VPN客户端FAQ

下载选项

  • PDF     (701.7 KB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (91.4 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (92.3 KB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2014 年 11 月 6 日
文档 ID:45102

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档对有关 Cisco VPN Client 的常见问题提供了解答。

注意：以下是各种VPN客户端的命名约定：

  • Cisco 安全 VPN Client 仅限版本 1.0 到 1.1a

  • Cisco VPN 3000 Client 仅限版本 2.x

  • Cisco VPN Client 仅限 3.x 及更高版本

有关文档规则的详细信息，请参阅 Cisco 技术提示规则。

下载 VPN Client 软件

问：在哪里可以下载Cisco VPN客户端软件？

答：您必须登录并持有有效的服务合同才能访问Cisco VPN Client软件。Cisco VPN Client软件可从Cisco Download Software(仅限注册客户)页面下载。如果您没有与Cisco.com配置文件关联的有效服务合同，则无法登录并下载VPN客户端软件。

要获得有效的服务合同，您可以：

问： Cisco VPN Client下载区域显示为空白。为什么？

A.当您到达Software Center的VPN client区域时(仅限注册客户)，请确保在页面中间为您的所需操作系统选择下载区域。

问：如何在安装Cisco VPN客户端的过程中禁用状态防火墙功能？

A.对于低于5.0的VPN客户端版本：

请参阅VPN客户端版本4.7发行版本注释的文档更改部分，以了解两个主题“使用MSI安装没有状态防火墙的Windows VPN客户端”和“使用InstallShield安装没有状态防火墙的Windows VPN客户端”。

对于5.0之后的VPN客户端版本：

从Cisco VPN Client版本5.0.3.0560开始，添加了MSI安装标志，以避免在防火墙文件中安装指导：

msiexec.exe /i vpnclient_setup.msi DONTINSTALLFIREWALL=1

有关此问题的详细信息，请参阅不需要状态防火墙时绕过防火墙文件的安装部分。

问：如何卸载或升级Cisco VPN客户端？

A.有关如何手动卸载(InstallShield)并为Windows 2000和Windows XP升级Cisco VPN客户端3.5版及更高版本的信息，请参阅删除安装有MSI安装程序的VPN客户端版本。

适用于Windows 2000和Windows XP软件的Cisco VPN Client可以通过隧道从VPN 3000集中器或可提供通知的其他VPN服务器自动安全地下载更新和新版本。此命令的最低前提条件是远程用户的PC上必须安装Windows 4.6或更高版本的VPN客户端才能使用自动更新功能。

使用此功能（称为自动更新）时，用户无需卸载旧版本的软件、重新启动、安装新版本，然后再次重新启动。相反，管理员在Web服务器上提供更新和配置文件，当远程用户启动VPN客户端时，软件会检测到有可用的下载并自动获取该下载。有关详细信息，请参阅管理自动更新和自动更新的工作原理。

有关如何使用ASDM在Cisco ASA系列5500自适应安全设备上配置客户端更新的信息，请参阅使用ASDM配置客户端软件更新。

问：我想为Vista自定义VPN客户端。我意识到，对于Vista的新VPN客户端版本，没有oem.mst等文件。如何自定义新的VPN客户端版本(5.x)，或者在哪里可以找到此文件？

答：MST文件不再随VPN客户端提供，但您可以从“下载软件”(仅限注册客户)页面下载：

文件名:Readme and MST for installation on the international version of Windows。

操作系统

问：思科是否为Windows Vista提供VPN客户端？

答：新版本Cisco VPN Client 5.0.07支持x86（32位）和x64上的Windows Vista。有关详细信息，请参阅5.0.07.0240发行版本注释。

注意：仅在Windows Vista全新安装上支持Cisco VPN客户端，这意味着任何Windows操作系统到Windows Vista的升级都不受VPN客户端软件支持。您必须全新安装Windows Vista，然后安装Vista VPN客户端软件。

注意：  如果没有与您的 Cisco.com 简档关联的有效服务合同，您将无法登录和下载 VPN 客户端软件。有关详细信息，请参阅下载 VPN Client 软件。

提示：Cisco AnyConnect VPN客户端现在可用于Windows操作系统，包括Vista 32和64位。AnyConnect Client 支持 SSL 和 DTLS。现在还不支持 IPSec。此外，AnyConnect 仅可与运行 8.0(2) 版本或更高版本的 Cisco 自适应安全设备一起使用。该客户端也可以在 weblaunch 模式下与运行 12.4(15)T 版本的 IOS 设备一起使用。不支持 VPN 3000。

可以从软件中心（仅限注册用户）获取 Cisco AnyConnect VPN Client 和 ASA 8.0。 有关 AnyConnect Client 的详细信息，请参阅 Cisco AnyConnect VPN Client 发行版本注释。有关 ASA 8.0 的详细信息，请参阅 Cisco ASA 5500 系列自适应安全设备发行版本注释。

注意：  如果没有与 Cisco.com 简档关联的有效服务合同，您将无法登录和下载 AnyConnect VPN Client 或 ASA 软件。 有关详细信息，请参阅下载 VPN Client 软件。

问：如何从Microsoft Windows PC设置PPTP连接？

答：安装程序取决于您运行的Microsoft Windows的版本。有关具体信息，您应联系 Microsoft。以下是一些常见版本的Windows的设置说明：

Windows 95

  1. 安装 Msdun13.exe。
  2. 选择 Programs > Accessories > Dial Up Networking。
  3. 创建名为“PPTP”的新连接。
  4. 选择 VPN Adapter 作为连接设备。
  5. 输入交换机公共接口的IP地址，然后单击Finish。
  6. 返回您刚刚创建的连接，单击鼠标右键，然后选择属性。
  7. 在Allowed Network Protocols下，至少取消选中netbeui。
  8. 配置 Advanced Options 设置：
    1. 保留默认设置，允许交换机和客户端自动协商身份验证方法。
    2. 启用 Require Encrypted Password 以强制执行质询握手身份验证协议 (CHAP) 身份验证。
    3. 启用 Require Encrypted Password 和 Require Data Encryption 以强制执行 MS-CHAP 身份验证。

Windows 98

  1. 要安装PPTP功能，请完成以下步骤：
    1. 选择开始>设置>控制面板>添加新硬件，然后单击下一步。
    2. 单击Select from List，选择Network Adapter，然后单击Next。
    3. 在左侧面板中选择Microsoft，在右侧面板中选择Microsoft VPN Adapter。
  2. 要配置PPTP功能，请完成以下步骤：
    1. 选择 Start > Programs > Accessories > Communications > Dial Up Networking。
    2. 单击Make new connection，然后选择Microsoft VPN Adapter以选择设备。VPN 服务器 IP 地址 = 3000 隧道端点。
  3. 完成以下步骤以将PC更改为也允许密码身份验证协议(PAP):

    注意：Windows 98的默认身份验证是使用密码加密（CHAP或MS-CHAP）。

    1. 选择 Properties > Server types。
    2. 取消选中 Require encrypted password。可在该区域配置数据加密（Microsoft 点对点加密 [MPPE] 或没有 MPPE）。

Windows 2000

  1. 选择 Start > Programs > Accessories > Communications > Network and Dialup connections。
  2. 单击Make new connection，然后单击Next。
  3. 选择Connect to a private network through the Internet and Dial a connection prior（如果您有LAN，请勿选择此项），然后单击Next。
  4. 输入隧道终端(3000)的主机名或IP地址。
  5. 如果需要更改密码类型，请选择Properties > Security for the connection > Advanced。默认值是 MS-CHAP 和 MS-CHAP v2（不是 CHAP 或 PAP）。 可在该区域配置数据加密（MPPE 或没有 MPPE）。

Windows NT

请参阅通过 Microsoft 客户端和服务器安装、配置和使用 PPTP。leavingcisco.com

问：哪些操作系统版本支持Cisco VPN客户端？

A.为VPN客户端不断添加对其他操作系统的支持。请参阅VPN客户端5.0.07的发行版本注释中的系统要求来确定这一点，或参阅支持IPsec/PPTP/L2TP的Cisco硬件和VPN客户端。

注意：

  • VPN客户端支持双处理器和双内核工作站，适用于Windows XP和Windows Vista。

  • Windows VPN客户端版本4.8.00.440是官方支持Windows 98操作系统的最终版本。

  • Windows VPN客户端版本4.6.04.0043是官方支持Windows NT操作系统的最终版本。

  • Cisco VPN Client版本5.0.07支持Windows Vista和Windows 7(x86（32位）和x64（64位）版本。

  • Cisco VPN客户端仅支持Windows XP 32位，但不支持Windows XP 64位。

    注意：所有5.x版本均提供Windows Vista 32位支持。Cisco VPN客户端5.0.07版添加了64位支持。

问：要加载VPN客户端，是否需要成为Windows NT/2000计算机上的管理员？

答：是，您必须具有管理员权限才能在Windows NT和Windows 2000上安装VPN客户端，因为这些操作系统需要管理员权限才能绑定到现有的网络驱动程序或安装新的网络驱动程序。VPN Client 软件是一种网络软件。必须具备管理员权限才能安装。

问：Cisco VPN客户端能否与同一台计算机上安装的Microsoft Internet Connection Sharing(ICS)配合工作？

答：不，Cisco VPN 3000客户端与同一台计算机上的Microsoft ICS不兼容。必须先卸载 ICS，然后才能安装 VPN Client。有关详细信息，请参阅在 Microsoft Windows XP 上准备安装或升级到 Cisco VPN Client 3.5.x 时禁用 ICS。

虽然不能在同一台 PC 上同时安装 VPN Client 和 ICS，但以下安排却有用。

vpnclientfaq.gif

问：我的VPN客户端似乎只连接到特定地址。我运行的是 Windows XP。我该怎么办？

A.验证Windows XP中的内置防火墙是否已禁用。

问：Cisco VPN客户端是否与Windows XP状态防火墙兼容？

A.此问题已得到解决。查看Bug Toolkit中的Cisco Bug ID CSCdx15865（仅限注册客户）以了解更多详细信息。

问：当我在Windows XP和Windows 2000上安装VPN客户端时，是否禁用了多用户界面？

A.安装会禁用欢迎屏幕和快速用户切换。查看Bug Toolkit中的Cisco Bug ID CSCdu24073（仅限注册客户），了解更多详细信息。

问：如何使Linux的VPN客户端在执行后移到后台？如果我发起连接，例如 vpnclient connect foo，可以进入连接，但 shell 返回。

A.登录后，键入：

  • ^Z

  • bg

问：在Windows XP Home Edition上安装Cisco VPN Client时，任务栏不可见。如何复原？

A.选择控制面板>网络连接>删除网桥以调整此设置。

问：当我尝试在RedHat 8.0上安装Linux VPN客户端时，我收到一个错误，指出模块无法加载，因为模块是使用GCC 2编译的，内核是使用GCC 3.2编译的。我该怎么办？

答：这是因为RedHat的新版本具有更新版本的GCC编译器(3.2+)，这会导致当前的Cisco VPN客户端失败。此问题已解决，在 Cisco VPN 3.6.2a 中即可使用新版编译器。查看Bug Toolkit中的Cisco Bug ID CSCdy49082(仅注册客户)，了解更多详细信息或从VPN软件中心下载软件(仅注册客户)。

问：在Windows XP上安装VPN客户端3.1时，为什么软件会禁用快速用户切换？

答：在注册表中指定GINA.dll时，Microsoft会自动禁用Windows XP中的快速用户切换。Cisco VPN Client 会安装 CSgina.dll 以实现“Start Before Login”功能。如果需要快速用户切换，请禁用“Start Before Login”功能。注册用户可以在Bug Toolkit中的Cisco Bug ID CSCdu24073（仅限注册客户）中获取更多信息。

问：IPsec VPN客户端是否支持Windows 7上的登录前启动(SBL)功能？

A. Windows7上的IPsec VPN客户端不支持SBL功能。AnyConnect VPN客户端支持该功能。

错误消息

问：当我安装Cisco VPN Client 4.x时，我收到以下错误消息：警告201:The necessary VPN sub-system is not available.您无法连接到远程VPN服务器

A.此问题可能是由安装在VPN客户端计算机上的防火墙软件包引起的。为了避免产生此错误消息，请确保在安装过程中，您的 PC 上没有安装或运行防火墙或防病毒程序。

问：我升级到Mac OS X 10.3（称为“Panther”），但现在Cisco VPN Client 4.x显示以下错误消息：安全VPN连接由客户端原因本地终止：无法联系安全网关

答：您必须将UseLegacyIKEPort=0添加到Cisco VPN客户端4.x的/etc/CiscoSystemsVPNClient/Profiles/目录中的配置文件（.pcf文件），才能与Mac OS X 10.3(“Panther”)配合使用。

问：当我尝试卸载VPN客户端时，我收到以下错误消息：错误消息：找不到卸载文件……此错误消息意味着什么？如何成功完成卸载？

A.检查网络控制面板，确保未安装确定性NDIS扩展器(DNE)。同时选择 Microsoft > Current Version > Uninstall，检查卸载文件。删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall\{5624C000-B109-11D4-9DB4-00E0290FCAC5}文件，然后重试卸载。

问：无法在Windows 2000 Professional上安装VPN客户端。我收到以下错误：无法安装安装支持文件。灾难性故障。我该怎么办？

A.删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Currentversion\Uninstall密钥。然后重新启动计算机，并重新安装 VPN Client。

注意：要在路径HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Currentversion\Uninstall\<key to be determined>下查找Cisco VPN Client软件的正确密钥，请转到HKEY_LOCAL_MACHINE\SOFTWARE\Cisco Systems\，然后单击VPN Client。在右侧窗口中，查看Uninstall Path（卸载路径）（在Name列下）。 对应的 Data 列显示 VPN Client 密钥值。请注意此密钥，转到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Currentversion\Uninstall\，选择确定的密钥，然后将其删除。

有关详细信息，请参阅Bug Toolkit中的初始化错误故障排除leavingcisco.com，并参阅Cisco Bug ID CSCdv15391(仅限注册客户)。

问：当我尝试在RedHat 8.0上安装Linux VPN客户端时，我收到一个错误，指出模块无法加载，因为模块是使用GCC 2编译的，内核是使用GCC 3.2编译的。我该怎么办？

A.出现此问题是因为新版本的RedHat具有更新版本的GCC编译器(3.2+)，这会导致当前的Cisco VPN Client失败。此问题已解决，在 Cisco VPN 3.6.2a 中即可使用新版编译器。查看Bug Toolkit中的Cisco Bug ID CSCdy49082 (仅注册客户)了解更多详细信息，或从VPN软件中心(仅注册客户)下载软件。

问：当我的Linux客户端3.5尝试建立到PIX或VPN 3000集中器的IPsec连接时，我收到“peer no longer responding”错误消息。我该怎么办？

答：此问题的症状是Linux客户端似乎尝试连接，但它从未收到网关设备的响应。

Linux 操作系统具备内置防火墙 (ipchains)，可阻拦 UDP 端口 500、UDP 端口 1000 和封装安全有效负载 (ESP) 数据包。由于该防火墙在默认情况下是打开的，所以要解决此问题，必须禁用防火墙，或者为入站和出站连接都打开 IPsec 通信端口。

问：当我尝试在Mac OS X 10.3上运行Cisco VPN 5000 5.2.2客户端时，收到内核扩展错误。我该怎么办？

A.如产品发行说明中所述，Cisco VPN 5000客户端在版本10.1.x之前一直受支持，因此版本10.3不支持。在运行安装脚本后重置两个已安装文件的权限时，可以使VPN客户端工作。例如：

注意：思科不支持此配置。

sudo chown -R root:wheel /System/Library/Extensions/VPN5000.kext
sudo chmod -R go-w /System/Library/Extensions/VPN5000.kext

问：我无法安装新版本的Cisco VPN客户端。安装时，我收到以下错误消息之一："安装DNE时出现DNEinst执行错误，返回代码–214650093"或"InstallDNE错误：安装DNE时出现DNEinst执行错误，returncode -2147024891。" 当我安装Deterministic Network Enhancer时会发生此问题。

A.从Deterministic Networks安装最新的DNE升级leavingcisco.com。

问：当我建立连接时，我获得Cisco VPN客户端的以下日志： 
208    15:09:08.619  01/17/08  Sev=Debug/7	CVPND/0x63400015
Value for ini parameter VAEnableAlt is 1.

209    15:09:08.619  01/17/08  Sev=Warning/2	CVPND/0xE3400003
Function RegOpenKey failed with an error code of 0x00000002(WindowsVirtualAdapter:558)

210    15:09:08.619  01/17/08  Sev=Warning/3	CVPND/0xE340000C
The Client was unable to enable the Virtual Adapter because it could not open the device.

A.这是相当一般的错误消息，通常需要手动卸载客户端。请按照链接中的说明进行操作。删除随MSI安装程序安装的VPN客户端版本。

完成卸载后，请确保进行重新启动。然后重新安装客户端。确保您在本地计算机上以拥有管理权限的用户身份登录。

问：当我尝试连接Mac OS上的Cisco VPN客户端时，我收到以下错误消息：错误51 — 无法与VPN子系统通信。如何解决此问题？

A.如果以以下方式关闭VPN客户端后重新启动服务，则问题可以解决：

停止：

sudo kextunload -b com.cisco.nke.ipsec

启动：

sudo kextload /System/Library/Extensions/CiscoVPN/CiscoVPN

还要验证在安装VPN客户端的同一台计算机上运行的以下命令，并禁用该命令。

  • 任何虚拟软件（例如VMWare Fusions、Parallel、交叉开关）。

  • 任何防病毒/防火墙软件。

  • VPN客户端与64位操作系统的兼容性；请参阅Cisco VPN客户端发行版本注释。

问：我明白“理由442:failed to enable virtual adapter”错误。如何解决此问题？

A.原因442:failed to enable virtual adapter 错误在 Vista 报告检测到重复的 IP 地址后出现。后续连接失败时出现相同的消息，但 Vista 不会报告检测到重复的 IP 地址。有关如何解决此问题的详细信息，请参阅重复 IP 地址在 Windows Vista 上触发错误 442。

问：当我安装Cisco VPN客户端时，收到Deterministic Network Enhancer Add Plugin Failed错误。如何解决此问题？

A.安装DNE适配器可能解决此问题。安装时最好使用 Installshield 版本，而不要使用 MSI。

问：我收到了以下错误：Reason 442:无法启用虚拟适配器。如何解决此问题？

A.在Windows 7和Windows Vista报告检测到重复的IP地址后，出现此错误。后续连接因同一消息而失败，但操作系统不报告检测到重复的IP地址。有关如何解决此问题的详细信息，请参阅Windows 7和Vista上的IP地址重复触发错误442。

问：当我尝试启动VPN Client 4.9 for MAC OS 10.6时，我收到以下错误：错误 51：无法与vpn子系统通信。如何解决此问题？

答：出现此问题的原因是Cisco VPN client for MAC OS 4.9版不支持64位支持。作为解决方法，您可以在32位内核模式下启动。有关详细信息，请参阅Cisco Bug ID CSCth11092（仅限注册客户）和Cisco VPN client for MAC OSX发行说明。

第三方兼容性

问：Nortel客户端是否与Cisco VPN 3000集中器兼容？

答：否。Nortel客户端无法连接到Cisco VPN 3000集中器。

问：是否可以同时安装其他供应商的VPN客户端（例如Nortel Contivity VPN Client）和Cisco VPN Client?

答：不。如果在同一PC上安装多个VPN客户端，则存在已知问题。

问：第三方VPN集中器是否支持Cisco VPN客户端？

答：第三方VPN集中器不支持Cisco VPN客户端。

身份验证

问：思科VPN客户端版本1.1和3.x如何内部存储数字证书(X.509v3)?

A. Cisco VPN Client 1.1有自己的证书存储。Cisco VPN Client 3.x可以使用通用应用程序编程接口(CAPI)在Microsoft应用商店中存储证书，也可以将其存储在思科自己的应用商店（RSA数据安全）中。

问：VPN集中器上能否有相同的组名和用户名？

答：不，组名和用户名不能相同。这是一个已知问题，可在软件版本2.5.2和3.0中找到，并集成到3.1.2中。有关详细信息，请查看Bug工具包中的Cisco Bug ID CSCdw29034(仅限注册客户)。

问：从Cisco VPN Client到PIX是否支持Defender等全质询卡？

A.不，不支持此类型的卡。

VPN Client 软件版本

问：“设置MTU实用程序”选项在Cisco VPN客户端2.5.2版及更低版本中发生了什么情况？

A. Cisco VPN客户端现在调整最大传输单位(MTU)大小。设置MTU实用程序选项不再是必需的安装步骤。Set MTU选项主要用于排除连接故障。为Windows计算机选择SetMTU选项的路径为开始>程序> Cisco Systems VPN客户端> SetMTU。有关SetMTU选项和在其他操作系统中设置此选项的详细信息，请参阅通过SetMTU选项更改MTU大小。

问：高于4.0版本的Cisco VPN客户端GUI支持哪些语言？

A. Cisco VPN客户端GUI版本4.0之后的版本支持的语言是加拿大语、法语和日语。

问：Cisco VPN客户端支持哪些个人防火墙？

A.为提供更高级别的安全性，VPN客户端可以强制执行受支持的防火墙的操作，或者接收互联网绑定的流量的向下推送状态防火墙策略。

目前，VPN客户端5.0支持以下个人防火墙：

  • BlackIce Defender

  • Cisco Security Agent

  • Sygate个人防火墙

  • Sygate Personal Firewall Pro

  • Sygate安全代理

  • 区域警报

  • ZoneAlarmPro

从 3.1 版本开始，VPN 3000 集中器上增加了一项新功能，该功能可以检测远程用户安装的个人防火墙软件，并在没有适当软件时阻止用户连接。选择Configuration > User Management > Groups > Client FW，然后点击组的选项卡以配置此功能

有关在Cisco VPN客户端计算机上实施防火墙策略的详细信息，请参阅防火墙配置方案。

问：将Cisco VPN Client 3.x与AOL 7.0配合使用时是否存在连接问题？

A.如果不使用分割隧道，Cisco VPN客户端将无法与AOL 7.0配合使用。查看Bug Toolkit中的Cisco Bug ID CSCdx04842（仅限注册客户），了解更多详细信息。

VPN Client 软件配置

问：为什么Cisco VPN客户端在30分钟后断开？能否延长这一时间段？

A.如果在此30分钟时间段内用户连接上没有通信活动，则系统会终止连接。默认空闲超时设置为 30 分钟，允许的最小值为 1 分钟，允许的最大值为 2,147,483,647 分钟（超过 4,000 年）。

选择Configuration > User Management > Groups，然后选择适当的组名以修改空闲超时设置。选择Modify Group，单击HW Client选项卡，然后在User Idle Timeout字段中键入所需的值。键入0以禁用超时并允许无限制的空闲时间。

问：Cisco VPN Client能否在部署时预配置所有参数？

A.如果vpnclient.ini文件在首次安装时与VPN客户端软件捆绑，则会在安装期间自动配置VPN客户端。您也可以将配置文件（每个连接条目一个.pcf文件）作为预配置的连接配置文件进行分发，以实现自动配置。要将VPN客户端软件的预配置副本分发给用户进行安装，请完成以下步骤：

  1. 将VPN客户端软件文件从分发CD-ROM复制到您为一组用户创建vpnclient.ini（全局）文件和独立连接配置文件的每个目录。

    注意：对于Mac OS X平台，在安装VPN客户端之前，预配置的文件将放置在“配置文件”和“资源”文件夹中。vpnclient.ini文件位于安装程序目录中。您必须将自定义vpnclient.ini文件放置在VPN客户端安装程序目录中，与配置文件和资源文件夹处于同一级别。有关详细信息，请参阅Mac OS X的VPN客户端用户指南的第2章

  2. 准备并分发捆绑软件。CD-ROM或网络分配。确保vpnclient.ini文件和配置文件与所有CD-ROM映像文件位于同一目录中。您可以让用户通过网络连接从此目录进行安装；或者，您也可以将所有文件复制到新的CD-ROM中进行分发；或者，您可以创建包含此目录中的所有文件的自解压ZIP文件，并让用户下载该文件，然后安装软件。

  3. 向用户提供任何其他必要的配置信息和说明。有关您的平台，请参阅VPN客户端用户指南的第2章。

问：Cisco VPN客户端似乎与我的NIC卡冲突。应该如何排除此故障？

A.确保在NIC卡上运行最新的驱动程序。我们始终建议如此操作。如果可能，请进行测试，确定此问题是否特定于操作系统、PC 硬件及其他 NIC。

问：如何通过拨号网络自动连接Cisco VPN客户端？

A.选择Options > Properties > Connections，使Cisco VPN Client下拉拨号网络电话簿条目，以便完全自动拨号到VPN连接。

问：如何配置Cisco VPN 3000集中器以通知远程用户进行VPN客户端更新？

A.您可以通知VPN客户端用户在其远程系统上更新VPN客户端软件。有关分步方法，请参阅通知远程用户客户端更新。请确保按照此过程第 7 步所述以“(Rel)”方式键入版本信息。

问：什么原因会导致出现Cisco VPN客户端之前的延迟，尤其是启用“登录前启动”选项时？

A. Cisco VPN客户端处于回退模式。这会导致延迟。在回退模式中，VPN客户端在登录前启动时使用时执行的方式不同。在回退模式下操作时，VPN客户端不会检查是否已启动必要的Windows服务。因此，如果启动速度过快，VPN连接可能会失败。卸载Cisco VPN Client，并删除有问题的应用程序，以允许启动而不处于“回退”模式。然后重新安装Cisco VPN客户端。有关回退模式的详细信息，请参阅登录前启动。

有关详细信息，请在Bug Toolkit中查看Cisco Bug ID CSCdt88922 (仅限注册客户)和CSCdt55739 (仅限注册客户)。

问：我需要了解ipsecdialer.exe和vpngui.exe之间的区别。为什么vpngui.exe安装在Windows XP的STARTUP中，但我仍然必须手动启动ipsecdialer才能访问我的公司资源？除了规模以外，这些程序似乎也触发了同样的事情：VPN登录我的公司网络。

A. ipsecdialer.exe是Cisco VPN客户端3.x版的原始启动机制。4.x 版本中更改了 GUI 之后，创建了一个新的可执行程序，称为 vpngui.exe。ipsecdialer.exe 文件在名义上继续存在，仅仅是为了提供向后兼容性，只用于启动 vpngui.exe。这就是为什么您会看到文件大小上有区别。

因此，当您从Cisco VPN客户端的版本4.x降级到版本3.x时，需要ipsecdialer.exe文件才能启动它。

问：是否可以安全地删除启动VPN图标？为什么需要启动 VPN 图标？

A.启动文件夹中的Cisco VPN客户端支持“登录前启动”功能。如果不使用这一功能，则无需将其放在启动文件夹中。

问：为什么添加了“user_logon”而没有ipsecdialer.exe快捷方式？“user logon”的用途是什么？

答：“登录前启动”功能需要“user_logon”，但用户正常启动Cisco VPN Client不需要此功能。

NAT/PAT 问题

问：我遇到的问题，只有一个VPN客户端（用于版本3.3及更早版本）能够通过端口地址转换(PAT)设备连接。如何操作才能解决此问题？

A.几种网络地址转换(NAT)/PAT实施中存在一个错误，导致小于1024的端口无法转换。在Cisco VPN Client 3.1上，即使启用NAT透明度，Internet安全关联和密钥管理协议(ISAKMP)会话也使用UDP 512。第一个VPN客户端通过PAT设备并将源端口512保留在外部。当第二个 VPN Client 连接时，端口 512 已在使用中。尝试将失败。

可能的解决方法有三种。

  • 修复 PAT 设备。

  • 将VPN客户端升级到3.4，并使用TCP封装。

  • 安装替换所有 VPN Client 的 VPN 3002。

问：两台笔记本电脑能否从同一位置连接到Cisco VPN客户端？

答：只要客户端不在执行PAT的设备（例如SOHO路由器/防火墙）的后面，则两个客户端可以从同一位置连接到同一头端。许多 PAT 设备可以将一个 VPN 连接映射到位于其后的一个客户端，但无法映射两个。为了允许两个 VPN Client 从 PAT 设备后的相同位置进行连接，请在前端启用某些类型的封装，如 NAT-T、IPSec over UDP 或 IPSec over TCP。通常情况下，如果客户端和前端之间有任何 NAT 设备，就应启用 NAT-T 或其他封装。

其他

问：当我使用笔记本电脑连接到办公室的网络，然后将笔记本电脑带回家时，我在家连接到VPN 3000集中器时遇到问题。问题出在哪里？

A.笔记本电脑可能保留来自LAN连接的路由信息。有关如何解决此问题的信息，请参阅带有 Microsoft 路由问题 VPN Client。

问：如何能判断VPN客户端是否已连接到VPN集中器？

A.检查名为HKLM\Software\Cisco Systems\VPN Client\TunnelEstablished的注册表项。如果隧道处于活动状态，则值为1。如果没有隧道，则值为0。

问：从VPN集中器后面的PC到VPN客户端的NetMeeting连接有问题，但从PC到VPN集中器后面的VPN客户端运行时，连接会工作。如何才能解决此问题？

A.按照此处列出的相应步骤控制连接设置：

  • 在 PC 的主驱动器上，选择 Program Files > Cisco Systems > VPN Client > Profiles。右键单击您使用的配置文件，然后选择打开方式以在文本编辑器（如记事本）中打开配置文件。（在您选择要使用的程序时，请确保取消选中 Always use this program to open these files 复选框。） 找到ForcekeepAlives的配置文件参数，将值从0更改为1，然后保存配置文件。

    或

  • 对于VPN客户端，选择Options > Properties > General，然后输入“Peer response timeout”的值，如以下示例窗口所示。您可以指定 30 秒到 480 秒的超时敏感度。

    或

  • 对于 VPN 集中器，请选择 Configuration > User Management > Groups > modify group。在IPsec选项卡上，选择IKE Keepalive的选项，如本示例窗口所示。

失效对等体检测 (DPD) 间隔因敏感度设置而异。一旦没有收到响应，它将转到更主动的模式中，每 5 秒发送一次数据包，直到达到对等体响应阈值为止。这时，连接就会中断。您可以禁用 keepalive，但如果连接确实已断开，则需要等候超时。Cisco 建议开始时将敏感度值设置为很低。

问：Cisco VPN客户端是否支持双重身份验证？

A.否。Cisco VPN客户端不支持双重身份验证。

问：如何配置Cisco VPN客户端以主模式而不是主动模式进行连接？

答：必须使用数字签名（证书）才能允许Cisco VPN客户端在主模式下连接。有两种方法可以实现此目的：

  1. 从路由器和所有Cisco VPN客户端的第三方证书提供商（例如，Verisign或Entrust）获取CA证书。从同一CA服务器注册身份证书，并使用数字签名作为Cisco VPN客户端和路由器之间的身份验证方式。有关此配置的详细信息，请参阅使用委托证书在Cisco IOS路由器和Cisco VPN客户端之间配置IPSec。

  2. 第二个选项是将路由器配置为CA服务器以及远程访问VPN的头端。安装证书（以及其他所有内容）将保持上一链路中所述不变，但路由器将充当CA服务器。有关详细信息，请参阅使用集线器上的IOS CA在Cisco IOS路由器之间配置动态LAN到LAN VPN的示例。

问：如何使VPN客户端访问文件中的所需参数为只读？

A.为每个用户在.pcf文件中的每个参数前面添加感叹号(!)，以使参数为只读。

VPN客户端中的用户无法更改以感叹号(!)开头的参数的值。GUI中这些值的字段将灰显（只读）。

下面是一个示例配置：

原始.pcf文件 

[main] 

Description=connection to TechPubs server

Host=10.10.99.30 

AuthType=1 

GroupName=docusers 

GroupPwd= 

enc_GroupPwd=158E47893BDCD398BF863675204775622C494B39523E5CB65434D3C85
              1ECF2DCC8BD488857EFA FDE1397A95E01910CABECCE4E040B7A77BF

EnableISPConnect=0 

ISPConnectType=0 

ISPConnect= 

ISPCommand= 

Username=alice

已更改的.pcf文件 

[main] 

!Description=connection to TechPubs server 

!Host=10.10.99.30 

AuthType=1 

!GroupName=docusers 

GroupPwd= 

enc_GroupPwd=158E47893BDCD398BF863675204775622C494B39523E5CB65434D3C
          851ECF2DCC8BD488857EFA FDE1397A95E01910CABECCE4E040B7A77BF

EnableISPConnect=0 

ISPConnectType=0 

ISPConnect= 

ISPCommand= 

!Username=alice

在本示例中，用户无法更改Description、Host、GroupName和Username值。

问：是否可以根据MAC地址限制/限制VPN客户端的访问？

答：否。无法根据MAC地址限制/限制VPN客户端的访问。

相关信息

修订历史记录

版本 发布日期 备注
1.0
09-Sep-2003
初始版本

此文档是否有帮助?

Feedback反馈

联系我们

本文档适用于以下产品