ASA 8.x: Acceso VPN con AnyConnect VPN Client usando el certificado Self-signed. Configuración y resolución de problemas. Pregunta al experto

[Cisco Moderador]

con Alexandro Carrasquedo

Bienvenidos a la conversación en el CSC en Español. Esta es su oportunidad de aprender y hacer todas las preguntas que tenga acerca de VPN con AnyConnect VPN Client.

Alexandro Carrasquedo es ingeniero veterano de soporte del equipo de High Touch Engineer (HTE) de Cisco Latinoamérica, especializado en tecnologías de Seguridad y Data Center. Alexandro cuenta con más de 7 años de experiencia en el campo. Alexandro estudió Ingeniería en Sistemas Computacionales en el Instituto Tecnológico y de Estudios Superiores de Monterrey (ITESM) Campus Santa Fe,  tiene las siguientes certificaciones: 4011 Recognition, 4013 Recognition, CCNA, CCDA, CCSP, Cisco IPS Specialist, Cisco Data Center Application Services Support Specialist, Cisco Data Center Application Services Design Specialist, Cisco Data Center Storage Networking Support Specialist, Cisco Data Center Storage Networking Design Specialist, CCIE Security # 22040, VMware Technical Sales Professional, VMware Sales Professional, VMware Certified Professional 4 # 82148, VMware Business Continuity Sales Accreditation 4, VMware Business Continuity Technical Post-Sales Accreditation: Managing Availability using vSphere 4, VMware Infrastructure Virtualization Technical Post-Sales Accreditation: Assessment Fundamentals, VMware Infrastructure Virtualization Sales Accreditation 4, VMware Desktop Virtualization Sales Accreditation 4, ITIL v3 Foundations y EMC² Information Storage Associate.

Por favor use las estrellas para calificar las respuestas y así informar a Alexandro que usted ha recibido una respuesta adecuada.

Puede ser que Alexandro no pueda responder cada una de las preguntas debido la cantidad que anticipamos para este evento. Recuerde que usted puede preguntar o seguir haciendo preguntas en la comunidad de Seguridad.

Este evento estará disponible del martes 12 de marzo al viernes 22 de marzo del 2013.

[Jaime Gonzalez]

Hola.

Me fue inposible asiastir a webcast, ¿Donde puedo verlo?

Gracias

[Cisco Moderador]

Hola Jaime:

A más tardar el viernes estará la grabación del Webcast.

[Alexandro Carrasquedo]

Aquí está el video Jaime

[Eder Ernesto Ibarra Ontiveros]

Hola.

tengo una duda, en el webex en la parte de  troubleshootung mencionaron la ventana que arroja anyconnect cuando algo  anda mal con el certificado.

que son estos 3 mensajes

Certifiate does not match the server name

Certificate is from an untrusted source.

Certificate is not identified for this purpose.

ya pude remover los primeros 2,

pero buscando en  internet no he encontrado para solucionar el tercer error que aparece.  me podrian ayudar a resolver este problema.

[Alexandro Carrasquedo]

Hola Eder,

Podrías poner la salida del comando sh cry ca cert y decirme cuál es el trustpoint & nombre del certificado que estás utilizando?

Gracias,

Alex

[Eder Ernesto Ibarra Ontiveros]

El nombre del certificado es la ip publica y el truspoint es oxxovpn

VPN# sh cry ca cert

Certificate

  Status: Available

  Certificate Serial Number: 16d07f50

  Certificate Usage: General Purpose

  Public Key Type: RSA (1024 bits)

  Signature Algorithm: SHA1 with RSA Encryption

  Issuer Name:

    hostname=200.x.x.x

    ipaddress=200.x.x.x

    cn=200.x.x.x

    o=comercio

  Subject Name:

    hostname=200.x.x.x

    ipaddress=200.x.x.x

    cn=200.x.x.x

    o=comercio

  Validity Date:

    start date: 16:14:08 GMT Mar 12 2013

    end   date: 16:14:08 GMT Mar 10 2023

  Associated Trustpoints: oxxovpn

Certificate

  Status: Available

  Certificate Serial Number: a57a1050

  Certificate Usage: Signature

  Public Key Type: RSA (1024 bits)

  Signature Algorithm: SHA1 with RSA Encryption

  Issuer Name:

    hostname=VPN

    ipaddress=200.x.x.x

    cn=Oxxo

    o=comercio

  Subject Name:

    hostname=VPN

    ipaddress=200.x.x.x

    cn=Oxxo

    o=comercio

  Validity Date:

    start date: 12:58:09 GMT Sep 17 2012

    end   date: 12:58:09 GMT Sep 15 2022

  Associated Trustpoints: Oxxo

[Alexandro Carrasquedo]

¿Qué versión del cliente de anyconnect estás usando?

[Eder Ernesto Ibarra Ontiveros]

version 3.1.01065

[Alexandro Carrasquedo]

A partir de la versión de Anyconnect 3.0.5+, anyconnect necesita que el certificado de vpn para ssl & IPSec, debe contener el atributo KU con el valor "Digital Signature" y Key Encipherment o Key agreement, de lo contrario arrojará ese mensaje.

El ASA no puede añadir este valor cuando se genera la petición de certificado usando certificados self-signed y es por eso que se ha pedido a la casa de producto que se añada este valor en la petición como se puede verificar en el defect

CSCuc48104.

Como solución temporal se puede pasar por alto esta advertencia, pedir un certificado a un CA que añada este campo o usar una versión de anyconnect menor a 3.0.5

Referencia:

Notas de la nzamiento de Anyconnect 3.1.01065

[Jaime Gonzalez]

Hola.

Cuando uno migra una version 8.2 a una 8.4 un ASA que esta configurado con VPNs SSL usando el certificado Self-signed, ¿es necesario volver a general el certificado Self-signed para el nuevo ASA?.

[Alexandro Carrasquedo]

Hola Jaime, no es necesario regenerar el certificado ya que se guarda en la configuración.

Saludos,

[Oscar Ortiz]

Hola.

Tengo un par de preguntas sobre las configuraciones con AnyConnect:

1) Tengo un ASA 5550 version 8.3(2) con ASDM 7.1(2) en el cual configure Split Tunneling para el AnyConnect para poder acceder a Internet con los recursos locales y a mis redes internet (me base en este ejemplo http://www.cisco.com/en/US/products/ps6120/products_configuration_example09186a0080702999.shtml). El problema es que solo puedo ver segmentos de ellas. por ejemplo en las listas de acceso permiti la 192.168.0.0/16 y de ella solo puedo ver la 192.168.1.0

Ya hice el respectivo ruteo en todos mis equipos para direccionar hacia el ASA la red del Anyconnect... me faltará algo de configurar?

2) Lo que preguntaban en el Webcast si la licencia para Mobiles esta disponible como demo para pruebas?

Saludos

[Alexandro Carrasquedo]

Para el primer problema. ya te aseguraste de que el tráfico de tu red interna hacia la ip de tu vpn client está llegando al ASA? lo puedes hacer con una captura. si llegó, podrías correr un packet-tracer para saber qué está haciéndole el ASA a ese paquete.

las secured routes del cliente de vpn muestran como las configuraste? 192.168.0.0/16?

la red en la que se encuentra la interfaz física de la computadora donde está instalado el cliente es diferente a las redes seguras?

habría que fijarse si la excepción de nat se está haciendo bien, el ruteo dentro del ASA es el correcto, no hay ACL bloqueando ese tráfico.

la licencia puedes obtener un demo por 90 días aquí

Saludos

[alferna]

Hola:

Tengo las siguientes preguntas:

1.- ¿Es compatible AnyConnect empleando VPN SSL con el uso de 2 contextos (o más) en Cisco ASA?

2.- ¿Es compatible AnyConnect con un cluster de Cisco ASA o estoy obligado a usar un sólo appliance en lugar de dos?

Atte,