Cisco Cisco ASA 5555-X Adaptive Security Appliance

 

 

© 2012 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 

Page 10 of 16 

1.  The ASA supports the Simple Certificate Enrollment Protocol (SCEP) to simplify certificate distribution. 

2.  Use the iPCU software to create a .mobileconfig file and include the certificate (.pfx) file. The administrator can 

then forward the .mobileconfig file to the user. When the user launches the file, it will install certificates to the 

device. 

3.  The Cisco Identity Services Engine (ISE) native supplicant provisioning process can be used to distribute user 

certificates. 

4.  Enterprise MDM software can provision and publish certificates to registered devices. 

5.  On Windows laptops that have joined the AD domain, Microsoft group policy object (GPO) policies can be 

used to distribute machine certificates. 

18, 19

The AnyConnect client uses SCEP to securely issue and renew a certificate used for client authentication. The 

remote user launches AnyConnect and authenticates using Active Directory or a one-time token password for the 

first time. After establishing the VPN, the ASA pushes a client profile that includes the SCEP request. The 

AnyConnect client then sends a certificate request and the CA automatically accepts or denies the request. The 

certificate is installed in the device native certificate store. For all subsequent connections the AnyConnect client 

uses the newly obtained certificate for authentication and will never prompt the user for a password. 

Enhancing the Usability of the VPN Connection 

After the VPN connection is established, there are many session parameters in the ASA that define the user 

experience of Cisco AnyConnect and Jabber. We will discuss some of the best practices for these parameters. 

Datagram Transport Layer Security (DTLS)

20

 

DTLS is a standards-based SSL protocol that provides a low-latency data path using UDP. DTLS allows the 

AnyConnect client establishing an SSL VPN connection to use two simultaneous tunnels - an SSL tunnel and a 

DTLS tunnel. DTLS avoids latency and bandwidth problems and improves the performance of real-time 

applications such as Jabber that use RTP media streams on UDP. If DTLS is configured and UDP is interrupted, 
the remote user’s connection automatically falls back from DTLS to TLS. DTLS is enabled by default when using 

AnyConnect and is a valuable and essential feature to ensure the most optimal remote Jabber connection. 

                                                 

18

 SCEP: 

19

 SCEP-2: 

20

 DTLS: