取消
显示结果 
搜索替代 
您的意思是: 
cancel
公告

December 2020

【原创】关闭AnyConnect登录安全警告窗口

3625
查看次数
0
有帮助
5
评论
本帖最后由 xiaocqu 于 2019-3-3 19:36 编辑
一、问题描述:使用AnyConnect client连接时,如何关闭的安全警告窗口?

003142vh7z2yr4wy0ygr4r.png

二、原因分析:

AnyConnect Server(ASA)和AnyConect client(PC)上没有受信任的证书。

三、解决方案:

1/ 在ASA和AnyConnect client导入第三方机构颁发的根证书和用户证书;

参考链接:
ASA 8.x Manually Install 3rd Party Vendor Certificates for use with WebVPN Configuration Example


2/ 使用ASA自签名证书。

参考链接:
ASA 8.x : VPN Access with the AnyConnect VPN Client Using Self-Signed Certificate Configuration Example

四、本文目的:

1/ 仅通过配置ASA自签名证书(尽可能使用最少配置)、不涉及任何第三机构(颁发证书)、客户端修改配置(尽可能修改最少/最简单),来关闭该警告窗口.

2/ 使用IP地址连接AnyConnect(之前在论坛上,有人提到必须使用域名登录才可以关闭警告窗口,其实使用IP也可以的~ o(* ̄▽ ̄*)o)

五、详细步骤:

1/ 版本说明:

ASA:9.8.1
ASDM:7.10(1)
AnyConnect client:4.700136

2/ Topology

003407w73r5a143yre111d.png

3/ ASA预配置
------------------------------------------------------------------
interface GigabitEthernet0/0
nameif outside
security-level 0
ip address 10.1.1.100 255.255.255.0

asdm image disk0:/asdm-7101.bin

webvpn
enable outside
anyconnect imagedisk0:/anyconnect-win-4.700136-webdeploy-k9.pkg 1
anyconnect enable
tunnel-group-list enable

access-list SPLIT extended permit ip 20.1.1.0 255.255.255.0 any

ip local pool VPN-POOL 192.168.1.1-192.168.1.254 mask 255.255.255.0

group-policy SSL-GROUP internal
group-policy SSL-GROUP attributes
vpn-tunnel-protocolssl-client ssl-clientless
split-tunnel-policytunnelspecified
split-tunnel-network-listvalue SPLIT
address-pools value VPN-POOL

tunnel-group SSL-TUNNEL type remote-access
tunnel-group SSL-TUNNEL general-attributes
default-group-policySSL-GROUP
tunnel-group SSL-TUNNEL webvpn-attributes
group-alias SSL-VPN enable

4/ ASA上生成自签名证书,并把trustpoint应用到outside接口上(注意:此处fqdn指定outside接口地址而不是域名)

crypto key generate rsa label sslvpnkeypair
crypto ca trustpoint localtrust
enrollment self
fqdn 10.1.1.100
subject-name CN=10.1.1.100
keypair sslvpnkeypair
crypto ca enroll localtrust noconfirm
ssl trust-point localtrust outside

参考链接:
ASA 8.x : VPN Access with the AnyConnect VPN Client Using Self-Signed Certificate Configuration Example
Step 1. Configure a Self-Issued Certificate-Command Line Example

5/ 登录AnyConnect,勾选 “Always trust this server and import the certificate” - 点击 “Connect Anyway

003512dnalrlizy65ynlyi.png

弹出登录验证窗口

003549z1wbwyy0n5t5t1ll.png

6/ 再次连接AnyConnect,无警告窗口。

至此利用ASA自签名证书关闭AnyConnect警告窗口。

六、需要注意的问题:

1/ 证书路径:

通常如果想要在Windows客户端导入证书,需要在如下路径导入用户证书:

003708qpno5njn5x4mutpi.png

而AnyConnect client导入的证书路径如下:
003903do1bad621l919l2y.png
2/ 如果想要使用域名登录,记得利用AnyConnect profile 创建server-list,配置FQDN以及建立domain 与接口IP地址解析关系;如果没有域名服务器,可以手动修改Windows hosts 进行解析。
参考链接:
Cisco AnyConnect Secure Mobility Client Administrator Guide, Release 4.0
https://www.cisco.com/c/en/us/td/docs/security/vpn_client/anyconnect/anyconnect40/administration/guide/b_AnyConnect_Administrator_Guide_4-0/anyconnect-profile-editor.html#ID-1430-00000254
Easily Edit the Hosts File in Windows 10
https://www.petri.com/easily-edit-hosts-file-windows-10

评论
cisco.feng
Beginner
补充下
仅有几家PKI厂商支持颁发IP地址的SSL Certificate
需要的材料LoA+OV
IP地址的只能OV级别,DV EV均不能颁发
Rps-Cheers
Rising star
赞一个,学习学习!:lol
xiaocqu
Beginner
cisco.feng 发表于 2019-3-2 08:08
补充下
仅有几家PKI厂商支持颁发IP地址的SSL Certificate
需要的材料LoA+OV

学习了,其他厂商SSL 证书接触比较少
one2
Rising star
好东西,学习了,最近还是有几个客户要上ASA vpn 的
xuxiaoxunlxl
Beginner
还能这么玩 6 啊