Показаны сообщения с ярлыком anyconnect. Показать все сообщения
Показаны сообщения с ярлыком anyconnect. Показать все сообщения

понедельник, 6 июля 2015 г.

Cisco AnyConnect: image in use


При обновлении *.pkg файлов webdeploy дистрибутивов anyconnect на файлике для виндовса (anyconnect-win-3.1.04072-k9.pkg) процесс встал колом с невразумительными, неизвестными гуглу, сообщениями:

"Image is in use and cannot be removed"
"Image is in use and cannot be changed"

Из-за приличного размера файлы anyconnect лежат на отдельном, user flash, asa-шки, той что сзади, доступной для кастомерского рукоблудия.


Будучи извлеченной, флешка читалась/писалась без ошибок и успешно прошла fsck.

Обратно правда не встала, ибо перечитывайте доку перед, а не после:

Can I hot-swap the flash drive? For example, is it possible to change the flash drive when Cisco ASA is powered ON and running?

It is always recommended that you turn off the Cisco ASA while you insert the flash drive. This disables all the running processes and allows the ASA to recognize the flash from the boot process.


Дело шло к перезагрузке.
Перезагрузка не заладилась, на этапе чтения конфига:

....
Thread Name: pix_flash_config_thread
Abort: Watchdog failure
    vector 0x00000000
       edi 0x00000001
       esi 0x00000001
       ebp 0x6f170488
       esp 0x6f1703cc
       ebx 0x00000000
       edx 0x00000001
       ecx 0x00000001
       eax 0xfffffffc
error code n/a
       eip 0xdd6aa82b
        cs 0x00000073
    eflags 0x00003246
       CR2 0x00000000


..............

Begin to dump crashinfo to flash....

End of console dump.
Do 'show crashinfo' after reboot to retrieve other crash information
Process shutdown finished
Rebooting.....


В сухом остатке:
причина срабатывания watchdog-а да и странных проблем при замене дистрибутива anyconnect для виндовса - медленная флешка, ессно не родная, без корпоративных наклеек. Kingston 256mb compact flash.

Файлики дистров для linux и macos  втрое меньшего размера, на них низкая скорость флеша не сказывалась. Вот так жирный виндовс в очередной раз всех перемог.

Воткнутый вместо нее Transcend 45X ребут проскакивает, с asdm upload дружит. Осталось дождаться следующего затыка, теперь уже у трансенда.



воскресенье, 15 марта 2015 г.

show anyconnect logged user

Managing, Monitoring, and Troubleshooting AnyConnect Sessions

You can find both the username and the index number (established by the order of the client images) in the output of the show vpn-sessiondb svc command.

среда, 19 ноября 2014 г.

AnyConnect was not able to establish a connection to the specified secure gateway после ввода пароля.

 AnyConnect (windows) после ввода пароля выдает: 

 AnyConnect was not able to establish a connection to the specified secure gateway. Please try connect again 

Со стороны ASA:

 Nov 19 11:06:38 12.16.10.10 %ASA-4-113019: Group = anyconn_ad_tgroup, Username = UserName, IP = 185.228.213.98, Session disconnected. Session Type: SSL, Duration: 0h:00m:00s, Bytes xmt: 6773, Bytes rcv: 2550, Reason: User Requested
Nov 19 11:06:38 12.16.10.10 %ASA-6-725007: SSL session with client outside:185.228.213.98/50286 terminated.


Решение:
На клиенте включен "Internet Connection Sharing" на одном или нескольких интерфейсах. Шаринг отключить. ICS не трогать.

понедельник, 17 ноября 2014 г.

Cisco Pix/ASA hairpinning

Traffic not passing through to remote site while using AnyConnect VPN on site-to-site IPSEC tunnel. This is by design.  The ASA does not allow traffic to pass in and out of the same interface.  This is called hairpinning and is bad security design.

пятница, 17 октября 2014 г.

Cisco Anyconnect с аутентификацией в AD и группой доступа

Конфигурация aaa аналогична IPSEC VPN
Сам anyconnect в настройке сильно проще классического IPSEC-base клиента.

(применимо к 8.2.x)


10.20.30.0/24 - dmz
10.10.0.0/16 - inside
10.50.50.0/24 - pool vpn


access-list nonat extended permit ip 10.10.0.0 255.255.0.0 10.50.50.0 255.255.255.0.
access-list nonat_dmz extended permit ip 10.20.30.0 255.255.255.0 10.50.50.0 255.255.255.0.

ip local pool anyconad_pool 10.50.50.1-10.50.50.254 mask 255.255.255.0

ldap attribute-map AnyConnectAD2VPNMap
  map-name  memberOf IETF-Radius-Class
  map-value memberOf CN=RA_AnyConnect,OU=ASA,OU=suborg,DC=domain,DC=ru anyconad_policy

aaa-server AD_AnyConMain protocol ldap
 reactivation-mode timed

aaa-server AD_AnyConMain (inside) host 10.10.1.42
 ldap-base-dn OU=suborg,DC=domain,DC=ru
 ldap-group-base-dn OU=suborg,DC=domain,DC=ru
 ldap-scope subtree
 ldap-login-password SecurePassword
 ldap-login-dn cn=User,OU=ASA,OU=suborg,DC=domain,DC=ru
 server-type microsoft
 ldap-attribute-map AnyConnectAD2VPNMap

aaa-server AD_AnyConMain (inside) host 10.10.1.58
 ldap-base-dn OU=suborg,DC=domain,DC=ru        
 ldap-group-base-dn OU=suborg,DC=domain,DC=ru 
 ldap-scope subtree                          
 ldap-login-password SecurePassword         
 ldap-login-dn cn=User,OU=ASA,OU=suborg,DC=domain,DC=ru
 server-type microsoft
 ldap-attribute-map AnyConnectAD2VPNMap

group-policy NoAccessAnyCon internal
 group-policy NoAccessAnyCon attributes
 vpn-simultaneous-logins 0
 vpn-tunnel-protocol svc.
 address-pools none

group-policy anyconad_policy internal
group-policy anyconad_policy attributes
 dns-server value 10.20.30.20 10.20.30.25
 vpn-simultaneous-logins 15
 vpn-tunnel-protocol svc
 password-storage enable
 default-domain value domain.ru


tunnel-group anyconad_tgroup type remote-access
 tunnel-group anyconad_tgroup general-attributes
 address-pool anyconad_pool
 authentication-server-group AD_AnyConMain
 default-group-policy NoAccessAnyCon
 authorization-required

tunnel-group anyconad_tgroup webvpn-attributes
 group-alias "MegaCorp Co. Ltd" enable