Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konventionen

VPN 3000 Concentrator-Zertifikate für VPN-Clients

Überprüfen

Fehlerbehebung

Zugehörige Informationen

Einführung

Dieses Dokument enthält schrittweise Anweisungen zur Konfiguration der Cisco VPN Concentrators der Serie 3000 mit VPN-Clients unter Verwendung von Zertifikaten.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine speziellen Anforderungen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf der Cisco VPN 3000 Concentrator Software, Version 4.0.4A.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie in den Cisco Technical Tips Conventions (Technische Tipps zu Konventionen von Cisco).

VPN 3000 Concentrator-Zertifikate für VPN-Clients

Führen Sie diese Schritte aus, um VPN 300 Concentrator-Zertifikate für VPN-Clients zu konfigurieren.

1. Die IKE-Richtlinie muss für die Verwendung von Zertifikaten im Manager der VPN 3000 Concentrator-Serie konfiguriert werden. Um die IKE-Richtlinie zu konfigurieren, wählen Sie Configuration > System > Tunneling Protocols > IPsec > IKE Proposal aus, und verschieben Sie CiscoVPNClient-3DES-MD5-RSA in die aktiven Angebote.

2. Sie müssen auch die IPsec-Richtlinie so konfigurieren, dass Zertifikate verwendet werden. Wählen Sie Configuration > Policy Management > Traffic Management > Security Associations (Konfiguration > Richtlinienmanagement > Datenverkehrsmanagement > Sicherheitszuordnungen) aus, markieren Sie ESP-3DES-MD5, und klicken Sie dann auf Modify, um die IPsec-Richtlinie für die Konfiguration der IPsec-Richtlinie zu konfigurieren.

3. Wählen Sie im Fenster Ändern unter Digitale Zertifikate das installierte Identitätszertifikat aus. Wählen Sie unter IKE-Angebot die Option CiscoVPNClient-3DES-MD5-RSA aus, und klicken Sie auf Apply.

4. Um eine IPsec-Gruppe zu konfigurieren, wählen Sie Configuration > User Management > Groups > Add aus, fügen Sie die Gruppe IPSECCERT hinzu (der IPSECCERT-Gruppenname stimmt mit der Organisationseinheit (OU) im Identitätszertifikat überein), und wählen Sie ein Kennwort aus.

Dieses Kennwort wird nirgends verwendet, wenn Sie Zertifikate verwenden. In diesem Beispiel ist "cisco123" das Kennwort.

5. Klicken Sie auf derselben Seite auf die Registerkarte Allgemein, und wählen Sie IPsec als Tunneling Protocol aus.

6. Klicken Sie auf die Registerkarte IPsec (IPsec), und stellen Sie sicher, dass Ihre konfigurierte IPsec Security Association (SA) unter IPsec SA (IPsec-SA) ausgewählt ist, und klicken Sie auf Apply (Übernehmen).

7. Um eine IPsec-Gruppe im VPN 3000-Konzentrator zu konfigurieren, wählen Sie Konfiguration > Benutzerverwaltung > Benutzer > Hinzufügen, geben Sie einen Benutzernamen, ein Kennwort und den Gruppennamen an, und klicken Sie dann auf Hinzufügen.

Im Beispiel werden folgende Felder verwendet:

- Benutzername = cert_user

- Kennwort = cisco123

- Verifizieren = cisco123

- Gruppe = IPSECCERT

8. Um das Debuggen auf dem VPN 3000 Concentrator zu aktivieren, wählen Sie Configuration > System > Events > Classes aus, und fügen Sie folgende Klassen hinzu:

- CERT 1-13

- IKE 1-6

- IKEDBG 1-10

- IPSEC 1-6

- IPSECDBG 1-10

9. Wählen Sie Monitoring > Filterable Event Log (Überwachung > Filterbares Ereignisprotokoll, um die Debuggen anzuzeigen.

Hinweis: Wenn Sie die IP-Adressen ändern möchten, können Sie die neuen IP-Adressen registrieren und das ausgestellte Zertifikat später mit diesen neuen Adressen installieren.

Überprüfen

Für diese Konfiguration ist derzeit kein Überprüfungsverfahren verfügbar.

Fehlerbehebung

Weitere Informationen zur Fehlerbehebung finden Sie unter Beheben von Verbindungsproblemen im VPN 3000 Concentrator.

Zugehörige Informationen

- Cisco VPN Concentrators der Serie 3000

- Cisco VPN 3002 Hardware-Clients

- IPsec-Aushandlung/IKE-Protokolle

- Technischer Support und Dokumentation - Cisco Systems