AnyConnect ソフトウェアおよびプロファイルの更新は、ヘッドエンドへの接続時に使用可能で、かつクライアントによって許可されている場合に発生します。ヘッドエンドに対して AnyConnect 更新の設定を行うと、更新を使用できるようになります。VPN ローカル ポリシー ファイルの更新ポリシー設定によって、更新が許可されるかどうかが決まります。

更新ポリシーは、ソフトウェア ロックと呼ばれることもあります。複数のヘッドエンドが設定されている場合、更新ポリシーはマルチ ドメイン ポリシーとも呼ばれます。

デフォルトでは、更新ポリシー設定ではすべてのヘッドエンドからのソフトウェアおよびプロファイルの更新を許可します。これを制限するには、次のように更新ポリシー パラメータを設定します。

• [サーバ名（Server Name）]Server Name リストにヘッドエンドを指定することで、特定のヘッドエンドにすべての AnyConnect ソフトウェアおよびプロファイルの更新を許可（認証）します。

  ヘッドエンドのサーバ名は FQDN または IP アドレスで指定できます。また、*.example.com のようにワイルドカードにすることもできます。

  更新がどのように発生するかの詳細については、下記の「許可されたサーバ更新ポリシーの動作」を参照してください。

• 他のすべての無指定または認証されていないヘッドエンドの場合：

  • [任意のサーバからのソフトウェア更新を許可（Allow Software Updates From Any Server）]Allow Software Updates From Any Server オプションを使用して、VPN コア モジュールおよびその他のオプション モジュールのソフトウェア更新を許可または拒否します。

  • [任意のサーバからのVPNプロファイル更新を許可（Allow VPN Profile Updates From Any Server）]Allow VPN Profile Updates From Any Server オプションを使用して、VPN プロファイルの更新を許可または拒否します。

  • [任意のサーバからのサービスプロファイル更新を許可（Allow Service Profile Updates From Any Server）]Allow Service Profile Updates From Any Server オプションを使用して、その他のサービス モジュール プロファイルの更新を許可または拒否します。

  • [任意のサーバからの ISE ポスチャ プロファイル更新を許可（Allow ISE Posture Profile Updates From Any Server）] オプションを使用して ISE ポスチャ プロファイルの更新を許可または拒否します。
  • [任意のサーバからのコンプライアンス モジュール更新を許可（Allow Compliance Module Updates From Any Server）] オプションを使用して、コンプライアンス モジュールの更新を許可または拒否します。

    更新がどのように発生するかの詳細については、下記の「不正なサーバ更新ポリシーの動作」を参照してください。

[サーバ名（Server Name）]Server Name リストで識別されている、許可されたヘッドエンドに接続する場合は、他の更新ポリシー パラメータは適用されず、次のようになります。

• ヘッドエンド上の AnyConnect パッケージのバージョンがクライアント上のバージョンと比較され、ソフトウェアの更新が必要かどうかが判断されます。

  • AnyConnect パッケージのバージョンがクライアント上のバージョンより古い場合、ソフトウェアは更新されません。

  • AnyConnect パッケージのバージョンがクライアント上のバージョンと同じである場合、ヘッドエンドでダウンロード対象として設定され、クライアントに存在しないソフトウェア モジュールのみがダウンロードされてインストールされます。

  • AnyConnect パッケージのバージョンがクライアント上のバージョンより新しい場合、ヘッドエンドでダウンロード対象として設定されたソフトウェア モジュール、およびすでにクライアントにインストールされているソフトウェア モジュールがダウンロードされてインストールされます。

• ヘッドエンド上の VPN プロファイル、ISE ポスチャ プロファイル、および各サービス プロファイルが、クライアント上の該当プロファイルと比較され、更新が必要かどうかが判断されます。

  • ヘッドエンド上のプロファイルがクライアント上のプロファイルと同じ場合は、プロファイルは更新されません。

  • ヘッドエンド上のプロファイルがクライアント上のプロファイルと異なる場合、プロファイルがダウンロードされます。

非正規のヘッドエンドに接続すると、次のような、[任意のサーバからの更新を許可する（Allow ... Updates From Any Server ）] オプションを使用して AnyConnect の更新方法が決定されます。

• Allow Software Updates From Any Server:

  • このオプションがオンの場合、この認証されていない ASA に対してソフトウェア更新が許可されます。更新は、認証されたヘッドエンドに対する、上記のようなバージョン比較に基づきます。

  • このオプションがオフの場合、ソフトウェア更新は行われません。また、バージョン比較に基づく更新を行う必要があった場合、VPN 接続の試行は終了します。

• Allow VPN Profile Updates From Any Server:

  • このオプションがオンの場合、VPN プロファイルは、ヘッドエンドの VPN プロファイルがクライアントのものと異なる場合に更新されます。

  • このオプションがオフの場合、VPN プロファイルは更新されません。また、差異に基づく VPN プロファイル更新を行う必要があった場合、VPN 接続の試行は終了します。

• Allow Service Profile Updates From Any Server:

  • このオプションがオンの場合、各サービス プロファイルは、ヘッドエンドのプロファイルがクライアントのものと異なる場合に更新されます。

  • このオプションがオフの場合、サービス プロファイルは更新されません。

• Allow ISE Posture Profile Updates From Any Server:

  • このオプションがオンの場合、ISE ポスチャ プロファイルは、ヘッドエンドの ISE ポスチャ プロファイルがクライアントのものと異なる場合に更新されます。

  • このオプションがオフの場合、ISE ポスチャ プロファイルは更新されません。ISE ポスチャ プロファイルは、ISE ポスチャ エージェントを機能させるために必要です。

• Allow Compliance Module Updates From Any Server:

  • このオプションがオンの場合、コンプライアンス モジュールは、ヘッドエンドのコンプライアンス モジュールがクライアントのものと異なる場合に更新されます。

  • このオプションがオフの場合、コンプライアンス モジュールは更新されません。コンプライアンス モジュールは、ISE ポスチャ エージェントを機能させるために必要です。

• 認証された [サーバ名（Server Name）]Server Name リストにサーバの IP アドレスを表示することで、リモート ユーザはヘッドエンドにその対応する IP アドレスを使用して接続できます。ユーザが IP アドレスを使用して接続しようとしたときに、ヘッドエンドが FQDN でリストされている場合、この試行は、認証されていないドメインへの接続として扱われます。

• ソフトウェア更新には、カスタマイズ、ローカリゼーション、スクリプト、およびトランスフォームのダウンロードが含まれます。ソフトウェア更新が許可されていない場合、これらの項目はダウンロードされません。一部のクライアントがスクリプトの更新を許可しない場合、ポリシーの適用にスクリプトを使用しないでください。

• Always-Onを有効にした状態で VPN プロファイルをダウンロードすると、クライアントの他のすべての VPN プロファイルが削除されます。認証されていない、または社外のヘッドエンドからの VPN プロファイルの更新を許可するかどうかを決定する場合は、このことを考慮してください。

• インストールおよび更新ポリシーによって VPN プロファイルがクライアントにダウンロードされない場合、次の機能は使用できません。

  サービス無効化	信頼されていないネットワーク ポリシー
  証明書ストアの上書き	信頼できる DNS ドメイン
  事前接続メッセージの表示	信頼できる DNS サーバ
  ローカル LAN へのアクセス	Always-On
  ログイン前の起動	キャプティブ ポータル修復
  ローカル プロキシ接続	スクリプティング
  PPP 除外	ログオフ時の VPN の保持
  自動 VPN ポリシー	必要なデバイス ロック
  信頼されたネットワーク ポリシー	自動サーバ選択

• ダウンローダは、ダウンロード履歴を記録する個別のテキスト ログ（UpdateHistory.log）を作成します。このログは、更新時刻、クライアントを更新した ASA、更新されたモジュール、インストールされているバージョン（アップグレードの前および後）を含みます。このログ ファイルは、次の場所に保存されます。

  %AllUsers%\Application Data\Cisco\Cisco AnyConnect Secure Mobility Client\Logs ディレクトリ。

この例では、クライアントの AnyConnect バージョンがさまざまな ASA ヘッドエンドと異なる場合のクライアントの更新動作を示します。

VPN ローカル ポリシー XML ファイルでの更新ポリシーが次のようになっているとします。

<?xml version="1.0" encoding="UTF-8"?>
<AnyConnectLocalPolicy acversion="2.4.140"
xmlns=http://schemas.xmlsoap.org/encoding/
xmlns:xsi=http://www.w3.org/2001/XMLSchema-instance
xsi:schemaLocation="http://schemas.xmlsoap.org/encoding/ AnyConnectLocalPolicy.xsd">
<FipsMode>false</FipsMode>
<BypassDownloader>false</BypassDownloader><RestrictWebLaunch>false</RestrictWebLaunch>
<StrictCertificateTrust>false</StrictCertificateTrust>
<RestrictPreferenceCaching>false</RestrictPreferenceCaching>
<RestrictTunnelProtocols>false</RestrictTunnelProtocols>
<UpdatePolicy>
<AllowSoftwareUpdatesFromAnyServer>true</AllowSoftwareUpdatesFromAnyServer>
<AllowVPNProfileUpdatesFromAnyServer>true</AllowVPNProfileUpdatesFromAnyServer>
<AllowServiceProfileUpdatesFromAnyServer>true</AllowServiceProfileUpdatesFromAnyServer>
<AllowISEProfileUpdatesFromAnyServer>false</AllowISEProfileUpdatesFromAnyServer>
<AllowComplianceModuleUpdatesFromAnyServer>true</AllowComplianceModuleUpdatesFromAnyServer>
<AuthorizedServerList>
   <ServerName>seattle.example.com</ServerName>
   <ServerName>newyork.example.com</ServerName>
    </AuthorizedServerList>
</UpdatePolicy>
</AnyConnectLocalPolicy>

ASA ヘッドエンド設定は次のようになっています。

次の更新シーケンスは、クライアントが現在 AnyConnect VPN およびネットワーク アクセス マネージャ モジュールを実行している場合に実行可能です。

• クライアントは、同じバージョンの AnyConnect が設定された、認証されたサーバである seattle.example.com に接続します。Web セキュリティ プロファイル、および、可能な場合は、Web セキュリティ ソフトウェア モジュールがダウンロードおよびインストールされます。VPN およびネットワーク アクセス マネージャ プロファイルがダウンロード可能で、かつクライアントのものとは異なる場合、それらのプロファイルもダウンロードされます。

• 次に、クライアントは、AnyConnect の新しいバージョンが設定された、認証された ASA である newyork.example.com に接続します。VPN、ネットワーク アクセス マネージャ、および Web セキュリティ モジュールがダウンロードおよびインストールされます。ダウンロード可能で、かつクライアントのものとは異なるプロファイルもダウンロードされます。

• 次に、クライアントは、認証されていない ASA である raleigh.example.com に接続します。ソフトウェア更新が許可されるため、VPN、ネットワーク アクセス マネージャ、Web セキュリティ、およびポスチャ モジュールはすべてアップグレードされます。VPN プロファイルとサービス プロファイルの更新は許可されないため、ダウンロードされません。VPN プロファイルが（差異に基づいて）更新可能であった場合、接続は終了します。