Configurando o Cisco VPN Client 3.5 e o Cisco Integrated Client para tráfego não criptografado seguro ao utilizar o tunelamento por divisão

Transcrição

1 Configurando o Cisco VPN Client 3.5 e o Cisco Integrated Client para tráfego não criptografado seguro ao utilizar o tunelamento por divisão Índice Introdução Antes de Começar Convenções Pré-requisitos Componentes Utilizados Configurar Diagrama de Rede sem Conexão de VPN Diagrama de Rede com Conexão de VPN Configurando o VPN 3000 Concentrator Verificar Troubleshooting Informações Relacionadas Introdução Nota: Até o momento, o Integrated Client Firewall (CIC) da Cisco é compatível somente com um Cisco VPN Client (versões 3.5.x ou mais recentes) que se conecte de volta a um concentrador VPN 3000 (versões 3.5.x ou mais recentes). O firewall Secure PIX da Cisco não é compatível com essa característica. Quando um cliente VPN conecta de volta a um gateway de fim de cabeçalho e não há nenhum Split Tunneling permitido, todo o tráfego deve fluir ao final do cabeçalho. Em tal exemplo, este cliente poderia teoricamente ser usado porque um agente de transmissão para algum tipo de ruptura de segurança, desde que o grupo da postura de segurança no final do cabeçalho controla o que o cliente pode ver ao pedir recursos diferentes daqueles disponíveis na rede privada. Para permitir o acesso de clientes remotos aos recursos na rede protegida ao não verdadeiramente reforçar que recursos de Internet estão disponíveis, você pode executar um túnel em divisão. Um túnel em divisão permite que o cliente VPN alcance as redes protegidas pelo fim de cabeçalho de VPN através do túnel VPN e outros recursos em dados claros (fora do túnel VPN) simultaneamente. Um desvantagem potencial é que este cliente VPN poderia ser um agente de transmissão se alguém no lado de dados livre comprometeu a estação de trabalho do cliente e usou essa estação de trabalho para obter a informação das redes protegidas por VPN. Para reforçar a proteção de suas redes internas quando os clientes remotos estão usando um túnel em divisão, você pode executar um firewall CIC pessoal na estação de trabalho do cliente VPN. Uma variedade de vendedores podem fornecer esta característica; os exemplos neste documento usam o cliente integrado incluído no cliente VPN. Note que o software do cliente VPN deve ser pelo menos versão 3.5. O cliente VPN com CIC encaixado aceitará as políticas que foram definidas no VPN 3000 concentrator (que executa pelo menos o software 3.5.x) a ser abaixado para o cliente para reforçar a atividade do tráfego não-vpn quando o túnel estiver acima. O CIC é instalado automaticamente junto com o cliente VPN; nenhuma etapa separada é exigida. Antes de Começar Convenções Para obter mais informações sobre convenções de documento, consulte as Convenções de dicas técnicas Cisco. Pré-requisitos É importante manter os seguintes pontos na mente quando você usa este documento. Use o Cisco VPN Client 3.5.x ou mais tarde; a característica CIC não está disponível em versões anterior. Não há nenhuma configuração do utilizador final no lado do cliente VPN. Tudo é feito no final do cabeçalho do VPN 3000 concentrator. Este documento supõe que você tem usuários e grupos configurados. As etapas de configuração aplicam-se somente a adicionar a característica e o Split Tunneling CIC.

2 As políticas a ser empurradas para o cliente VPN através do Cisco Pushed Policy (CPP) são ativas somente quando o túnel está acima. As políticas empurradas são aplicadas ao tráfego não criptografado, assim que o CPP deve somente ser configurado quando o Split Tunneling é permitido. As regras do Firewall indicadas na tela de estatística do cliente VPN estão listadas por ordem da precedência. Porque o Split Tunneling é suposto no uso, as primeiras regras do Firewall indicadas são permitir o tráfego a cada um das redes privadas alistadas. Após estes, as regras empurradas pela política definida estão listadas. O VPN 3000 concentrator adiciona automaticamente a gota todo o de entrada e deixa cair todos os parâmetros de saída à extremidade da lista de regras. Componentes Utilizados As informações neste documento são baseadas nas versões de software e hardware abaixo. Cisco VPN Client 4.0.2(B) com o firewall CIC integrado Cisco VPN 3000 Concentrator que executa C As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se você estiver trabalhando em uma rede ativa, certifique-se de que entende o impacto potencial de qualquer comando antes de utilizá-lo. Configurar Nesta seção, você encontrará informações para configurar os recursos descritos neste documento. Nota: Para localizar informações adicionais sobre os comandos utilizados neste documento, utilize a ferramenta Command Lookup. Diagrama de Rede sem Conexão de VPN Este documento utiliza a instalação de rede mostrada no diagrama abaixo. Diagrama de Rede com Conexão de VPN

3 Configurando o VPN 3000 Concentrator Definindo políticas e regras As seguintes etapas descrevem as políticas e as regras de definição para configurar o VPN 3000 concentrator. 1. Defina a política para o tráfego NON-em túnel. Recorde que o firewall CIC não se aplica ao tráfego criptografado. O cliente VPN neste exemplo é conectado com o VPN e tem uma política que inclua os seguintes parâmetros. NON-CIC CIC Alcance os recursos de rede protegida por VPN Isto está permitido à revelia com a lista de túneis em divisão, enquanto não há nenhum filtro definido no grupo de VPN, no usuário - identificação, ou na relação que proibiria o fluxo do tráfego. À revelia, nenhum filtro é definido, assim que todo o tráfego deve passar à rede protegida. 2. Perguntas DNS Você deve adicionar esta regra se o servidor DNS passado para baixo ao cliente VPN não é parte da rede protegida por VPN. Se você não adiciona a regra, os clientes não poderão alcançar locais através de um nome de DNS; Os endereços IP de Um ou Mais Servidores Cisco ICM NT ainda trabalharão. Acesso à Web O cliente VPN pode alcançar os locais que VPN-não são protegidos em HTTP (TCP/80). Negue tudo outro. Uma vez que a política é definida, você precisa de criar as regras que refletem as especificações de política (como definido acima). Recorde que as regras de filtro são bidirecionais, assim que você deve criar um para ambos a conexão de entrada e saída. A menos que especificado abaixo, os valores devem ser deixados em suas configurações padrão. Para criar uma regra de filtro para a conexão de entrada (perguntas DNS), abra o software do VPN 3000 concentrator e vá ao configuração > gerenciamento de política > gerenciamento de tráfego > regras. Clique em Add.

4 3. Configurar a regra com os valores mostrados abaixo. Nome da regra: DNS-de entrada Ação: Encaminhar Protocolo: udp Continue a configuração como mostrado abaixo. /porta da porta de origem: DNS (53) /porta da porta do destino: Faixa Escala: 1024 a O clique aplica-se quando você terminou incorporar os valores.

5 4. Repita as etapas acima para criar uma regra de filtro para a conexão externa (pedidos DNS). Use os valores mostrados abaixo para configurar esta regra. Nome da regra: DNS-de partida Direção: saída Ação: Encaminhar Protocolo: udp /porta da porta de origem: Faixa Escala: 1024 a /porta da porta do destino: DNS (53) O clique aplica-se quando você terminou incorporar os valores. Nota: As configurações em etapas 1 3 aplicam-se acima somente às propriedades DNS. Os pedidos do HTTP da Web são definidos já como o HTTP de saída e o HTTP de saída em para fora. A regra HTTP de saída para fora combina todos os pacotes IP com a porta do destino 80 TCP (WWW) e a toda a porta de origem, quando o HTTP de saída em combinar todos os pacotes IP com a porta de origem 80 TCP e a qualquer porta do destino. As regras HTTP entrante no / HTTP entrante para fora combinam todo o pacote IP com da porta de origem TCP/80 e porta do destino 80/, respectivamente. Os caracteres de nome em e para fora referem os sentidos (de entrada e de partida) da perspectiva do do cliente VPN. Se você é incerto, você pode olhar um olhar mais atento as regras usando a função da alteração para verificar as portas de origem e de destino. Definindo filtros Depois que as regras são definidas, você deve definir um filtro que agrupe todas as regras em uma indicação Abra o software do VPN 3000 concentrator e vá ao Configuração > Gerenciamento de Política > Gerenciamento de ttáfego > Filtros. O clique adiciona o filtro. Dê ao filtro um nome descritivo. O exemplo seguinte usa um filtro nomeado client_fw_rule. 3. Deixe a ação padrão do filtro como a gota. Se o projeto chama para o roteamento de origem, verifique a caixa do roteamento de origem; para desabilitar fragmentações, desmarcar os fragmentos. Clique em Adicionar quando concluir.

6 4. Para adicionar regras ao filtro, para selecionar as regras aplicáveis da coluna " disponível " (à direita) e clique adicionar para movê-los para as regras atuais na coluna do filtro (à esquerda). Clique feito quando você é terminado. O exemplo abaixo para o filtro nomeado client_fw_rule mostra quatro regras atuais. DNS-de entrada HTTP de saída dentro DNS-de partida HTTP de saída para fora 5. Para aplicar o filtro ao grupo, vá ao configuration > user management > aos grupos. Selecione o grupo que você quer alterar e o clique altera o grupo. 6. Na aba do cliente FW, selecione o valor de " configuração de firewall " do Firewall exigido, e use o menu de destruição para ajustar o valor de " firewall " ao Integrated Client Firewall de Cisco.

7 7. Para o atributo da política de firewall, o Policy Pushed seleto (CPP) e o <filter_name> seleto do menu de destruição. O exemplo abaixo mostra o filtro client_fw_rule. Quando você é terminado, o clique aplica, a seguir clica a salvaguarda necessária (no direita superior do indicador). A política de firewall tem sido definida agora. Configurando o Split Tunneling As seguintes etapas explicam como configurar o Split Tunneling. 1. Para definir as redes que você quer ser escavado um túnel, vá ao Configuração > Gerenciamento de Política > Gerenciamento de Tráfego > Listas de Rede. O clique adiciona, a seguir define um nome para a lista e especifica que redes devem ser incluídas. Note que a máscara é uma máscara da curinga. Para proteger a rede / , a máscara inversa (exigida neste liste de redes) é

8 2. Para aplicar o liste de redes como um túnel em divisão, você precisa de alterar o grupo que terá o túnel aplicado. Vai o nome ao ><group do configuration > user management > do grupo >. Clique alteram o grupo e selecionam o guia de configuração do cliente. Sob a política do Split Tunneling, selecione a opção para somente redes de túnel na lista. Sob a lista de redes de split tunneling, selecione o liste de redes que você definiu mais cedo; neste exemplo, a lista é chamada VPN_Protected_Network. Verificar Esta seção fornece informações que você pode usar para confirmar se sua configuração está funcionando adequadamente. Para verificar que a configuração era bem sucedida, você pode verificar as configurações de firewall na janela de status da conexão de cliente de VPN. Abra a janela de status da conexão de cliente de VPN e clique sobre a aba do Firewall para indicar a política empurrada. Recorde que a política está lida de cima para baixo e devida ter definições bidirecional uma para a conexão externa e uma para a conexão de entrada. O exemplo abaixo mostra a fonte do fluxo de DNS de saída (protocolo 17 da porta 53) de uma porta alta aleatória do cliente VPN. Nota: Se não há nenhuma aba do Firewall, a seguir a política de firewall não esteve executada com sucesso. Você precisará de executar algum debuga para determinar o que foi mal.

9 As últimas duas indicações na lista de regras do Firewall são gota e de entrada/pacote externo. Troubleshooting Esta seção fornece informações que podem ser usadas para o troubleshooting da sua configuração. Se você está executando o Cisco VPN Client 3.5.x ou mais tarde e a política não está sendo empurrada corretamente, verifique a configuração (segundo as indicações das etapas 6 e 7) certificando-se que a aba do cliente FW tem os seguintes ajustes. Configuração de firewall: Firewall exigido (recomendado) ou qualquer coisa a não ser nenhum Firewall Firewall: Integrated Client Firewall de Cisco Política de firewall: Policy Pushed (CPP) e apontado ao <filter_name > (o nome do filtro a reforçar) Se você está experimentando os problemas que alcançam ou que sibilam quando o túnel é ativo entre o cliente VPN e o LAN local, vá ao cliente VPN, selecione a entrada de conexão, e escolha-a alteram. Clique o guia de transporte e a verificação permite o acesso do LAN local. Isto deve combinar o grupo configurado na extremidade do concentrador VPN para permitir o acesso do LAN local. Informações Relacionadas Exemplos de Configuração e Notas Técnicas Cisco Systems Inc. Todos os direitos reservados. Data da Geração do PDF: 19 Setembro