Підключення до VPN Cisco AnyConnect без збереженого сертифіката або загальної таємниці


19

Багато людей обговорювали налаштування вбудованого VPN-клієнта OS X для підключення до VPN Cisco замість клієнта AnyConnect. Однак уся дискусія зосереджена на копіюванні критичної інформації конфігурації (зокрема, загальної таємниці або сертифіката) з файлу PCF або Profile.xml, включеного в специфічний для інсталятора сайт AnyConnect.

Інсталятор AnyConnect, де я зараз перебуває (версія 4.2.01035), схоже, не розгортає інформацію про профіль. /opt/cisco/anyconnect/profileмістить лише AnyConnectProfile.xsd(стандартне визначення схеми, нічого конкретного для цієї конфігурації). Там немає ніяких ознак будь - яких профіль XML або PCF файлів , які я можу знайти в /opt/cisco, /Libraryабо $HOME/Library.

Це відповідає досвіду користувальницького інтерфейсу: здається, що не було налаштованих профілів. Натомість, при першому запуску я просто отримую порожнє поле VPN, в яке я просто вводите ім'я хоста вручну (у цьому випадку ucbvpn.berkeley.edu) і натискаю підключитися. Це дає підказку для входу, включаючи спадне меню вибору групи та поля ім’я користувача та пароль. Просто введення імені користувача та пароля ініціює з'єднання в режимі, визначеному даною "групою", і все працює добре.

Однак я не можу зрозуміти, як цю конфігурацію можна повністю перенести на рідний VPN-клієнт OS X. Перенесення вибраного імені групи зі списку, здавалося б, автоматично виявлено клієнтом AnyConnect, але, схоже, конфігурація VPN VP X також вимагає явного введення або загальної таємниці, або сертифіката.

Я найкраще здогадуюсь, що клієнт Cisco працює в, можливо, новому режимі, де він може вести переговори безпосередньо з сервером для автоматичного виявлення будь-якої необхідної інформації про конфігурацію, і що він ніде не зберігається на диску. Хтось має досвід роботи з подібними налаштуваннями, чи є якісь пропозиції спробувати ще?


На жаль, я також не можу знайти файл конфігурації. Насправді здається, що клієнт просто отримує інформацію з сервера. Може, якось можна нюхати трафік? Чи є у вас якісь новини про це?
Бенджамін Герцог

При підключенні до сервера vpn є два запити POST. Перший містить інформацію для показаної форми, другий після подання цієї форми. Це створює сеанс [id | маркер], але я не бачу там ніяких файлів конфігурації VPN / інформації: /
Бенджамін Герцог

3
Якісь цікаві оновлення?
фліндеберг

У моєму випадку у мене є каталог, наповнений профілями та іншими .xml файлами, і я просто не знаю, що вибрати - моя мета однакова - мати можливість позбутися клієнта Cisco Anyconnect. Це жахливо і нудно, і його інтеграція з ОС справді погана. Я дуже хотів би, якщо це можливо, використовувати рідний клієнт ОС. Ви маєте ідею, на що звернути увагу? Я знаю "Групу користувачів", але знову ж таки - я не знаю "загальної таємниці" або "Сертифікату" і як їх отримати
Motti Shneor

Відповіді:


3

Я вважаю, що клієнт AnyConnect може використовуватися для підключення до декількох типів VPN, пропонованих Cisco. Вищеописаний процес спонукає мене до думки, що ви підключаєтесь до SSL-VPN. SSL-VPN не вимагає використання спільного секрету для першого шару шифрування. Натомість клієнт і сервер автоматично домовляються про шифрування першого рівня за допомогою SSL. Тоді вас просять підтвердити повноваження та членство в групі. Залишок вашого сеансу VPN унікально шифрується після автентифікації.

Ви можете зафіксувати з'єднання так, що замість того, щоб вводити свої облікові дані кожен раз, ви можете зберігати їх у своєму брелоку та просто ініціювати з'єднання із оболонки чи іншого сценарію. Я зробив це кілька років тому тут: http://www.wellingtonnet.net/code/2014-02-04/cisco_anyconnect_client_mac.html

Я помітив, що з кожним оновленням AnyConnect мені доводилося виправляти цей скрипт, тому використовуйте його як приклад та йдіть звідти. Минуло рік, як я востаннє потребував підключення через AnyConnect.


3
Мене насправді найбільше цікавило, тому що я сподівався налаштувати з'єднання, використовуючи лише вбудовану реалізацію VPN macOS, і зовсім не доведеться встановлювати або запускати AnyConnect. Але дякую за вклад.
jrk

@jrk ж, а також TheWellington ваш подібний мертвий
Макс Коплан
Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.