulo do lugar de Windows

Configurar características do lugar de Windows

Configurações opcionais para Windows CE, Macintosh, e clientes Linux

Configurar

Configuração

Verificar

Comandos

Troubleshooting

Comandos

Informações Relacionadas

Introdução

O Cisco Secure Desktop (CSD) estende a segurança da tecnologia de VPN SSL. O CSD fornece uma partição separada na estação de trabalho de um usuário para a atividade de sessão. Esta área de quarentena é criptografada durante as sessões e removida completamente quando a sessão de VPN SSL termina. O Windows pode ser configurado com todos os benefícios da segurança do CSD. Macintosh, Linux, e Windows CE têm acesso somente aos recursos de limpeza de cache, navegação na web e acesso a arquivos. O CSD pode ser configurado para dispositivos Windows, Macintosh, Windows CE e Linux nestas plataformas:

- 5500 Series adaptável da ferramenta de segurança de Cisco (ASA)

- Roteadores Cisco que executam as liberações 12.4(6)T do Cisco IOS ® Software e mais tarde

- Versão 4.7 e mais recente do Concentradores Cisco VPN série 3000

- Módulo de Cisco WebVPN no Roteadores do Catalyst 6500 e 7600 Series

Nota: A liberação 3.3 CSD deixa-o agora configurar o Cisco Secure Desktop para ser executado nos computadores remotos que executam a vista de Microsoft Windows. Previamente, o Cisco Secure Desktop foi limitado aos computadores que executaram Windows XP ou 2000. Refira o realce dos novos recursos - Secure Desktop na seção da vista dos Release Note para o Cisco Secure Desktop, liberação 3.3, para mais informação.

Este exemplo cobre primeiramente a instalação e a configuração do CSD no 5500 Series ASA para clientes do Windows. As configurações opcionais para Windows CE, o Mac, e os clientes Linux são adicionadas para a conclusão.

O CSD é usado conjuntamente com a tecnologia de VPN SSL (sem clientes SSL VPN, thin client SSL VPN, ou cliente VPN SSL (SVC)). O CSD adiciona o valor às sessões seguras da tecnologia de VPN SSL.

Pré-requisitos

Requisitos

Certifique-se de atender a estes requisitos antes de tentar esta configuração:

Exigências para o dispositivo do theASA

- Liberação 3.1 de Cisco CSD ou mais atrasado

- Versão de software 7.1.1 de Cisco ASA ou mais atrasado

- Liberação 5.1.1 do Cisco Adaptive Security Device Manager (ASDM) ou mais atrasado

Nota: Apoios da versão 3.2 CSD na versão ASA 8.x somente

Nota: Consulte Habilitação de Acesso HTTPS para o ASDM para permitir que o ASA seja configurado pelo ASDM.

Exigências para computadores de cliente

- Os clientes remotos devem ter privilégios administrativos locais; não se exige, mas sugere-se altamente.

- Os clientes remotos devem ter a versão 1.4 ou mais recente do ambiente de tempo de execução de java (JRE).

- Navegadores de cliente remoto: Internet explorer 6.0, Netscape 7.1, Mozilla 1.7, safari 1.2.2, ou Firefox 1.0

- Cookie permitidos e pop-up permitidos em clientes remotos

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Versão ASDM Cisco 5.2(1)

- Versão ASA de Cisco 7.2(1)

- Cisco CSD Version-securedesktop-asa-3.1.1.32-k9.pkg

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos usados neste documento começaram com uma configuração limpa (padrão). Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando. Os endereços IP de Um ou Mais Servidores Cisco ICM NT usados nesta configuração são endereços do RFC 1918. Estes endereços IP de Um ou Mais Servidores Cisco ICM NT não são legais no Internet e devem ser usada somente em um ambiente de laboratório do teste.

Convenções

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Informações de Apoio

O CSD opera-se com tecnologia de VPN SSL, assim que os sem clientes, o thin client, ou o SVC devem ser ativados antes da configuração do CSD.

Diagrama de Rede

Os lugar diferentes de Windows podem ser configurados com os aspectos da segurança total do CSD. Macintosh, Linux, e Windows CE têm o acesso somente ao líquido de limpeza do esconderijo e/ou a navegação na web e o acesso de arquivo.

Este documento utiliza a seguinte configuração de rede:

Configurar o CSD no ASA para clientes do Windows

Configurar o CSD no ASA para clientes do Windows com cinco etapas principal:

- Obtenha, instale, e permita o software CSD em Cisco ASA.

- Defina lugar de Windows.

- Defina a identificação de local de Windows.

- Configurar os módulos do lugar de Windows.

- Configurar características do lugar de Windows.

- Configuração opcional para Windows CE, Macintosh, e clientes Linux.

Obtenha, instale, e permita o software CSD

Termine estas etapas para obter, instalar, e permitir o software CSD em Cisco ASA.

1. Transfira o software securedesktop-asa*.package CSD e arquivos de leia-me em sua estação de gerenciamento do Web site da transferência de software Cisco.

2. Entre ao ASDM e clique o botão da configuração. Do menu esquerdo, clique o botão do gerente CSD, e clique o link do Cisco Secure Desktop.

3. Clique a transferência de arquivo pela rede para indicar o indicador da imagem da transferência de arquivo pela rede.

1. Ou entre no trajeto do arquivo novo .package na estação de gerenciamento ou o clique consulta arquivos locais para encontrar o arquivo.

2. Qualquer um entra no lugar no flash em que para colocar o arquivo ou o clique consulte o flash.

3. Clique o arquivo da transferência de arquivo pela rede.

4. Quando alertado, clique a APROVAÇÃO > próximo > APROVADO.

4. Uma vez que a imagem do cliente é carregada para piscar, verifique a caixa de verificação do cliente VPN da possibilidade SSL, e clique-a então aplicam-se.

5. Clique em Save e, em seguida, clique em Yes para aceitar as alterações.

Defina lugar de Windows

Termine estas etapas para definir lugar de Windows.

1. Clique o botão da configuração.

2. Do menu esquerdo, clique o botão do gerente CSD, e clique o link do Cisco Secure Desktop.

3. Do painel de navegação, clique configurações de local de Windows.

4. Datilografe um nome do lugar no lugar para adicionar o campo e o clique adiciona.

Note os três lugar neste exemplo: Escritório, HOME, e outro.

- O escritório representa as estações de trabalho que são situadas dentro do limite da Segurança do corporaçõ.

- A HOME representa os usuários que trabalham da HOME.

- Outro representa todo o lugar a não ser os dois lugar mencionados.

5. Crie seus próprios lugar dependentes da disposição de sua arquitetura de rede para vendas, convidados, Parceiros, e outro.

6. Porque você cria lugar de Windows, o painel de navegação expande com os módulos configuráveis para cada lugar novo. O clique aplica tudo.

7. Clique em Save e, em seguida, clique em Yes para aceitar as alterações.

Identificação de local de Windows

Termine estas etapas para definir a identificação de local de Windows.

1. Identifique os lugar que foram criados dentro definem lugar de Windows.

2. Para identificar o escritório do lugar, clique o escritório no painel de navegação.

1. Desmarcar o líquido de limpeza do Secure Desktop e do esconderijo porque estes são computadores internos.

2. A verificação permite a identificação usando critérios IP.

3. Incorpore os intervalos de endereço IP de seus computadores internos.

4. A verificação permite a identificação usando o registro ou arquiva critérios. Isto diferencia trabalhadores de escritório internos dos convidados ocasionais na rede.

3. O clique configura critérios. Um exemplo simples de um arquivo “DoNotDelete.txt” é configurado. Este arquivo deve existir em seus computadores Windows internos e é simplesmente um placeholder. Você pode igualmente configurar uma chave do registro de Windows para identificar computadores de escritório internos. Clique OKIN o indicador do critério do arquivo adicionar. Clique OKIN o registro e arquive critérios do indicador.

4. O clique aplica tudo na identificação para o indicador do escritório. Clique em Save e, em seguida, clique em Yes para aceitar as alterações.

5. Para identificar a HOME do lugar, HOME do clique no painel de navegação.

1. A verificação permite a identificação usando o registro ou arquiva critérios.

2. O clique configura critérios.

6. Os clientes do computador doméstico devem ter sido configurados com esta chave de registro por um administrador. Clique a APROVAÇÃO no indicador do critério do registro adicionar. Clique a APROVAÇÃO no registro e arquive critérios do indicador.

7. Sob o módulo do lugar, verifique o Secure Desktop. O clique aplica tudo na identificação para o indicador home. Clique em Save e, em seguida, clique em Yes para aceitar as alterações.

8. Para identificar o lugar outro, clica outro no painel de navegação.

1. Verifique somente a caixa do líquido de limpeza do esconderijo e desmarcar todas caixas restantes.

2. O clique aplica tudo na identificação para o outro indicador.

3. Clique em Save e, em seguida, clique em Yes para aceitar as alterações.

Configurar o módulo do lugar de Windows

Termine estas etapas para configurar os módulos sob cada um dos três lugar que você criou.

1. Para clientes do escritório, não faça nada desde que o líquido de limpeza do Secure Desktop e do esconderijo não foi escolhido nas etapas precedentes. O aplicativo ASDM permite que você configure o líquido de limpeza do esconderijo mesmo se não foi escolhido em uma etapa precedente. Mantenha as configurações padrão para os locais do escritório.

Nota: A política da característica VPN não é discutida nesta etapa, mas será discutida em uma etapa subsequente para todos os lugar.

2. Para os clientes home, HOME do clique e registador da introdução por teclado no painel de navegação.

1. No indicador do registador da introdução por teclado, verifique a verificação para ver se há registadores de introdução por teclado.

2. O clique aplica tudo no indicador do registador da introdução por teclado.

3. Clique em Save e, em seguida, clique em Yes para aceitar as alterações.

3. Sob a HOME, escolha o líquido de limpeza do esconderijo e os parâmetros serir seu ambiente.

4. Sob a HOME, escolha o Secure Desktop geral e os parâmetros serir seu ambiente.

5. Sob a HOME, escolha ajustes do Secure Desktop.

1. A verificação permite aplicativos de e-mail trabalhar transparentemente, e configura os outros ajustes para serir seu ambiente.

2. O clique aplica tudo.

3. Clique em Save e, em seguida, clique em Yes para aceitar as alterações.

Configurar características do lugar de Windows

Configurar a política da característica VPN para cada um dos lugar que você criou.

1. No painel de navegação, o clickOffice, e clica então a política da característica VPN.

2. Clique a aba Grupo-baseada da política.

1. Clique sempre o botão de rádio da Grupo-política do sucesso do uso.

2. Clique a aba da navegação na web, e verifique o botão de rádio sempre permitido.

3. Siga o mesmo procedimento para a transmissão do acesso de arquivo, da porta, e abas completas do Tunelamento.

4. O clique aplica tudo.

5. Clique em Save e, em seguida, clique em Yes para aceitar as alterações.

3. Para utilizadores domésticos, cada corporaçõ pode exigir políticas específicas antes que o acesso esteja permitido. No painel de navegação, clique em casa, e clique a política da característica VPN.

1. Clique a aba Grupo-baseada da política.

2. Clique o botão de rádio da Grupo-política do sucesso do uso se os critérios preconfigured combinam, como uma chave de registro específica, o nome de arquivo conhecido, ou o certificado digital.

3. Verifique a caixa de seleção do módulo do theLocation e escolha o Secure Desktop.

4. Escolha o anti-vírus, o Anti-spyware, o Firewall, e as áreas do OS de acordo com sua política de segurança da empresa. Não estarão permitidos aos utilizadores domésticos na rede a menos que seus computadores encontrarem seus critérios configurados.

4. No painel de navegação, clique outro e clique a política da característica VPN.

1. Clique a aba Grupo-baseada da política.

2. Clique sempre o botão de rádio da Grupo-política do sucesso do uso.

5. Para clientes neste lugar da política da característica VPN, clique a aba da navegação na web, e clique o seletor de rádio sempre permitido.

1. Clique a aba do acesso de arquivo, e clique o botão de rádio do desabilitação.

2. Repita a etapa com a transmissão da porta e as abas completas do Tunelamento.

3. O clique aplica tudo.

4. Clique em Save e, em seguida, clique em Yes para aceitar as alterações.

Configurações opcionais para Windows CE, Macintosh, e clientes Linux

Estas configurações são opcionais.

1. Se você escolhe Windows CE do painel de navegação, verifique a caixa de verificação da navegação na web.

2. Se você escolhe o Mac e o líquido de limpeza do esconderijo de Linux do painel de navegação, verifique a limpeza do lançamento em cima do seletor do rádio do timeout global.

1. Mude o intervalo a sua especificação.

2. Sob a área de política da característica do theVPN, verifique a navegação na web, acesso de arquivo, e o rádio da transmissão da porta disca para estes clientes.

3. Se você escolhe Windows CE ou o Mac e o líquido de limpeza do esconderijo de Linux, o clique aplica tudo.

4. Clique em Save e, em seguida, clique em Yes para aceitar as alterações.

Configurar

Configuração

Esta configuração reflete as mudanças ASDM feitas para permitir o CSD: A maioria das configurações CSD são mantidas em um arquivo separado no flash.

Ciscoasa

ciscoasa#show running-config

Building configuration...

ASA Version 7.2(1)

!

hostname ciscoasa

domain-name cisco.com

enable password 2KFQnbNIdI.2KYOU encrypted

names

!

interface Ethernet0/0

nameif outside

security-level 0

ip address 172.22.1.160 255.255.255.0

!

interface Ethernet0/1

nameif inside

security-level 100

ip address 10.2.2.1 255.255.255.0

!

interface Ethernet0/2

shutdown

no nameif

no security-level

no ip address

!

interface Management0/0

shutdown

no nameif

no security-level

no ip address

management-only

!

passwd 2KFQnbNIdI.2KYOU encrypted

ftp mode passive

dns server-group DefaultDNS

domain-name cisco.com

no pager

logging enable

logging asdm informational

mtu outside 1500

mtu inside 1500

!--- ASDM location on disk0

asdm image disk0:/asdm521.bin

no asdm history enable

arp timeout 14400

nat-control

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout uauth 0:05:00 absolute

!--- some group policy attributes

group-policy GroupPolicy1 internal

group-policy GroupPolicy1 attributes

vpn-tunnel-protocol IPSec l2tp-ipsec webvpn

webvpn

functions url-entry file-access file-entry file-browsing

username user1 password mbO2jYs13AXlIAGa encrypted privilege 15

username user1 attributes

vpn-group-policy GroupPolicy1

username cisco password 3USUcOPFUiMCO4Jk encrypted privilege 15

username cisco attributes

vpn-group-policy DfltGrpPolicy

webvpn

port-forward none

port-forward-name value Application Access

http server enable

http 10.2.2.0 255.255.255.0 inside

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart

!--- tunnel group information

tunnel-group DefaultWEBVPNGroup general-attributes

default-group-policy GroupPolicy1

tunnel-group DefaultWEBVPNGroup webvpn-attributes

hic-fail-group-policy GroupPolicy1

nbns-server 10.2.2.30 timeout 2 retry 2

telnet timeout 5

ssh timeout 5

console timeout 0

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map

parameters

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

inspect ftp

inspect h323 h225

inspect h323 ras

inspect netbios

inspect rsh

inspect rtsp

inspect skinny

inspect esmtp

inspect sqlnet

inspect sunrpc

inspect tftp

inspect sip

inspect xdmcp

!

service-policy global_policy global

!--- webvpn parameters

webvpn

port 1443

enable outside

enable inside

!--- csd location

csd image disk0:/securedesktop-asa-3.1.1.32-k9.pkg

csd enable

customization DfltCustomization

title text YOUR-COMPANY SSL VPN Services

title style background-color: rgb(204,204,255);color: rgb(51,0,255);

border-bottom:5px groove #669999;font-size:larger;vertical-align:middle;text-align:

left;font-weight:bold

url-list ServerList "Windows Shares" cifs://10.2.2.30 1

url-list ServerList "Tacacs Server" http://10.2.2.69:2002 2

tunnel-group-list enable

prompt hostname context

Cryptochecksum:a840d81f0af21d869db4fa559e83d6d0

: end

!

end

Verificar

Use esta seção para confirmar que suas configurações para os sem clientes SSL VPN, o thin client SSL VPN, ou o cliente VPN SSL (SVC) se estão operando corretamente.

Teste o CSD com um PC que seja configurado com vários lugar de Windows. Cada teste deve fornecer um acesso diferente de acordo com as políticas que você configurou no exemplo acima.

Você pode mudar o número de porta e a relação onde Cisco ASA escuta conexões VPN da Web.

- A porta padrão é 443. Se você usa a porta padrão, o acesso é endereço IP de Um ou Mais Servidores Cisco ICM NT de https://ASA.

- O uso de uma porta diferente muda o acesso ao endereço IP de Um ou Mais Servidores Cisco ICM NT de https://ASA: newportnumber.

Comandos

Vários comandos show estão associados ao WebVPN. Você pode executar estes comandos na interface de linha de comando (CLI) para mostrar estatísticas e outras informações. Para ver em detalhe o uso dos comandos show, refira a verificação da configuração WebVPN.

Nota: A Output Interpreter Tool (apenas para clientes registrados) (OIT) suporta determinados comandos show. Use a OIT para exibir uma análise da saída do comando show.

Troubleshooting

Esta seção fornece informações que podem ser usadas para o troubleshooting da sua configuração.

Se você tem problemas com o cliente remoto, verifique estes:

1. PNF-UPS, Javas, e/ou ActiveX são permitidos no navegador da Web? Estes podem precisar de ser permitido segundo o tipo de conexão de VPN SSL no uso.

2. O cliente deve aceitar os Certificados digitais apresentados no início da sessão.

Comandos

Vários comandos debug estão associados ao WebVPN. Para informações detalhadas sobre destes comandos, refira a utilização de comandos Debug WebVPN.

Nota: O uso de comandos debug pode afetar negativamente seu dispositivo Cisco. Antes de utilizar comandos debug, consulte Informações Importantes sobre Comandos Debug.

Informações Relacionadas

- Dispositivos de segurança adaptáveis Cisco ASA série 5500

- O ASA com WebVPN e escolhe Sinal-em usar o exemplo de configuração ASDM e NTLMv1

- Suporte Técnico e Documentação - Cisco Systems