le - dernière modification le par
Monica Lluis
Dinesh Moudgil est un ingénieur du support technique High Touch (HTTS) avec l'équipe de sécurité de Cisco. Il travaille sur les technologies Cisco depuis plus de 6 ans, se concentrant sur les pare-feux Cisco Next Generation, les systèmes de prévention des intrusions, la gestion des identités et le contrôle d'accès (AAA) et les VPN. Il détient les certifications CCNP, CCDP et CCIE # 58881, ainsi que les certifications de plusieurs fournisseurs tels que ACE, PCNSE et VCP.
Pulkit Saxena travaille en tant qu'ingénieur de support technique High Touch (HTTS) dans le domaine de la sécurité avec Cisco avec près de 7 ans d'expérience dans l'industrie pour l'équipe. Il a une expérience pratique avec plusieurs pare-feux, différentes solutions VPN, AAA et IPS de nouvelle génération, ainsi que l'enseignement de plusieurs formations. Pulkit détient les certifications de divers fournisseurs, à savoir Cisco et Juniper (CCIE Security et JNCIA).
Jason Grudier est le leader technique de l'équipe VPN TAC à Raleigh, Caroline du Nord. Il travaille chez Cisco au sein de l'équipe VPN depuis six ans. Avant de rejoindre l'équipe, il était ingénieur réseau chez Labcorp. Il travaille principalement sur le dépannage et la configuration d'AnyConnect sur toutes les plateformes Cisco ainsi que les authentifications DMVPN, GETVPN, Radius, LDAP et certificats.
Gustavo Medina est Ingénieur Commercial Systèmes au sein de l'équipe de ventes des Réseaux d'Entreprise. Il a plus de 10 ans d'expérience dans la sécurité et les réseaux d'entreprise. Au cours de sa carrière, il s'est concentré sur différentes tâches, de l'escalade technique et l'adoption de partenaires à la révision des évaluations de Certification Cisco. Gustavo est titulaire d'un CCNA, CCNP CCSI et d'un CCIE en sécurité (# 51487).Note : En posant une question sur ce forum, vous nous autorisez à être traduit dans toutes les langues disponibles dans la communauté. Nos experts pourraient ne pas être en mesure de répondre immédiatement à chaque question. N'oubliez pas que vous pouvez poursuivre également des conversations sur ce sujet dans les discussions de Sécurité.
Cet événement est gratuit et ouvert à tous les publics, y compris les partenaires commerciaux, les ingénieurs réseau et télécommunications, les étudiants et les clients de Cisco.
Posez vos questions ! Toutes les questions par rapport aux solutions de Sécurité seront répondues : AnyConnect, VPN, Adaptive Security Appliance ASA, Politique d'accès dynamique (Dynamic Access Policy), scan d'hôte (Host Scan), détection de réseau de confiance (Trusted Network Detection TND), sélection de passerelle optimale (Optimal Gateway Selection OGS), WFO, licenses et meilleures pratiques, entre autres.
Posez vos questions du 6 au 17 avril 2020.
** Les compliments encouragent la participation de tous nos membres et experts **
Complimentez leur réponses à vos questions pour les remercier !
Bonjour Marvin,
Voici quelques points clés :
1. Utilisez AnyConnect 4.7.x ou supérieur car nous avons résolu certains problèmes du buffer et accéleration hardware (HW).
2. Utilisez DTLS v1.2 ou IKEv2, car ils entraîneront des performances supérieures. N'utilisez pas uniquement TLS comme protocole de transport, car cela entraînerait une baisse / une mauvaise performance.
REMARQUE: la prise en charge de DTLS 1.2 a été introduite dans les versions ASA 9.10.x et supérieures. Les versions ASA précédentes ne prennent pas en charge DTLS 1.2. Par conséquent, et pour éviter le Bug CSCvp07143, l'aperçu des bogues pour CSCvp07143 = DTLS 1.2 et AnyConnect oMTU, les versions minimales suivantes de l'ASA sont requises:
- 9.10 (1) 22 ou supérieur - dernière version 9.10.x recommandée
- 9.10 (2) 1 ou supérieur - dernière version 9.12.x recommandée
3. En fonction du matériel de tête de réseau utilisé et/ou des environnements ASA/FPR spécifiques du client, la ou les configurations concernant le "crypto engine accelerator-bias" doivent être revues et/ou modifiées le cas échéant. Appliquez les paramètres de biais appropriés qui conviennent le mieux à l'environnement / à la configuration du client, en tenant compte du protocole de transport principal utilisé DTLSv1.2 ou IKEv2. Dans votre cas spécifique, cela n'est pas nécessaire car vous utilisez un 2100 mais utilisez le tableau ci-dessous pour référence future :
4. Cipher Suite: Idéalement, l'AES-GCM fournira les meilleurs résultats de performance.
5. Configuration MTU sur la stratégie de groupe (group policy): Idéalement, plus la valeur est élevée, mieux c'est, sans jamais dépasser 1406. La valeur suggérée est 1406 (au minimum démarrez à 1406, abaissement uniquement pour s'adapter aux environnements du client).
6. L'attribut personnalisé AnyConnect TunnelOptimizations DOIT ÊTRE configuré/activé sur l'ASA/Group Policy :
webvpn
anyconnect-custom-attr TunnelOptimizationsEnabled description Tunnel Optimizations Enabled
anyconnect-custom-data TunnelOptimizationsEnabled False false
anyconnect-custom-data TunnelOptimizationsEnabled True true
group-policy <Group Policy Name> attributes
anyconnect-custom TunnelOptimizationsEnabled value True
Cela étant dit, j'ai pu obtenir 200 Mbps à partir d'un seul client dans ma configuration de laboratoire.
Cordialement,
Gustavo
