PIX/ASA: voorbeeld van configuratie van automatische update van IPsec VPN-client

Inleiding

Dit document beschrijft hoe u de functie Cisco VPN Client Auto-Update kunt configureren in de Cisco ASA 5500 Series adaptieve security applicatie en Cisco PIX 500 Series security applicaties.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco ASA 5500 Series adaptieve security applicatie draait versie 7.x en hoger

• Cisco PIX 500 Series security applicaties werken versie 7.x en hoger

• Cisco Adaptieve Security Device Manager (ASDM) versie 5.x en hoger

• Cisco VPN-client 4.x en hoger

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Conventies

Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.

Clientupdate voor Windows configureren met CLI

Met de functie voor het bijwerken van de client kunnen beheerders op een centrale locatie automatisch VPN-clientgebruikers op de hoogte stellen wanneer het tijd is om de VPN-clientsoftware en het image van de VPN 3002-hardwareclient bij te werken.

Geef het client-update commando uit in tunnelgroep ipsec-attributen configuratiemodus om client update te configureren. Als de client al een softwareversie draait op de lijst met revisienummers, hoeft de client de software niet bij te werken. Als de client geen softwareversie in de lijst uitvoert, moet deze worden bijgewerkt. U kunt maximaal vier vermeldingen voor het bijwerken van de client opgeven.

De opdrachtsyntaxis is als volgt:

client-update type type {url url-string} {rev-nums rev-nums} 
no client-update [type]

• rev-nummers-rev-nummers—Specificeert de software of firmware-afbeeldingen voor deze client. Voer maximaal vier in, gescheiden door komma's.

• type—Specificeert de besturingssystemen die op de hoogte moeten worden gesteld van een client update. De lijst van besturingssystemen omvat de volgende componenten:

  • Microsoft Windows: alle Windows-platforms

  • WIN9X: Windows 95, Windows 98 en Windows ME-platforms

  • WinNT: Windows NT 4.0, Windows 2000 en Windows XP-platforms

  • vpn3002: VPN 3002 hardwareclient

• url url-string—Specificeert de URL voor de software/firmware-afbeelding. Deze URL moet verwijzen naar een bestand dat geschikt is voor de client.

In dit voorbeeld worden client-updateparameters geconfigureerd voor de externe toegangstunnelgroep remotegrp. Het geeft het revisienummer 4.6.1 en de URL aan voor het ophalen van de update, namelijk https://support/updates.

hostname(config)#tunnel-group remotegrp type ipsec_ra
hostname(config)#tunnel-group remotegrp ipsec-attributes
hostname(config-ipsec)#client-update type windows url 
https://support/updates/rev-nums 4.6.1

Clientupdate voor Windows configureren met ASDM

Dit document gaat ervan uit dat de basisconfiguratie, zoals de interfaceconfiguratie, al gemaakt is en goed werkt.

HTTP-toegang voor ASDM toestaan om de ASA door de ASDM te kunnen configureren

ASDM omvat twee soorten client-update: één die Windows-clients en VPN 3002 hardware-clients ondersteunt via een tunnelgroep, en de andere die ASA-apparaten ondersteunt die fungeren als een auto-update server.

De verre gebruikers kunnen verouderde software van VPN of de versies van de hardwareclient gebruiken. U kunt op elk moment een client-update uitvoeren om deze functies uit te voeren:

• Het bijwerken van client herzieningen inschakelen.

• Specificeer de types en de revisienummers van cliënten waarop de update van toepassing is.

• Geef een URL of IP-adres op van waaruit u de update kunt ontvangen.

• Waarschuwen Windows-clientgebruikers optioneel dat ze hun VPN-clientversie moeten bijwerken.

• Voor Windows-clients kunt u een mechanisme bieden waarmee gebruikers de update kunnen uitvoeren.

• Voor de gebruikers van de hardwareclient van VPN 3002, komt de update automatisch, zonder bericht voor.

Voltooi de volgende stappen om een client-update te configureren:

1. Kies Configuratie > VPN > Algemeen > Clientupdate om naar het venster voor het bijwerken van de client te gaan. Het venster Client Update wordt geopend.

   1. Schakel het aanvinkvakje Enable Client Update in om het bijwerken van de client in te schakelen.

   2. Kies het type client waarop u de client-update wilt toepassen. De beschikbare clienttypen zijn All Windows-Based, Windows 95, 98 of ME, Windows NT 4.0, 2000 of XP en VPN 3002 Hardware Client.

      Als de client al een softwareversie draait op de lijst met revisienummers, hoeft de client de software niet bij te werken. Als de client geen softwareversie in de lijst uitvoert, moet deze worden bijgewerkt. U kunt maximaal drie van deze client update items specificeren. De selectie Alle Windows Gebaseerd dekt alle toegestane Windows platforms. Als u deze optie selecteert, moet u niet de afzonderlijke Windows-clienttypen opgeven.

   3. Klik op Bewerken om de aanvaardbare clientherzieningen en de bron voor de bijgewerkte software of firmware-afbeelding voor de client-update op te geven.

      

2. Het venster Client Update Entry bewerken verschijnt en toont de selectie van het clienttype.

   

3. Geef de client-update op die u wilt toepassen op alle clients van het geselecteerde type in het gehele security apparaat. Dat wil zeggen, specificeer het type client, het URL- of IP-adres waar de bijgewerkte afbeelding vandaan moet komen, en het acceptabele revisienummer of -nummers voor die client. U kunt maximaal vier revisienummers opgeven, gescheiden door komma's. Uw items worden weergegeven in de juiste kolommen in de tabel in het venster voor upgrade van client nadat u op OK hebt geklikt.

   Als het aantal van de cliëntrevisie één van de gespecificeerde revisieaantallen aanpast, is er geen behoefte om de cliënt bij te werken.

   Opmerking: voor alle Windows-clients moet u het protocol http:// of https:// gebruiken als voorvoegsel voor de URL. Voor de VPN 3002 hardwareclient moet u protocol tftp:// opgeven.

   Het initieert een client-update voor alle Windows-clients voor een externe toegangstunnel-groep met herzieningen ouder dan 4.6.1 en specificeert de URL voor het ophalen van de update als https://support/updates:

   

   U kunt ook de client update alleen configureren voor individuele client types, in plaats van voor alle Windows clients, die u kunt zien of stap 1-c.

   VPN 3002-clients updaten zonder tussenkomst van de gebruiker en gebruikers ontvangen geen melding.

   U kunt de browser automatisch een toepassing laten starten als u de toepassingsnaam aan het eind van de URL opneemt; bijvoorbeeld: https://support/updates/vpnclient.exe.

4. Optioneel kunt u een bericht verzenden naar actieve gebruikers met verouderde Windows-clients die hun client moeten bijwerken. Gebruik het gebied Live Client Update in het venster Client Update om deze melding te verzenden. Kies de tunnelgroep (of Alle) en klik op Nu bijwerken. Er verschijnt een dialoogvenster in de afbeelding en u wordt gevraagd te bevestigen dat u de verbonden clients op de hoogte wilt stellen van de upgrade.

   

   De aangewezen gebruikers zien een pop-up venster, dat hen de kans biedt om een browser te lanceren en de bijgewerkte software van de plaats te downloaden die u in de URL specificeerde. Het enige deel van dit bericht dat u kunt configureren is de URL (zie stappen 1-b of 1-c.) Gebruikers die niet actief zijn krijgen een melding wanneer ze zich de volgende keer aanmelden. U kunt dit bericht verzenden naar alle actieve klanten in alle tunnelgroepen, of u kunt het verzenden naar klanten in een bepaalde tunnelgroep.

   Als het aantal van de cliëntrevisie één van de gespecificeerde revisieaantallen aanpast, is er geen behoefte om de cliënt bij te werken, en geen bericht wordt verzonden naar de gebruiker. VPN 3002-clients updaten zonder tussenkomst van de gebruiker en gebruikers ontvangen geen melding.

Verifiëren

Er is momenteel geen verificatieprocedure beschikbaar voor deze configuratie.

Gerelateerde informatie

• Technische ondersteuning en documentatie – Cisco Systems