Cisco AnyConnect: Conexión VPN con usuario RDP
Que tal amigos de troubleshootnic!
Ya ha pasado un tiempo desde mi última publicación en la página, sin embargo estamos retomando labores en publicar y seguir trayendoles nuevo contenido sobre soporte de redes, colaboración y en general de TI.
En este post hablaremos de un caso de soporte bastante común entre usuarios del cliente Cisco Anyconnect. Recordemos que este cliente es usado por los Firewalls ASA y los NGFW Firepower de Cisco, el cliente puede ser utilizado tanto en windows, MAC OS, linux, android y Iphone; aunque en algunas ocasiones por politicas internas, las conexiones VPN no se realizan desde la computadora local sino que es necesario conectarse a un servidor remoto para establecer la sesión.
La siguiente imagen describe el escenario anterior:
Bajo este esquema, el servidor windows es administrado por el usuario de RDP, aunque a primera vista no parece un problema para el uso de aplicaciones instaladas en el server, el cliente anyconnect puede detectar qué tipo de usuario esta loggeado en windows para permitir o no conexiones VPN para dicho usuario. Esta característica se encuentra en su archivo profile, el cual es un archivo XML con las configuraciones locales del cliente.
El archivo se encuentra en la dirección: “C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile”
La clave “<WindowsVPNEstablishment>LocalUsersOnly</WindowsVPNEstablishment>” es quien controla que tipo de usuarios se pueden conectar a través del cliente.
Es usual ver el siguiente error en el cliente Anyconnect: “VPN establishment capability for a remote user is disabled. A VPN connection will not be established.” cuando se intenta realizar conexiones VPN con usuario RDP.
Para permitir usuarios remotos es necesario cambiar el valor de esta clave “LocalUsersOnly” por “AllowRemoteUsers”, se recomienda realizar estos cambios con una copia del archivo XML de preferencia con nuevo nombre.
El nuevo archivo XML modificado deberá de subirse al group policy de la VPN remota en el firewall sea ASA o Firepower, ya que de no reemplazar el archivo en el group policy este seguirá descargandose cada vez que se conecte al perfil de VPN, lo que sobre escribirá la configuracion previamente guardada. Aunque existen hacks como el del blog expta que reemplazan el archivo de profile antes del error de conexion de anyconnect.
El cambio del profile en Firepower Management Center se realiza de la siguiente manera:
1- Cargamos el archivo profile XML desde el Object Management de FMC, dirigiendonos a Objects -> Object management -> VPN -> Anyconnect Files
2- Asignamos el profile XML al group policy deseado:
3- Guardamos cambios y desplegamos la configuración. En este punto la VPN remota tomará los cambios y la proxima vez que se realice una conexión VPN los clientes actualizarán su archivo profile local.
Para finalizar, es recomendable desinstalar e instalar nuevamente el cliente para eliminar cualquier archivo basura que haya quedado en windows.
Con esto concluimos el post y no olviden en comentar cualquier duda o sugerencia para nuestro blog, todo comentario constructivo es bienvenido. 🙂 Hasta la proxima!
