ASA limiet gebruik van VPNuser?

[Sjowhan]

Aangezien ik het totaal niet kan terugvinden in documentatie en via google, hoop ik dat hier iemand mij kan helpen met het volgende probleem.

Wij hebben sinds begin januari een "nieuwe eigen" gebruikersomgeving (voorheen was deze gedeeld met een ander bedrijf in het pand) voorzien van DC's en een Exchange server, inclusief een snelle lijn naar buiten. Deze lijn is beveiligd dmv een ASA (5510), waar ook de VPN verbinding op geconfigureerd is, waardoor er ook vanuit huis via VPN 'thuisgewerkt' kan worden op het netwerk.

Nu blijkt er 1 probleem te zijn waar ik nu mee zit; de ASA 5510 heeft schijnbaar (althans, ik kan nergens vinden waar dit staat) een limitatie op het gebruik van een username/password bij een VPN verbinding. Er wordt namelijk gebruik gemaakt van 1 VPNuser voor alle gebruikers die een laptop hebben, aangezien dit het gemakkelijkste was (dit wordt enkel gebruikt voor de VPN verbinding, de authenticatie op het netwerk gaat wel op basis van de AD-user).
Mochten er nu 3 gebruikers zijn ingelogd via de VPN, krijgt een nieuwe verbinding geen toegang meer; pas als een van de verbonden gebruikers de VPN heeft verbroken, is het (weer) mogelijk om een nieuwe connectie op te bouwen.

Dat het niet aan de ASA of aan de verbinding ligt, heb ik uitgesloten om een tijdelijke extra VPNuser aan te maken, en deze daarna te testen. Dit werkt (helaas) perfect.

Weet iemand of er inderdaad een limitatie is op het gebruik van 1 user? Of dat het (ergens, somewhere) geconfigureerd is in de ASA?
Ik heb de ASDM al geheel doorgespit, maar kan (helaas) nergens de limitatie vinden.

[Vicarious]

Ik zal morgen op de zaak eens kijken, maar volgens mij kun je ergens het aantal simultaneous logins per account instellen. Waarschijnlijk staat dat nu default op 3. Wellicht kun je het ook apart voor die ene centrale user-account aanpassen.

MAargoed, als je een AD en een ASA hebt, waarom installeer je dan niet gewoon op een servertje Internet Authentication Server (IAS) en ga je met Radius authenticeren? Dan kunnen ze ook voor de VPN met hun eigen gebruikersnaam en wachtwoord inloggen.

[Sjowhan]

De instelling zat inderdaad in de 'default' Grouppolicy die gevolgd werd door de ingestelde policy voor de VPN; ik heb op basis van een "simultaneous login"-zoekopdracht (welliswaar via de webVPN, maar 't is wat dat betreft bijna allemaal gelijk) gevonden dat het in de grouppolicy moet zitten link.

Op basis daarvan ben ik in de Grouppolicy gaan kijken van de VPN optie (via de ASDM), en kwam inderdaad het cijfer "3" tegen. Ik heb dit verhoogd, en verwacht zo geen problemen meer bij het inloggen vanuit huis.

Bedankt voor de suggestie van de simultaneous logins, ik was daar zelf nog niet op gekomen

edit: er is voor de cisco-vpn gekozen zodat de 'resources' van de primary DC niet ook gebruikt worden voor de VPN verbinding. Daarnaast ben je niet afhankelijk van een systeem, zodat ik bijv. in het weekend ook (ivm updates) de systemen kan rebooten zonder dat ik uit de VPN-verbinding wordt gegooid.

[ Voor 17% gewijzigd door Sjowhan op 28-01-2010 11:36 ]

[bazkar]

Op zich is de IAS server geen hoge belasting van een DC hoor.
En je kunt eventueel een secondary group policy aanmaken met local accounts voor administrator gebruik. Het delen van wachtwoorden is in mijn ogen erg onhandig.
(Denk maar aan het moeten wijzigen van het wachtwoord als er iemand uit dienst gaat etc etc)

[Pyrowired]

Sjowhan schreef op donderdag 28 januari 2010 @ 11:34:
er is voor de cisco-vpn gekozen zodat de 'resources' van de primary DC niet ook gebruikt worden voor de VPN verbinding. Daarnaast ben je niet afhankelijk van een systeem, zodat ik bijv. in het weekend ook (ivm updates) de systemen kan rebooten zonder dat ik uit de VPN-verbinding wordt gegooid.

Je kan op de ASA configureren dat je d.m.v. Radius kan inloggen en mocht de Radius server niet beschikbaar zijn via lokale ASA accounts.

De ASA maakt alleen bij het opzetten van de VPN verbinding met de Radius server, daarna kan je de radius server zo vaak herstarten als je wilt maar de verbinding hoort dan gewoon actief te blijven.

Gebruik regelmatig de VPN verbinding via een PIX die dmv radius gebruikers controleert om onder andere de Radius server te herstarten bij updates e.d.