el - fecha de última edición por
Hilda Arteaga
-Este tipo de evento era formalmente conocido como Pregunte al Experto-
Esta sesión continua la conversación del reciente evento de Ask Me Anything “Cómo trabajar seguro de forma remota”
En este evento usted podrá preguntar y clarificar sus dudas de las mejores prácticas de configuración y troubleshooting para AnyConnect secure mobility cliente en Cisco Adaptive Security Appliances (ASA) y Firepower Threat Defense (FTD), así como de su integración con otros dispositivos y tecnologías del portafolio de seguridad de Cisco, como ISE y Duo.
La sesión brinda la oportunidad de aprender y realizar preguntas relacionadas a los distintos aspectos de la implementación de AnyConnect (usando SSL and Ikev2), ncluyendo temas de (pero no limitados a) licencias de emergencia, configuración, deployment y troubleshooting de AnnyConnect, mismas que ayudan a que su organización se encuentre segura y protegida en situaciones críticas.
Haga sus preguntas del lunes 6 al viernes 17 de Abril del 2020.
Gustavo Medina es un Systems Sales Engineer en el equipo de ventas de Enterprise Networking. Cuenta con más de 10 años de experiencia en seguridad y redes empresariales. Durante su carrera se ha enfocado en diversas áreas y tareas, desde escalaciones técnicas en l TAC de Cisco, hasta los programas de adopción y la revisión de evaluaciones de las certificaciones de Cisco. Cuenta con las certificaciones de CCNA, CCNP, CCSI y CCIE de seguridad (#51487).
Jason Grudier es un Technical leader en el quipo de VPN en el TAC de Raleigh, USA. Ha trabajado en el grupo de VPN de Cisco en los últimos seis años. Antes de unirse el equipo, trabaja como ingeniero de redes en Labcorp. Se especializa en la configuración y troubleshooting de AnyConnect en todas las plataformas de Cisco, así como en DMVPM, GETVPN, Radius, LDAP y Certificate authentications.
Dinesh Moudgil es un ingeniero High Touch Technical Support (HTTS) en el equipo de seguridad de Bangalore, India. Ha trabajado con diversas tecnologías de seguridad de Cisco por más de 6 años, con un enfoque en Cisco Next Generation Firewalls, Intrusion Prevention Systems, Identity Management and Access Control (AAA) y VPNs. Cuenta con las certificaciones de seguridad de Cisco CCNP, CCDP y CCIE #58881, al igual que con otras externas como Ace, PCNSE y VCP.
Pulkit Saxena es un ingeniero High Touch Technical Support (HTTS) que ha brindado más de 7 años de experiencia en la industria al equipo de seguridad de Cisco. Tiene experiencia en distintos firewalls, soluciones VPNs, AAA y Next Generation IPS, así como en la entrega de diversos entrenamientos. Pulkit cuenta con múltiples certificaciones, ya sea de Cisco o Juniper (como CCIE en Seguridad y JNCIA).
** ¡Los puntos de utilidad fomentan la participación! **
Por favor asegúrese de dar uno
a las respuestas a sus preguntas.
Hola,
Entonces, ¿deberíamos actualizar a la última versión de ASDM? ¿Es la 7.13 si no mal recuerdo?
Desde CLI, parece no tener una opción de intercambio dinámico:
Las únicas opciones disponibles que tengo están en la imagen adjunta a continuación.
Nota: Esta pregunta es una traducción de un post originalmente generado en inglés por DavidGray77695. Ha sido traducida por la Comunidad de Cisco para compartir la duda y solución en distintos idiomas.
Hola Marvin,
Aquí hay algunos puntos clave:
1. Utiliza AnyConnect 4.7.x o une versión superior porque hemos resuelto algunos problemas de hardware de búfer y aceleración (HW).
2. Utiliza DTLS v1.2 o IKEv2, ya que te darán un mayor rendimiento. No utilices sólo TLS como protocolo de transporte, ya que esto provocará una caída/bajo rendimiento.
NOTA: El soporte DTLS 1.2 se ha introducido en ASA 9.10.xy superior. Las versiones anteriores de ASA no son compatibles con DTLS 1.2. Por lo tanto, y para evitar el error CSCvp07143 = DTLS 1.2 and AnyConnect oMTU,, se requieren las siguientes versiones mínimas del ASA:
- 9.10 (1) 22 o superior - se recomienda la última versión 9.10.x
- 9.10 (2) 1 o superior - se recomienda la última versión 9.12.x
3. Según el hardware de cabecera utilizado y/o los entornos ASA/FPR específicos del cliente, las configuraciones relacionadas con el 'crypto engine accelerator-bias' deben revisarse y/o modificarse si es necesario. Aplica la configuración de sesgo adecuada que mejor se adapte al entorno/configuración del cliente, teniendo en cuenta el protocolo de transporte primario utilizado DTLSv1.2 o IKEv2. En tu caso específico, esto no es necesario porque estás usando un 2100 pero usa la tabla a continuación para futuras referencias:
4. Cipher Suite: idealmente, el AES-GCM proporcionará los mejores resultados de rendimiento.
5. Configuración de MTU en la política de grupo: idealmente, cuanto mayor sea el valor, mejor, sin exceder nunca 1406. El valor sugerido es 1406 (al menos comienza en 1406, bajando sólo para adaptarte a los ambientes de clientes).
6. El atributo personalizado AnyConnect TunnelOptimizations DEBE estar configurado/habilitado en la Política de grupo/ASA:
webvpn anyconnect-custom-attr TunnelOptimizationsEnabled description Tunnel Optimizations Enabled anyconnect-custom-data TunnelOptimizationsEnabled False false anyconnect-custom-data TunnelOptimizationsEnabled True true group-policy <Group Policy Name> attributes anyconnect-custom TunnelOptimizationsEnabled value True
Dicho esto, pude obtener 200 Mbps de un solo cliente en la configuración de mi laboratorio.
Atentamente,
Gustavo
