Cisco Secure Desktop (CSD) no exemplo da configuração do IOS usando o SDM

Transcrição

1 Cisco Secure Desktop (CSD) no exemplo da configuração do IOS usando o SDM Índice Introdução Pré-requisitos Requisitos Componentes Utilizados Diagrama de Rede Produtos Relacionados Convenções Configurar Fase mim: Prepare seu roteador para a configuração CSD com SDM. Fase mim: Passo 1: Configurar um gateway WebVPN, o contexto WebVPN, e a política do grupo. Fase mim: Passo 2: Permita o CSD em um contexto WebVPN. Fase II: Configurar o CSD usando um navegador da Web. Fase II: Passo 1: Defina lugar de Windows. Fase II: Passo 2: Identifique critérios do lugar Fase II: Passo 3: Configurar os módulos e as características do lugar de Windows. Fase II: Passo 4: Configurar características de Windows CE, de Macintosh, e de Linux. Verificar Teste a operação CSD Comandos Troubleshooting Comandos Informações Relacionadas Introdução Embora as sessões de uma VPN (Cisco WebVPN) Secure Sockets Layer (SSL) sejam seguras, o cliente pode ainda encontrar cookies, arquivos do navegador e anexos de s que permanecem depois que a sessão é encerrada. O Cisco Secure Desktop (CSD) estende a Segurança inerente de sessões de VPN SSL redigindo dados de sessão em um formato cifrado a uma área especial do cofre-forte do disco do cliente. Além disso, esses dados são removidos do disco quando a sessão de VPN SSL é encerrada. Este documento apresenta uma configuração de exemplo para o CSD em um roteador do do Cisco IOS. O CSD é apoiado nas seguintes Plataformas do dispositivo Cisco: Versão 12.4(6)T e mais recente do Roteadores do Cisco IOS Cisco 870,1811,1841, 2801, 2811, 2821, 2851, 3725, 3745, 3825, 3845, 7200 e 7301 Router

2 Versão 4.7 e mais recente do Concentradores Cisco VPN série 3000 Versão 7.1 e mais recente das ferramentas de segurança do 5500 Series de Cisco ASA Módulo de serviços de Cisco WebVPN para o Cisco catalyst e a versão 1.2 e mais recente do Cisco 7600 Series Pré-requisitos Requisitos Certifique-se de atender a estes requisitos antes de tentar esta configuração: Exigências para o roteador do Cisco IOS Roteador do Cisco IOS com imagem 12.4(6T) ou mais atrasado avançado Gerenciador de dispositivo seguro do roteador Cisco (SDM) 2.3 ou mais altose seu roteador não é carregado já com o SDM, você pode obter uma cópia gratuita da transferência SDM. Uma conta válida e o contrato de serviço CCO são exigidos. Consulte para configurar para mais detalhes seu roteador com Security Device Manager. Uma cópia do CSD para o pacote IO em sua estação de gerenciamentovocê pode obter uma cópia do CSD do download do software: O Cisco Secure Desktop o software está livre se você tem uma conta CCO com um contrato de serviço. Um roteador auto-assinou o certificado digital ou a autenticação com um Certificate Authority (CA)Nota: Quando você usa Certificados digitais, certifique-se de que você ajusta o hostname, o Domain Name, e a data/tempo/fuso horário do roteador corretamente. Uma senha secreta "enable" (habilitação) no roteador DNS permitido em seu roteador. Diversos serviços WebVPN exigem o DNS trabalhar corretamente. Exigências para computadores de cliente Os clientes remotos devem ter privilégios administrativos locais; não se exige, mas sugere-se altamente. Os clientes remotos devem ter a versão 1.4 ou mais recente do ambiente de tempo de execução de java (JRE). Navegadores de cliente remoto: Internet explorer 6.0, Netscape 7.1, Mozilla 1.7, safari 1.2.2, ou Firefox 1.0 Cookie permitidos e pop-up permitidos em clientes remotos Componentes Utilizados As informações neste documento são baseadas nestas versões de software e hardware: Roteador 3825 do Cisco IOS com versão 12.9(T) Versão SDM As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos usados neste documento começaram com uma configuração limpa (padrão). Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

3 Diagrama de Rede Este documento utiliza a seguinte configuração de rede: Este exemplo usa um Cisco 3825 Series Router para permitir o acesso seguro ao intranet da empresa. O Cisco 3825 Series Router aumenta a Segurança de conexões de VPN SSL com características configuráveis e características CSD. Os clientes podem conectar ao roteador CSD-permitido através de um destes três métodos SSL VPN: Sem clientes SSL VPN (WebVPN), thin client SSL VPN (Porta-transmissão), ou cliente VPN SSL (escavação de um túnel completa SVC). Produtos Relacionados Esta configuração também pode ser utilizada com estas versões de hardware e software: Plataformas do Cisco Router 870,1811,1841,2801,2811, ,3725, ,3845, 7200 e 7301 Versão da imagem 12.4(6)T da segurança avançada do Cisco IOS e mais tarde Convenções Refira as convenções dos dicas técnicas da Cisco para obter mais informações sobre das convenções de documento. Configurar Um gateway WebVPN permite que um usuário conecte ao roteador através de uma das tecnologias de VPN SSL. Somente um gateway WebVPN pelo endereço IP de Um ou Mais Servidores Cisco ICM NT é permitido no dispositivo, embora mais de um contexto WebVPN possa ser anexado a um gateway WebVPN. Cada contexto é identificado por um nome exclusivo. As políticas do grupo identificam os recursos configurados disponíveis a um contexto particular WebVPN.

4 A configuração do CSD em um IOS Router é realizada em duas fases: Fase mim: Prepare seu roteador para a configuração CSD com SDM 1. Configurar um gateway WebVPN, o contexto WebVPN, e a política do grupo.nota: Esta etapa é opcional e não é coberta em grande detalhe neste documento. Se você tem configurado já seu roteador para uma das tecnologias de VPN SSL, omita esta etapa. 2. Permita o CSD em um contexto WebVPN. Fase II: Configurar o CSD usando um navegador da Web. 1. Defina lugar de Windows. 2. Identifique critérios do lugar. 3. Configurar os módulos e as características do lugar de Windows. 4. Configurar características de Windows CE, de Macintosh, e de Linux. Fase mim: Prepare seu roteador para a configuração CSD com SDM. O CSD pode ser configurado com SDM ou do comando line interface(cli). Esta configuração usa o SDM e um navegador da Web. Estas etapas são usadas para terminar a configuração do CSD em seu IOS Router. Fase mim: Passo 1: Configurar um gateway WebVPN, o contexto WebVPN, e a política do grupo. Você pode usar o assistente WebVPN para realizar esta tarefa. 1. Abra o SDM e vá configurar > VPN > WebVPN. Clique a aba da criação WebVPN e verifique a criação um botão de rádio novo WebVPN. Clique o lançamento a tarefa selecionada.

5 2. A tela de wizard WebVPN alista os parâmetros que você pode configurar. Clique em Next. 3. Incorpore o endereço IP de Um ou Mais Servidores Cisco ICM NT para o gateway WebVPN, um nome exclusivo para o serviço, e a informação do certificado digital. Clique em Next.

6 4. As contas de usuário podem ser criadas para a autenticação a este gateway WebVPN. Você pode usar as contas local ou as contas criadas em uma autenticação externa, em um server da autorização, e da contabilidade (AAA). Este exemplo usa contas local no roteador. Verifique o botão de rádio localmente neste roteador e o clique adiciona.

7 5. Incorpore a informação de conta para o novo usuário adicionar uma tela da conta e clique a

8 APROVAÇÃO. 6. Depois que você criou seus usuários, clique em seguida na página da autenticação de usuário.

9 7. A tela dos Web site do intranet configurar permite que você configure o Web site disponível aos usuários do gateway WebVPN. Desde que o foco deste documento é a configuração do CSD, negligencie esta página. Clique em Next.

10 8. Embora a tela de wizard seguinte WebVPN permita que lhe a escolha permita o cliente VPN completo do túnel SSL, o foco deste documento é como permitir o CSD. Desmarcar permitem o túnel completo e clicam-no em seguida.

11 9. Você pode personalizar a aparência da página portal WebVPN aos usuários. Neste caso, a aparência do padrão é aceitada. Clique em Next.

12 10. O assistente indica a última tela nesta série. Mostra um sumário da configuração para o gateway WebVPN. Clique a APROVAÇÃO do revestimento e, quando alertado, do clique.

13 Fase mim: Passo 2: Permita o CSD em um contexto WebVPN. Use o assistente WebVPN para permitir o CSD em um contexto WebVPN. 1. Use os recursos avançados do assistente WebVPN para permitir o CSD para o contexto recém-criado. O assistente dá-lhe a oportunidade de instalar o pacote CSD se não é instalado já.no SDM, clique a aba configurar.no painel de navegação, clique VPN > WebVPN.Clique a aba da criação WebVPN.Verifique as características do avanço configurar para ver se há um botão de rádio existente WebVPN.Clique o lançamento o botão de tarefa selecionado.

14 2. A página de boas-vindas para os indicadores avançados do assistente WebVPN. Clique em Next.

15 3. Escolha o WebVPN e o grupo de usuário das caixas suspensas dos campos. As características avançadas do assistente WebVPN serão aplicadas a suas escolhas. Clique em Next.

16 4. A tela seleta dos recursos avançados permite que você escolha das Tecnologias listadas.verifique o Cisco Secure Desktop.Neste exemplo, a escolha é modo dos sem clientes.se você escolhe algumas das outras Tecnologias listadas, os indicadores adicionais abrem para permitir a entrada da informação relacionada.clique o botão Next Button.

17 5. A tela dos Web site do intranet configurar permite que você configure os recursos que do Web site você quer disponível aos usuários. Você pode adicionar os Web site internos da empresa tais como o acesso à Web da probabilidade (OWA).

18 6. Na tela do Cisco Secure Desktop da possibilidade (CSD), você tem a oportunidade de permitir o CSD para este contexto. Verifique a caixa ao lado instalam o Cisco Secure Desktop (CSD) e o clique consulta.

19 7. Da área de localização seleta CSD, verifique o meu computador.clique o botão Browse.Escolha o arquivo de pacote CSD IO em sua estação de trabalho de gerenciamento.clique na tecla OK.Clique o botão Next Button.

20 8. Um sumário das visualizações óticas de tela de configuração. Clique o botão Finish Button.

21 9. Clique a APROVAÇÃO quando você vê que o arquivo de pacote CSD esteve instalado com sucesso.

22 Fase II: Configurar o CSD usando um navegador da Web. Estas etapas são usadas para terminar a configuração do CSD em seu navegador da Web. Fase II: Passo 1: Defina lugar de Windows. Defina os lugar de Windows. 1. Abra seu navegador da Web no endereço de por exemplo, 2. Entre no admin de nome de usuário.incorpore a senha, que é o segredo da possibilidade do roteador.clique em login.

23 3. Aceite o certificado oferecido pelo roteador, escolha o contexto da caixa suspensa, e o clique vai.

24 4. O gerente do Secure Desktop para o WebVPN abre.

25 5. Do painel esquerdo, escolha configurações de local de Windows.Coloque o cursor na caixa ao lado do nome do lugar, e dê entrada com um nome do lugar.clique em Add.Neste exemplo, três nomes do lugar são mostrados: Escritório, HOME, e incerto. Cada vez que um lugar novo é adicionado, o painel esquerdo expande com os parâmetros configurável para esse lugar.

26 6. Depois que você cria os lugar de Windows, clique a salvaguarda na parte superior do painel esquerdo.nota: Salvar suas configurações frequentemente porque seus ajustes serão perdidos se você se torna desligado do navegador da Web.

27 Fase II: Passo 2: Identifique critérios do lugar A fim distinguir lugar de Windows de se, atribua critérios específicos a cada lugar. Isto permite que o CSD determine qual de suas características a se aplicar a um lugar particular de Windows. 1. No painel esquerdo, escritório do clique.você pode identificar um lugar de Windows com critérios do certificado, critérios IP, um arquivo, ou critérios do registro. Você pode igualmente escolher o líquido de limpeza do Secure Desktop ou do esconderijo para estes clientes. Desde que estes usuários são trabalhadores de escritório internos, identifique-os com critérios IP.Incorpore os intervalos de endereço IP ao e às caixas.clique em Add. Desmarcar o módulo do uso: Secure Desktop.Quando salvaguarda alertado, do clique, e APROVAÇÃO do clique.

28 2. No painel esquerdo, clique a segunda HOME da configuração de local de Windows.Certifique-se do módulo do uso: O Secure Desktop é verificado.um arquivo será distribuído que identifique estes clientes. Você poderia escolher distribuir Certificados e/ou critérios do registro para estes usuários.a verificação permite a identificação usando critérios do arquivo ou do registro.clique em Add.

29 3. Na caixa de diálogo, escolha o arquivo, e entre no trajeto ao arquivo.este arquivo deve ser distribuído a todos seus clientes home.verifique o botão de rádio existe.quando alertado, clique a APROVAÇÃO, e clique a salvaguarda.

30 4. Para configurar a identificação de lugar incertos, simplesmente não aplique nenhuns critérios de identificação.clique incerto no painel esquerdo.deixe todos os critérios desmarcados.verifique o módulo do uso: Secure Desktop.Quando salvaguarda alertado, do clique, e APROVAÇÃO do clique.

31 Fase II: Passo 3: Configurar os módulos e as características do lugar de Windows. Configurar as características CSD para cada lugar de Windows. 1. Sob o escritório, clique a política da característica VPN. Desde que estes são clientes internos confiados, nem o CSD nem o líquido de limpeza do esconderijo foram permitidos. Nenhum dos outros parâmetros está disponível.

32 2. Gire sobre as características como mostrado.no painel esquerdo, escolha a política da característica VPN sob a HOME.O acesso estará permitido aos utilizadores domésticos à LAN corporativa se os clientes encontram determinados critérios.sob cada método do acesso, escolha SOBRE se os critérios são combinados.

33 3. Para a navegação na web, clique o botão da elipse e escolha os critérios que devem combinar. Clique a APROVAÇÃO na caixa de diálogo.

34 4. Você pode configurar os outros métodos de acesso de forma semelhante.sob a HOME, escolha o registador da introdução por teclado.coloque uma marca de verificação ao lado da verificação para registadores da introdução por teclado.quando alertado, clique a salvaguarda, e clique a APROVAÇÃO.

35 5. Sob o lugar home dos indicadores, escolha o líquido de limpeza do esconderijo. Deixe as configurações padrão segundo as indicações do screen shot.

36 6. Sob a HOME, escolha o general do Secure Desktop. A verificação sugere o desinstalar do aplicativo em cima do closing do Secure Desktop. Deixe todos parâmetros restantes em suas configurações padrão segundo as indicações do screen shot.

37 7. Para ajustes do Secure Desktop sob a HOME, escolha permitem aplicativos do trabalhar transparentemente. Quando alertado, clique a salvaguarda, e clique a APROVAÇÃO.

38 8. A configuração do navegador do Secure Desktop é dependente de mesmo se você quer estes usuários alcançar um Web site da empresa com favoritos preconfigured.sob incerto, escolha a política da característica VPN.Porque estes não são usuários confiados, permita somente a navegação na web.escolha SOBRE do menu suspenso para a navegação na web.todo acesso restante é ajustado a FORA.

39 9. Verifique a verificação para ver se há a caixa de verificação de registadores da introdução por teclado.

40 10. Configurar o líquido de limpeza do esconderijo para incerto.verifique o limpo o esconderijo inteiro além do que a caixa de verificação do esconderijo da sessão atual (IE somente).deixe os outros ajustes em seus padrões.

41 11. Sob incerto, escolha o general do Secure Desktop.Reduza a inatividade do intervalo a 2 minutos.verifique o desinstalar do aplicativo da força em cima da caixa de verificação de fechamento do Secure Desktop.

42 12. Escolha ajustes do Secure Desktop sob incerto, e configurar ajustes muito restritivos como mostrado.

43 13. Escolha o navegador do Secure Desktop. No campo do Home Page, entre no Web site a que estes clientes serão guiados para seu Home Page.

44 Fase II: Passo 4: Configurar características de Windows CE, de Macintosh, e de Linux. Configurar as características CSD para Windows CE, Macintosh, e Linux. 1. Escolha Windows CE sob o gerente do Secure Desktop. Windows CE limitou características VPN. Gire a navegação na web para SOBRE.

45 2. Escolha o Mac & o líquido de limpeza do esconderijo de Linux.Macintosh e os sistemas operacionais de Linux têm o acesso somente aos aspectos do líquido de limpeza do esconderijo do CSD. Configurar-los segundo as indicações do gráfico.quando alertado, clique a salvaguarda, e clique a APROVAÇÃO.

46 Verificar Teste a operação CSD Teste a operação do CSD conectando ao gateway WebVPN com um navegador permitido SSL no endereço de Nota: Recorde usar o nome exclusivo do contexto se você criou contextos diferentes WebVPN, por exemplo,

47 Comandos Vários comandos show estão associados ao WebVPN. Você pode executar estes comandos na interface de linha de comando (CLI) para mostrar estatísticas e outras informações. Para obter informações detalhadas sobre os comandos show, consulte Verificação da Configuração do WebVPN. Nota: A Output Interpreter Tool (apenas para clientes registrados) (OIT) suporta determinados comandos show. Use a OIT para exibir uma análise da saída do comando show. Troubleshooting Comandos

48 Vários comandos debug estão associados ao WebVPN. Para obter informações detalhadas sobre estes comandos, consulte Uso de Comandos de Depuração do WebVPN. Nota: O uso de comandos debug pode afetar negativamente seu dispositivo Cisco. Antes de utilizar comandos debug, consulte Informações Importantes sobre Comandos Debug. Para obter mais informações sobre dos comandos clear, refira a utilização de comandos clear WebVPN. Informações Relacionadas Guia de Implantação de WebVPN e Convergência DMVPN SSL VPN - WebVPN Cisco IOS SSLVPN Suporte Técnico e Documentação - Cisco Systems