Als Reaktion auf die jüngsten Sicherheitslücken in Ivanti Connect Secure überdenken viele Unternehmen ihre VPN-Strategie. Dieser Leitfaden bietet eine umfassende Schritt-für-Schritt-Anleitung Migrationspfad zum Cisco Secure Client (ehemals AnyConnect), behandelt die Grundlagen der Konfigurationszuordnung, Bereitstellung und Fehlerbehebung.
Warum Ivanti VPN ersetzen?
Ivanti Connect sicher (ehemals Pulse Secure) war kürzlich von mehreren Zero-Day-Sicherheitslücken betroffen, die VPN-Systeme von Unternehmen einer Remote-Ausnutzung aussetzten. Dies hat viele IT-Teams dazu veranlasst, auf robustere und sicherere Alternativen umzusteigen.
Cisco Secure Client – früher bekannt als Cisco AnyConnect und jetzt Teil von Cisco Secure Access – bietet eine stabile, weit verbreitete VPN- und Endpunkttransparenzlösung. Es lässt sich nahtlos in Cisco-Sicherheitsplattformen integrieren und unterstützt Posture Validation, Telemetrie und sicheres Tunneling.
Was ist Cisco Secure Client?
Cisco Secure Client ist die nächste Generation VPN Der von Cisco entwickelte Client ersetzt den bisherigen AnyConnect-Client und läuft auf der Cisco Secure Access-Plattform. Er bietet:
- SSL- und IPsec-VPN-Tunneling
- Unterstützung für SAML, zertifikatsbasierte und Multi-Faktor-Authentifizierung
- Host-Posture-Validierung (über Cisco ISE oder Posture-Module)
- Netzwerktelemetrie durch Network Visibility Module (NVM)
- Kompatibilität mit Windows, macOS, Linux, Android und iOS
- Integration mit Cisco ISE, Duo, Umbrella und SecureX
Schritt-für-Schritt-Migrationshandbuch
Schritt 1: Aktuelle Ivanti VPN-Konfiguration überprüfen
Sammeln Sie Informationen aus dem vorhandenen Ivanti (Connect Secure)-Setup, einschließlich:
- VPN-Gateway-Adresse (z. B. vpn.company.com)
- Authentifizierungsmethoden (LDAP, RADIUS, SAML)
- Split-Tunneling- oder Full-Tunneling-Einstellungen
- Richtlinien für die Zuweisung von DNS- und IP-Adressen
- Anforderungen an die Host Checker-Haltung
Diese Konfiguration dient als Leitfaden für die Erstellung Ihres Cisco-Profils.
Schritt 2: Ivanti-Einstellungen dem Cisco Secure Client zuordnen
Cisco Secure Client verwendet XML-basierte Profilkonfigurationsdateien. Sie können den Cisco Profile Editor verwenden oder XML-Dateien manuell erstellen, die den Ivanti Richtlinien entsprechen.
| Konfigurationselement | Ivanti VPN | Cisco Secure Client |
| Gateway-Adresse | vpn.company.com | Gleich |
| Authentifizierung | LDAP / SAML | LDAP / SAML / Zertifikat |
| Split-Tunnel-Regeln | ACL-basiert | SplitInclude / SplitExclude in XML |
| DNS-Einstellungen | Richtlinienserver | Profildefiniert oder ISE-gepusht |
| Endpunkt-Haltung | Host-Checker | Cisco ISE + Posture-Modul |
Hinweis: Stellen Sie bei SAML-Konfigurationen sicher, dass Ihr Identitätsanbieter (IdP) wie Okta oder Azure AD sowohl Ivanti- als auch Cisco-Integrationen unterstützt.
Schritt 3: Pilotversuch durchführen
Führen Sie vor der vollständigen Bereitstellung Pilottests mit ausgewählten Benutzern durch:
- Installieren Sie Cisco Secure Client mit VPN-Modul
- Laden Sie .xml-Konfigurationsprofile in das richtige Verzeichnis
- Testen Sie VPN-Verbindung, Authentifizierung (insbesondere SAML), Tunnelverhalten
- Überwachen Sie Client-Protokolle auf Verbindungs- oder Statusprobleme
Schritt 4: Vollständige Bereitstellung
Führen Sie Cisco Secure Client mithilfe von Unternehmenstools unternehmensweit ein:
- Windows/macOS: Microsoft Intune, SCCM, Gruppenrichtlinie
- Mobilgeräte: Cisco Secure Client aus dem App Store / Google Play
- VPN-Profile über MDM vorladen oder in Bereitstellungspaket einschließen
- Optionale Module: Umbrella Roaming, Duo MFA, Network Visibility Module
Stellen Sie sicher, dass die Benutzer über die Verbindung und Authentifizierung mit dem neuen Client informiert sind.
Schritt 5: Ivanti außer Betrieb nehmen
Sobald alle Endpunkte umgestellt sind:
- Entfernen oder widerrufen Sie alte Ivanti VPN-Profile
- Deinstallieren Sie Ivanti Clients von Benutzergeräten
- Überprüfen Sie, ob alle Routen, DNS-Auflösungen und Posture-Richtlinien in Cisco funktionieren.
- Stellen Sie sicher, dass die Cisco Secure Client-Lizenzierung (plus ASA- oder FTD-Headend) vorhanden ist
Fehlerbehebung bei häufigen Problemen
Häufig gestellte Fragen
F1: Ist Cisco Secure Client dasselbe wie AnyConnect?
A: Ja. Cisco Secure Client ist der neue Name für AnyConnect und Teil von Cisco Secure Access und bietet erweiterte Funktionen und Integration.
F2: Kann ich Ivanti VPN-Profile direkt in Cisco importieren?
A: Nein. Sie müssen sie manuell mithilfe der XML-Profilstruktur von Cisco neu erstellen.
F3: Unterstützt Secure Client die SAML-basierte Authentifizierung?
A: Ja. Es unterstützt SAML durch die Integration mit Identitätsanbietern wie Okta und Azure AD.
F4: Kann ich Secure Client über MDM oder GPO bereitstellen?
A: Ja. Cisco Secure Client ist mit den meisten Bereitstellungsplattformen für Unternehmen kompatibel, darunter Intune, Jamf und SCCM.
Fazit
Die Migration von Ivanti VPN zu Cisco Secure Client hilft Unternehmen, die Sicherheit des Fernzugriffs zu verbessern und sich auf moderne Zero-Trust-Netzwerke vorzubereiten. Mit sorgfältiger Planung und Konfigurationszuordnung kann der Übergang reibungslos, skalierbar und für Benutzer transparent erfolgen.