Ctrlk
For the complete documentation index, see llms.txt. This page is also available as Markdown.

ASA AnyConnect VPN

Інтеграції Hideez Enterprise Server - SAML - ASA AnyConnect VPN

Основна інформація

Цей документ описує, як налаштувати Security Assertion Markup Language (SAML) із фокусом на Adaptive Security Appliance (ASA) AnyConnect через Hideez Enterprise Server.

Hideez Enterprise Server підтримує стандарт SAML 2.0 для автентифікації користувачів. Hideez Enterprise Server виступає як провайдер ідентифікації (IdP), що дозволяє забезпечити одноразовий вхід (SSO) для всіх веб-застосунків (постачальників послуг, SP), які підтримують SAML.

Оскільки Hideez Enterprise Server підтримує безпарольну авторизацію за стандартом FIDO2, постачальники послуг автоматично отримують можливість здійснювати авторизацію за допомогою апаратних ключів безпеки без необхідності створення та введення паролів.

Hideez Enterprise Server безпроблемно інтегрується з Cisco ASA VPN, забезпечуючи додаткову безпеку входу в Cisco AnyConnect VPN.

Необхідні умови

Вимоги

Cisco рекомендує володіти знаннями з таких тем:

  • Базові знання налаштування віддаленого доступу (RA VPN) на ASA.

  • Базові знання SAML та Microsoft Active Directory.

  • Наявність ліцензій для AnyConnect (APEX або VPN-Only).

Використані компоненти

Інформація в цьому документі базується на наступних версіях програмного та апаратного забезпечення:

  • Hideez Enterprise Server 3.9+

  • Microsoft Active Directory.

  • Cisco ASA 9.7+ і AnyConnect 4.6+

  • Працюючий профіль AnyConnect VPN

Інформація в цьому документі створена на основі пристроїв у лабораторному середовищі. Усі пристрої використовуються з початковою конфігурацією за замовчуванням. Якщо ваша мережа є активною, переконайтеся, що ви розумієте можливий вплив будь-якої команди.

Також ви можете прив’язати користувачів до конкретних ролей додатка на основі правил, які ви визначите в налаштуваннях Active Directory, Cisco ASA та AnyConnect.

Компоненти SAML

Метадані: Це XML-документ, який забезпечує безпечну транзакцію між IdP та SP. Він дозволяє IdP та SP узгоджувати домовленості, як-от сертифікати безпеки та URL-адреси, щоб встановити зв’язок. Cisco ASA використовує метадані IdP для налаштування VPN для одноразового входу (SSO) через SAML, а Hideez Enterprise Server підтримує обмін метаданими з Cisco ASA для налаштування зв’язку між IdP та SP.

Налаштування SAML для Hideez Enterprise Server та ASA AnyConnect VPN

Крок 1. Налаштування профілю підключення AnyConnect

  1. Перейдіть у розділ Configuration -> Remote Access VPN -> Network (Client) Access -> AnyConnect Connection Profiles на Cisco ASA.

  2. Створіть новий профіль або відредагуйте наявний.

  3. У полі Primary Authentication виберіть SAML як метод автентифікації та оберіть Hideez Enterprise Server як постачальника SAML.

  4. У полі Group Policy оберіть групову політику, яку потрібно використовувати.

Крок 2. Налаштування Hideez Enterprise Server для SAML

  1. Перейдіть до розділу SAML Configuration на Hideez Enterprise Server.

  2. Завантажте метадані IdP, які ви отримаєте після налаштування на ASA. Це дозволить автоматично встановити зв’язок між Cisco ASA та Hideez Enterprise Server.

  3. Заповніть поля, пов'язані з VPN, включаючи Assertion Consumer Service (ACS) URL та інші специфічні параметри.

  4. Переконайтеся, що дозволи для користувачів налаштовані відповідно до політик доступу вашої організації.

Крок 3. Перевірка налаштувань

  1. Запустіть AnyConnect VPN та виберіть профіль, який ви налаштували для SAML.

  2. Після входу вас буде перенаправлено на сторінку автентифікації Hideez Enterprise Server.

  3. Пройдіть процес автентифікації. Якщо налаштування коректне, ви зможете увійти без пароля, використовуючи метод автентифікації, підтримуваний Hideez Enterprise Server (наприклад, FIDO2).

Перевірка

Після успішного налаштування переконайтеся, що користувачі можуть підключатися до Cisco ASA через AnyConnect із використанням Hideez Enterprise Server для автентифікації.

  1. Перевірка входу користувача: Переконайтеся, що користувачі можуть успішно авторизуватися через SAML і підключатися до VPN.

  2. Перевірка журналів: Перегляньте журнали подій на Hideez Enterprise Server і Cisco ASA, щоб переконатися, що процес SAML працює коректно і всі події відображаються.

Вирішення проблем

Проблема: AnyConnect не може підключитися за допомогою SAML

  • Переконайтеся, що метадані IdP та SP узгоджені.

  • Переконайтеся, що сертифікати на Hideez Enterprise Server і Cisco ASA оновлені та дійсні.

  • Перевірте, чи правильно налаштовані URL-адреси в метаданих IdP та SP.

Проблема: Користувачі не перенаправляються на Hideez Enterprise Server для автентифікації

  • Перевірте конфігурацію AnyConnect і переконайтеся, що SAML вибрано як метод автентифікації.

  • Переконайтеся, що SAML-конфігурація Hideez Enterprise Server відповідає параметрам профілю підключення на ASA.

Висновок

Ця конфігурація дозволяє інтегрувати Cisco ASA AnyConnect з Hideez Enterprise Server через SAML, забезпечуючи безпарольний доступ до VPN.

Last updated