Community Ask Me Anything- Configuración, troubleshooting y mejores prácticas: AnyConnect Remote Access VPN en ASA and FTD

[Cisco Moderador]

-Este tipo de evento era formalmente conocido como Pregunte al Experto-

Esta sesión continua la conversación del reciente evento de Ask Me Anything “Cómo trabajar seguro de forma remota”

En este evento usted podrá preguntar y clarificar sus dudas de las mejores prácticas de configuración y troubleshooting para AnyConnect secure mobility cliente en Cisco Adaptive Security Appliances (ASA) y Firepower Threat Defense (FTD), así como de su integración con otros dispositivos y tecnologías del portafolio de seguridad de Cisco, como ISE y Duo. 

La sesión brinda la oportunidad de aprender y realizar preguntas relacionadas a los distintos aspectos de la implementación de AnyConnect (usando SSL and Ikev2), ncluyendo temas de (pero no limitados a) licencias de emergencia, configuración, deployment y troubleshooting de AnnyConnect, mismas que ayudan a que su organización se encuentre segura y protegida en situaciones críticas.

Haga sus preguntas del lunes 6 al viernes 17 de Abril del 2020.

Detalles de los Expertos

Gustavo Medina es un Systems Sales Engineer en el equipo de ventas de Enterprise Networking. Cuenta con más de 10 años de experiencia en seguridad y redes empresariales. Durante su carrera se ha enfocado en diversas áreas y tareas, desde escalaciones técnicas en l TAC de Cisco, hasta los programas de adopción y la revisión de evaluaciones de las certificaciones de Cisco. Cuenta con las certificaciones de CCNA, CCNP, CCSI y CCIE de seguridad (#51487).

Jason Grudier es un Technical leader en el quipo de VPN en el TAC de Raleigh, USA. Ha trabajado en el grupo de VPN de Cisco en los últimos seis años. Antes de unirse el equipo, trabaja como ingeniero de redes en Labcorp. Se especializa en la configuración y troubleshooting de AnyConnect en todas las plataformas de Cisco, así como en DMVPM, GETVPN, Radius, LDAP y Certificate authentications.

Dinesh Moudgil es un ingeniero High Touch Technical Support (HTTS) en el equipo de seguridad de Bangalore, India. Ha trabajado con diversas tecnologías de seguridad de Cisco por más de 6 años, con un enfoque en Cisco Next Generation Firewalls, Intrusion Prevention Systems, Identity Management and Access Control (AAA) y VPNs. Cuenta con las certificaciones de seguridad de Cisco CCNP, CCDP y CCIE #58881, al igual que con otras externas como Ace, PCNSE y VCP.

Pulkit Saxena es un ingeniero High Touch Technical Support (HTTS) que ha brindado más de 7 años de experiencia en la industria al equipo de seguridad de Cisco. Tiene experiencia en distintos firewalls, soluciones VPNs, AAA y Next Generation IPS, así como en la entrega de diversos entrenamientos. Pulkit cuenta con múltiples certificaciones, ya sea de Cisco o Juniper (como CCIE en Seguridad y JNCIA).

Gustavo, Jason, Dinesh y Pulkit pueden no lograr contestar a todas las dudas en el evento debido al volumen esperado. Para continuar la conversación, visite la categoría de Seguridad.

Al publicar una pregunta en este evento, usted otorga permiso para que su post sea traducido a todos los idiomas de la Comunidad de Cisco.

Encuentre más eventos en: https://community.cisco.com/t5/custom/page/page-id/Events?categoryId=comunidad-espanol

** ¡Los puntos de utilidad fomentan la participación! **
Por favor asegúrese de dar uno a las respuestas a sus preguntas.

[jgrudier]

Esta pregunta no es lo suficientemente clara. ¿Qué módulo no funciona con qué dispositivo? y ¿qué quieres decir con "no funciona"?

[Cisco Moderador]

Estoy viendo la hoja de producto de firepower, me gustaría saber a qué valor debo referirme con respecto a la velocidad de VPN SSL.
Tls？
Gracias.

Nota: Esta pregunta es una traducción de un post originalmente generado en chino por fengbofeng2224. Ha sido traducida por la Comunidad de Cisco para compartir la duda y solución en distintos idiomas.

[Pulkit Saxena]

Hola,

Por favor confírmenos el hardware que está buscando para los detalles de velocidad de VPN SSL y el documento al que se refiere.

Pulkit

[Cisco Moderador]

Hola chicos, gracias por organizar este evento. Excelente información hasta ahora.

A veces todavía tenemos problemas para distribuir el perfil de AnyConnect a nuevos usuarios para resolver el problema del tiempo de espera de 12 segundos. Esto es un problema porque nuestros usuarios siempre pueden elegir entre dos métodos: llamada telefónica o responder un mensaje de texto.

Además, el SSL sin cliente está deshabilitado, pero permite a los usuarios conectarse y descargar el último cliente desde el firewall a través de este portal.

Mi pregunta es, ¿puedo adjuntar de alguna manera el perfil de VPN predeterminado a esta descarga de cliente, incluso si hemos deshabilitado la VPN sin cliente?

Nota: Esta pregunta es una traducción de un post originalmente generado en inglés por david.haughn. Ha sido traducida por la Comunidad de Cisco para compartir la duda y solución en distintos idiomas.

[Gustavo Medina]

Hola david.haughn

Una vez que sus usuarios hayan descargado AnyConnect Client, la primera vez que se conecten, deberán descargar sus perfiles. Existen diferentes opciones para implementaciones como la suya:

• Tener un perfil de conexión básico sin autenticación de dos factores, sin acceso interno. Es sólo para que los usuarios descarguen su perfil.
• Distribuir el perfil a sus usuarios con GPO o un método similar en la ubicación correcta (los usuarios ya han instalado AnyConnect Client).
• Utilizar la opción previa a la implementación y crear su paquete .MSI personalizado, con su propio perfil incluido, y distribuirlo una vez que los usuarios lo hayan instalado, para que el perfil esté listo.

Atentamente,
Gustavo

[jgrudier]

No hay una forma práctica para expulsar el archivo xml con descargas desde una conexión sin cliente (clientless). La mejor opción para expulsar este perfil xml, si los usuarios tienen problemas de conexión debido al tiempo de espera, sería extraer este perfil xml con un GPO si tienes esta opción.

Por ejemplo, simplemente puedes crear un grupo de túneles separados, que sólo tengan una conexión de usuario/contraseña, que los usuarios puedan usar para descargar el perfil modificado. Esto podría asignarlos al grupo de túnel y a la política de grupo apropiados después de cambiar el tiempo de vencimiento o timeout.

[Cisco Moderador]

Tengo una pregunta sobre el ancho de banda:

Cuando no estoy en la VPN, puedo obtener toda la potencia del ancho de banda proporcionado por mi ISP, pero cuando me conecto a la VPN SSL (AnyConnect), ni siquiera obtengo la mitad.

Entiendo que hay una sobrecarga de paquetes pero, ¿cómo podemos resolver el problema o cuáles podrían ser las posibles soluciones?

Nota: Esta pregunta es una traducción de un post originalmente generado en inglés por antonkolev. Ha sido traducida por la Comunidad de Cisco para compartir la duda y solución en distintos idiomas.

[jgrudier]

¿Has leído el resto de las preguntas del foro? Gustavo respondió a otra pregunta casi idéntica que puede ayudarte. Si a pesar de ello aún tienes dudas, por favor avísanos y haremos todo lo posible por ayudarte.

[Cisco Moderador]

¿Cómo integraría WSA con ASA para usuarios de webvpn (túnel vpn completo)?

¿Es preferible la integración de Umbrella con AnyConnect?

Nota: Esta pregunta es una traducción de un post originalmente generado en inglés por antonkolev. Ha sido traducida por la Comunidad de Cisco para compartir la duda y solución en distintos idiomas.

[Gustavo Medina]

Hola antonkolev

Acabo de responder también al siguiente hilo:
https://community.cisco.com/t5/web-security/cisco-anyconnect-wsa-wccp/td-p/2611624

Avísame si deseas desarrollar más este tema.

[Cisco Moderador]

Hola equipo,

No hemos implementado puntos finales en nuestra red para AMP, pero si todavía quiero usar AMP con AnyConnect VPN, ¿qué licencias debo tener?

En este momento tenemos una licencia de Apex AnyConnect, estamos implementando AnyConnect con FTD y todo funciona bien.

Buscamos opciones para AnyConnect con AMP.

Gracias / Basavaraj

Nota: Esta pregunta es una traducción de un post originalmente generado en inglés por BasavarajNingappa6558. Ha sido traducida por la Comunidad de Cisco para compartir la duda y solución en distintos idiomas.

[Gustavo Medina]

Hola Basavaraj ningappa6558

AMP4E se basa en la cantidad de Endpoints que deseen proteger. Además de las licencias AnyConnect, también necesitan las licencias AMP4E. Para la implementación, pueden usar AnyConnect AMP Enabler, que se utiliza como medio para implementar Advanced Malware Protection (AMP) para endpoints. Empuja el software AMP para Endpoints a un subconjunto de puntos finales de un servidor alojado localmente en su empresa e instala los servicios AMP en la base de usuarios existente.

Aquí está la guía de pedidos.
https://www.cisco.com/c/dam/en/us/products/collateral/security/fireamp-endpoints/guide-c07-740737.pdf

AMP4E se agregó recientemente a nuestra oferta Remote Secure Worker para COVID-19, como pueden leer aquí:
https://blogs.cisco.com/security/expanding-free-security-offers-into-customers-endpoints

Con esta nueva incorporación, los clientes existentes pueden incrementar el límite de su dispositivo al doble para admitir un aumento en la cantidad de trabajadores remotos. Para aprovechar esta oferta, simplemente instalan AMP para conectores de endpoints en dispositivos adicionales, y no se requiere ninguna acción adicional. Al igual que con nuestras ofertas AnyConnect, Umbrella y Duo, que estarán disponibles hasta el 1 de julio de 2020.

Gustavo

[Cisco Moderador]

¡Hola!
¿Existe una opción para configurar un VPN web SSL en un FTD con FMC?
Gracias.

Nota: Esta pregunta es una traducción de un post originalmente generado en inglés por telecomunicacionesexperta. Ha sido traducida por la Comunidad de Cisco para compartir la duda y solución en distintos idiomas.

[jgrudier]

No hay opción para VPN sin cliente (clientless) en el dispositivo FTD administrado por FMC o FDM.

La única opción es el portal que les permitirá descargar el cliente.

[Cisco Moderador]

Hola,

En primer lugar, gracias por esta iniciativa, personalmente recopilo mucha información indirectamente y seguramente he marcado esta discusión, estoy seguro de que será uno de mis 10 mejores marcadores durante mucho tiempo :)

Pregunta:

Utilizamos el módulo SBL (Start before logon) para trabajadores remotos, y todos ellos han heredado las credenciales almacenadas en caché en el sitio para sus estaciones de trabajo en Windows.

Todo funciona bien, pero incluso cuando un agente tiene un perfil en AnyConnect, puede seleccionar desde la pantalla de inicio de sesión de Windows que termine en AnyConnect para tener un FQDN genérico del perfil con su nombre de perfil.

Esto ocasiona cierta confusión a nuestros usuarios, ya que por alguna razón tienen que volver a conectarse, a pesar de que tienen su nombre de perfil en la lista y también el FQDN, pero aún no he encontrado una manera de evitar esto.

¿Es posible evitar que el FQDN aparezca en AnyConnect y que se tenga sólo el nombre del perfil?

Nota: Esta pregunta es una traducción de un post originalmente generado en inglés por giovanni.augusto. Ha sido traducida por la Comunidad de Cisco para compartir la duda y solución en distintos idiomas.