配置ASA和AnyConnect动态拆分隧道

下载选项

  • PDF     (771.6 KB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (378.4 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (440.7 KB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2026 年 7 月 10 日
文档 ID:215383

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍如何通过ASDM为动态拆分排除隧道配置AnyConnect安全移动客户端。

先决条件

要求

Cisco 建议您了解以下主题：

  • ASA基础知识。
  • Cisco AnyConnect安全移动客户端基础知识。

使用的组件

本文档中的信息基于以下软件版本：

  • ASA 9.12(3)9
  • 自适应安全设备管理器(ASDM)7.13(1)
  • AnyConnect 4.7.0

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

AnyConnect分割隧道允许Cisco AnyConnect安全移动客户端通过IKEV2或安全套接字层(SSL)安全访问企业资源。 在AnyConnect版本4.5之前，根据在自适应安全设备(ASA)上配置的策略，拆分隧道行为可以是Tunnel Specified、Tunnel All或Exclude Specified。

随着云托管计算机资源的出现，服务有时会根据用户的位置或云托管资源的负载解析到不同的IP地址。

由于AnyConnect安全移动客户端提供到静态子网范围、主机或IPV4或IPV6池的分割隧道，因此网络管理员在配置AnyConnect时很难排除域/FQDN。例如，网络管理员希望将Cisco.com域从拆分隧道配置中排除，但Cisco.com的DNS映射会更改，因为它是云托管的。

通过使用动态拆分排除隧道，AnyConnect动态解析托管应用的IPv4/IPv6地址，并确保路由表和过滤器中的必要更改以允许隧道外部进行连接。

从AnyConnect 4.5开始，可以使用动态拆分隧道，其中AnyConnect动态解析托管应用的IPv4/IPv6地址，并对路由表和过滤器进行必要的更改，以允许隧道外部进行连接

配置

本节介绍如何在ASA上配置Cisco AnyConnect安全移动客户端。

网络图

下图显示了用于本文档示例的拓扑。

Dynamic Split Tunneling-Diagram

步骤1.创建AnyConnect自定义属性

  

导航到Configuration > Remote Access VPN > Network(Client)Access > Advanced > AnyConnect Custom Attributes。单击Add按钮，并设置dynamic-split-exclude-domains属性和可选说明，如图所示：

Dynamic Split Tunneling 01

步骤2.创建AnyConnect自定义名称和配置值

导航到Configuration > Remote Access VPN > Network(Client)Access > Advanced > AnyConnect Custom Attribute Names。单击Add按钮，并设置先前从Type（任意名称和值）创建的dynamic-split-exclude-domains属性，如图所示：

注意不要在Name中输入空格（例如，可以使用cisco-site，但是cisco site是不可能的）。 在值中注册多个域或FQDN时，用逗号(,)分隔。

Dynamic Split Tunneling 02

步骤3.将类型和名称添加到组策略

导航到Configuration > Remote Access VPN > Network(Client)Access > Group Policies，然后选择Group Policy。然后，导航到Advanced > AnyConnect Client > Custom Attributes，添加已配置的Type和Name，如图所示：

Dynamic Split Tunneling 03

CLI配置示例

本节提供动态分割隧道的CLI配置以供参考：

ASAv10# show run
  --- snip ---
webvpn
 enable outside
 AnyConnect-custom-attr dynamic-split-exclude-domains description Dynamic Split Tunneling
 hsts
  enable
  max-age 31536000
  include-sub-domains
  no preload
 AnyConnect image disk0:/AnyConnect-win-4.7.04056-webdeploy-k9.pkg 1
 AnyConnect enable
 tunnel-group-list enable
 cache
  disable
 error-recovery disable
AnyConnect-custom-data dynamic-split-exclude-domains cisco-site www.cisco.com,tools.cisco.com,community.cisco.com
group-policy GroupPolicy_AnyConnect-01 internal
group-policy GroupPolicy_AnyConnect-01 attributes
 wins-server none
 dns-server value 10.0.0.0
 vpn-tunnel-protocol ssl-client
 split-tunnel-policy tunnelall
 split-tunnel-network-list value SplitACL
 default-domain value cisco.com
 AnyConnect-custom dynamic-split-exclude-domains value cisco-site

限制

  • 使用Dynamic Split Tunneling自定义属性需要ASA 9.0版或更高版本。
  • 不支持Values字段中的通配符。
  • iOS(Apple)设备不支持动态拆分隧道(增强请求：Cisco Bug ID CSCvr54798)。

验证

要验证已配置的Dynamic Tunnel Exclusions,AnyConnect在客户端上启动软件，请点击Advanced Window > Statistics，如图所示：

Dynamic Split Tunneling 04

您还可以导航到Advanced Window > Route Details选项卡，在该选项卡中可以验证Dynamic Tunnel Exclusions列在Non-Secure Routes下，如图所示。

Dynamic Split Tunneling 05

在本示例中，您在动态隧道排除列表下配置了www.cisco.com，并且在AnyConnect客户端物理接口上收集的Wireshark捕获确认到www.cisco.com(198.51.100.0)的流量未被DTLS加密。

Dynamic Split Tunneling 06

故障排除

如果值字段中使用了通配符

如果在Values字段中配置了通配符，例如，在Values中配置了*.cisco.com，则AnyConnect会话将断开连接，如日志所示：

Apr 02 2020 10:01:09: %ASA-4-722041: TunnelGroup <AnyConnect-01> GroupPolicy <GroupPolicy_AnyConnect-01> User <cisco> IP <172.16.0.0> No IPv6 address available for SVC connection
Apr 02 2020 10:01:09: %ASA-5-722033: Group <GroupPolicy_AnyConnect-01> User <cisco> IP <172.16.0.0> First TCP SVC connection established for SVC session.
Apr 02 2020 10:01:09: %ASA-6-722022: Group <GroupPolicy_AnyConnect-01> User <cisco> IP <172.16.0.0> TCP SVC connection established without compression
Apr 02 2020 10:01:09: %ASA-6-722055: Group <GroupPolicy_AnyConnect-01> User <cisco> IP <172.16.0.0> Client Type: Cisco AnyConnect VPN Agent for Windows 4.7.04056
Apr 02 2020 10:01:09: %ASA-4-722051: Group <GroupPolicy_AnyConnect-01> User <cisco> IP <172.16.0.0> IPv4 Address <172.16.0.0> IPv6 address <::> assigned to session
Apr 02 2020 10:01:09: %ASA-6-302013: Built inbound TCP connection 8570 for outside:172.16.0.0/44868 (172.16.0.0/44868) to identity:203.0.113.0/443 (203.0.113.0/443)
Apr 02 2020 10:01:09: %ASA-4-722037: Group <GroupPolicy_AnyConnect-01> User <cisco> IP <172.16.0.0> SVC closing connection: Transport closing.
Apr 02 2020 10:01:09: %ASA-5-722010: Group <GroupPolicy_AnyConnect-01> User <cisco> IP <172.16.0.0> SVC Message: 16/ERROR: Configuration received from secure gateway was invalid..
Apr 02 2020 10:01:09: %ASA-6-716002: Group <GroupPolicy_AnyConnect-01> User <cisco> IP <172.16.0.0> WebVPN session terminated: User Requested.
Apr 02 2020 10:01:09: %ASA-4-113019: Group = AnyConnect-01, Username = cisco, IP = 172.16.0.0, Session disconnected. Session Type: AnyConnect-Parent, Duration: 0h:00m:10s, Bytes xmt: 15622, Bytes rcv: 0, Reason: User Requested
note-icon

注意：或者，您可以使用Values中的cisco.com域来允许www.cisco.com和tools.cisco.com等FQDN。

如果未在Route Details选项卡中看到非安全路由

当客户端启动排除目标的流量时，AnyConnect客户端会自动获取并添加Route Details选项卡中的IP地址和FQDN。

要验证AnyConnect用户是否已分配到正确的Anyconnect组策略，可以运行命令show vpn-sessiondb anyconnect filter name <username>:

ASAv10# show vpn-sessiondb anyconnect filter name cisco

Session Type: AnyConnect

Username     : cisco                 Index : 7
Assigned IP  : 172.16.0.0         Public IP : 10.0.0.0
Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License      : AnyConnect Premium
Encryption   : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES-GCM-256
Hashing      : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA384
Bytes Tx     : 7795373               Bytes Rx : 390956
Group Policy : GroupPolicy_AnyConnect-01
Tunnel Group : AnyConnect-01
Login Time   : 13:20:48 UTC Tue Mar 31 2020
Duration     : 20h:19m:47s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                   VLAN : none
Audt Sess ID : 019600a9000070005e8343b0
Security Grp : none

一般故障排除

您可以使用AnyConnect诊断和报告工具(DART)收集有助于排除AnyConnect安装和连接问题的数据。DART向导用于运行AnyConnect的计算机。DART将日志、状态和诊断信息整合为思科技术支持中心(TAC)分析，不需要管理员权限即可在客户端计算机上运行。

相关信息

修订历史记录

版本 发布日期 备注
5.0
10-Jul-2026
更新的拼写、语法、间距、插入的行，可读性各部分、更新的URL、编辑的内部部分和CCW警报。
4.0
19-Sep-2023
更新的样式要求、品牌设置和格式。
3.0
21-Jun-2023
Update（更新）
2.0
02-Aug-2022
机器翻译掩蔽，结构，语法。
1.0
14-Apr-2020
初始版本
TAC Authored

由思科工程师提供

  • 中村大辅
    思科TAC工程师
  • 普拉尚乔希
    思科TAC工程师

此文档是否有帮助?

Feedback反馈

联系我们