修改 AnyConnect 安装行为
指南
-
Web 部署使用 AnyConnect Web 启动,后者是无客户端 SSL 门户的一部分。可以定制无客户端 SSL 门户,但不能定制门户的 AnyConnect 部分。例如,不能定制“启动 AnyConnect”(Start AnyConnect) 按钮。
禁用客户体验反馈
默认情况下,已启用客户体验反馈模块。此模块向思科提供有关客户已启用和正在使用的功能和模块的匿名信息。此信息让我们可以深入了解用户体验,以便思科可以持续改进质量、可靠性、性能和用户体验。
要手动禁用客户体验反馈模块,请使用独立配置文件编辑器创建一个 CustomerExperience_Feedback.xml 文件。必须停止 AnyConnect 服务,将该文件命名为 CustomerExperience_Feedback.xml,然后将其放在 C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\CustomerExperienceFeedback\ 目录中。如果该文件是通过禁用标志集创建的,则可将此文件手动部署到 AnyConnect。要检查结果,请打开 AnyConnect About 菜单,然后验证并确保客户体验反馈模块未在 Installed Module 部分列出。
可使用以下方法禁用客户体验反馈模块:
-
客户体验反馈模块客户端配置文件 - 取消选中“启用客户体验反馈服务”(Enable Customer Experience Feedback Service),并分发此配置文件。
-
MST 文件 - 从 sampleTransforms-X.X.xxxxx.zip 中提取 anyconnect-win-disable-customer-experience-feedback.mst 文件。
修改安装行为 (Windows)
-
使用 Windows 安装程序属性修改 AnyConnect 安装行为。在以下位置可使用这些属性: -
命令行参数 - 一个或多个属性作为参数传递到命令行安装程序 msiexec。此方法用于预部署,网络部署不支持此方法。
-
安装程序转换 - 可以使用转换修改安装程序属性表。多种工具可用于创建转换。一个常用工具是 Microsoft Orca。Orca 工具是 Microsoft Windows Installer 软件开发套件 (SDK) 的一部分,包含在 Microsoft Windows SDK 内。要获取 Windows SDK,请浏览至 http://msdn.microsoft.com,然后搜索与您的 Windows 版本对应的 SDK 并下载。
转换可用于预部署和网络部署。转换可作为参数传递到命令行,也可以上传到自适应安全设备(
)进行网络部署。
-
-
在 ISO 映像中,安装程序 setup.hta 是 HTML 文件,可以对其进行编辑。
限制
AnyConnect 卸载提示不可定制。
用于定制客户端安装的 Windows 安装程序属性
以下 Windows 安装程序属性可定制 AnyConnect 安装。请注意,您还可以使用 Microsoft 支持的很多其他 Windows 安装程序属性。
-
Resetting the System MTU - 当 VPN 安装程序属性 (RESET_ADAPTER_MTU) 设置为 1 时,安装程序会将所有 Windows 网络适配器 MTU 设置重置为默认值。必须重新启动系统,更改方可生效。
-
设置 Windows 锁定 - 思科建议为设备上的最终用户授予有限的思科 AnyConnect 安全移动客户端权限。如果最终用户拥有额外的权限,安装程序可提供锁定功能,防止用户和本地管理员关闭或停止 AnyConnect 服务。您还可以使用服务密码通过命令提示符来停止服务。
适用于 VPN、网络访问管理器和网络安全的 MSI 安装程序支持一个公用属性 (LOCKDOWN)。当 LOCKDOWN 设置为非零值时,终端设备上的用户或本地管理员无法控制与该安装程序关联的 Windows 服务。我们建议您使用我们提供的示例转换来设置此属性,并将转换应用于您希望锁定的每个 MSI 安装程序。您可以从思科 AnyConnect 安全移动客户端软件下载页面下载示例转换。
适用于 VPN、网络访问管理器、网络安全、网络可视性模块和 Umbrella 漫游安全模块的 MSI 安装程序支持一个公用属性 (LOCKDOWN)。当 LOCKDOWN 设置为非零值时,终端设备上的用户或本地管理员无法控制与该安装程序关联的 Windows 服务。我们建议您使用我们提供的示例转换来设置此属性,并将转换应用于您希望锁定的每个 MSI 安装程序。您可以从思科 AnyConnect 安全移动客户端软件下载页面下载示例转换。
如果部署核心客户端以及一个或多个可选模块,则必须对每个安装程序应用锁定属性。此操作为单向操作,无法删除,除非您重新安装产品。
注
AMP 启用程序安装程序与 VPN 安装程序配对使用。
-
开启 ActiveX 控件 - 在默认情况下,早期版本的 AnyConnect 在预部署 VPN 软件包时会安装 VPN WebLaunch ActiveX 控件。从 AnyConnect 3.1 开始,默认情况下将关闭 VPN ActiveX 控件安装。此更改旨在确保默认配置最为安全。
在预部署 AnyConnect 客户端和可选模块时,如果您需要将 VPN ActiveX 控件与 AnyConnect 一同安装,则您必须使用 NOINSTALLACTIVEX=0 选项和 msiexec 或转换。
-
Hiding AnyConnect from the Add/Remove Program List - 可从用户 Windows Control Panel 中的 Add/Remove Program 列表中隐藏已安装的 AnyConnect 模块。向安装程序传送 ARPSYSTEMCOMPONENT=1 可阻止该模块显示在已安装程序的列表中。
我们建议您使用我们提供的示例转换来设置此属性,从而将转换应用于您希望隐藏的每个模块的每个 MSI 安装程序。您可以从思科 AnyConnect 安全移动客户端软件下载页面下载示例转换。
AnyConnect 模块的 Windows 安装程序属性
下表提供 MSI 安装命令行调用和配置文件部署位置的示例。
已安装的模块 |
命令和日志文件 |
---|---|
没有 VPN 功能的 AnyConnect 核心客户端 (在安装独立模块时使用) |
msiexec /package anyconnect-win-ver-pre-deploy-k9.msi /norestart /passive PRE_DEPLOY_DISABLE_VPN=1 /lvx* anyconnect-win-<version>-pre-deploy-k9-install-datetimestamp.log |
有 VPN 功能的 AnyConnect 核心客户端 |
msiexec /package anyconnect-win-ver-pre-deploy-k9.msi /norestart /passive /lvx* anyconnect-win-<version>-pre-deploy-k9-install-datetimestamp.log |
客户体验反馈 |
msiexec /package anyconnect-win-ver-pre-deploy-k9.msi /norestart /passive DISABLE_CUSTOMER_EXPERIENCE_FEEDBACK=1 /lvx* anyconnect-win-<version>-pre-deploy-k9-install-datetimestamp.log |
诊断和报告工具 (DART) |
msiexec /package anyconnect-dart-win-ver-k9.msi /norestart /passive /lvx* anyconnect-dart-<version>-pre-deploy-k9-install-datetimestamp.log |
SBL |
msiexec /package anyconnect-gina-win-ver-k9.msi /norestart /passive /lvx* anyconnect-gina-<version>-pre-deploy-k9-install-datetimestamp.log |
网络访问管理器 |
msiexec /package anyconnect-nam-win-ver-k9.msi /norestart /passive /lvx* anyconnect-nam-<version>-pre-deploy-k9-install-datetimestamp.log |
网络安全 |
msiexec /package anyconnect-websecurity-win-ver-pre-deploy-k9.msi /norestart/passive /lvx* anyconnect-websecurity-<version>-pre-deploy-k9-install-datetimestamp.log |
终端安全评估 |
msiexec /package anyconnect-posture-win-ver-pre-deploy-k9.msi /norestart/passive /lvx* anyconnect-posture-<version>-pre-deploy-k9-install-datetimestamp.log |
msiexec /package anyconnect-iseposture-win-ver-pre-deploy-k9.msi /norestart/passive /lvx* anyconnect-iseposture-<version>-pre-deploy-k9-install-datetimestamp.log |
|
将定制安装程序转换导入自适应安全设备
将思科提供的 Windows 转换导入自适应安全设备让您可以将其用于网络部署。
过程
步骤 1 |
在 ASDM 中,转到 。 |
步骤 2 |
单击导入 (Import)。 系统会显示“导入 AnyConnect 定制对象”(Import AnyConnect Customization Objects) 窗口: |
步骤 3 |
输入要导入的文件名。不同于其他定制对象的名称,该名称对 ASA 而言并不重要,仅为了方便您自己。 |
步骤 4 |
选择平台,并指定要导入的文件。单击 Import Now。此文件会立即显示在安装程序转换表中。 |
定制 AnyConnect 用户界面的转换示例
虽然创建转换的教程超出了本文档范围,但是以下文本是转换中的一些代表性条目。此示例将 company_logo.bmp 替换为本地副本,并且安装定制配置文件 MyProfile.xml。
DATA CHANGE - Component Component ComponentId
+ MyProfile.xml {39057042-16A2-4034-87C0-8330104D8180}
Directory_ Attributes Condition KeyPath
Profile_DIR 0 MyProfile.xml
DATA CHANGE - FeatureComponents Feature_ Component_
+ MainFeature MyProfile.xml
DATA CHANGE - File File Component_ FileName FileSize Version Language Attributes Sequence
+ MyProfile.xml MyProfile.xml MyProf~1.xml|MyProfile.xml 601 8192 35
<> company_logo.bmp 37302{39430} 8192{0}
DATA CHANGE - Media DiskId LastSequence DiskPrompt Cabinet VolumeLabel Source
+ 2 35
本地化 AnyConnect 安装程序屏幕
您可以翻译 AnyConnect 安装程序显示的消息。ASA 使用转换功能来翻译安装程序显示的消息。该转换会更改安装,但会保持原始安全签名的 MSI 不变。这些转换仅翻译安装程序屏幕,而不翻译客户端 GUI 屏幕。
注 |
AnyConnect 的每个版本都包括本地化转换,管理员可在上传含有新软件的 AnyConnect 软件包时将转换上传到自适应安全设备。如果您使用我们的本地化转换,请确保在上传新的 AnyConnect 软件包时用 cisco.com 的最新版本更新这些转换。 |
您可以使用转换编辑器(如 Orca)编辑转换来更改消息字符串,并将转换导入 ASA。当用户下载客户端时,客户端会检测计算机的首选语言(区域设置在安装操作系统时指定)并应用相应转换。
我们目前提供 30 种语言转换。这些转换在 cisco.com 的 AnyConnect 软件下载页面以下面的 .zip 文件形式提供:
anyconnect-win-<VERSION>-web-deploy-k9-lang.zip
在此文件中,<VERSION> 是 AnyConnect 的版本(例如 4.3.xxxxx)。
存档包含用于可用翻译的转换(.mst 文件)。如果需要为远程用户提供的语言不是我们提供的 30 种语言之一,您可以创建您自己的转换并将其作为新语言导入 ASA。使用 Microsoft 的数据库编辑器 Orca,可以修改现有安装以及新文件。Orca 是 Microsoft Windows 安装程序软件开发套件 (SDK) 的一部分,包含在 Microsoft Windows SDK 内。
将本地化的安装程序转换导入自适应安全设备
以下过程显示如何使用 ASDM 将转换导入 ASA。
过程
步骤 1 |
在 ASDM 中,转到 。 |
步骤 2 |
单击 Import。系统将打开 Import MST Language Localization 窗口: |
步骤 3 |
单击 Language 下拉列表,选择用于此转换的一种语言(和行业认可的缩写)。如果您手动输入缩写,请确保使用浏览器和操作系统识别的缩写。 |
步骤 4 |
单击 Import Now。 |
步骤 5 |
单击 Apply 保存更改。 |
在此过程中我们将语言指定为西班牙语 (ES)。下图显示在 Languages 列表中的用于 AnyConnect 的西班牙语新转换。
修改安装行为 (macOS)
限制
AnyConnect 安装程序无法本地化。该安装程序使用的字符串来自 Mac 安装程序应用,而不是 AnyConnect 安装程序。
使用 ACTransform.xml 在 macOS 上自定义安装程序行为
由于 macOS 没有提供任何标准方法来自定义 .pkg 行为,所以我们创建了 ACTransforms.xml。使用安装程序定位此 XML 文件时,安装程序读取本文件,然后运行安装。您必须将文件置于与安装程序相关的特定位置。安装程序按以下顺序搜索以查看是否找到修改:
- 在与 .pkg 安装程序文件相同的目录内的“Profile”目录中。
- 在装载的磁盘映像卷的根目录中的“Profile”目录中。
- 在装载的磁盘映像卷的根目录中的“Profile”目录中。
XML 文件格式如下:
<ACTransforms>
<PropertyName1>Value</PropertyName1>
<PropertyName2>Value</PropertyName2>
</ACTransforms>
例如,macOS ACTransforms.xml 属性是 DisableVPN,用于创建网络安全的“独立”部署。ACTransforms.xml 在 DMG 文件所在的 Profiles 目录中。
禁用客户体验反馈模块
默认情况下,已启用客户体验反馈模块。要在 Mac OS X 上关闭此功能,请执行以下操作:
过程
步骤 1 |
使用磁盘实用程序或 hdiutil 将 dmg 软件包从只读转换为读/写。例如:
|
步骤 2 |
编辑 ACTransforms.xml 并设置或添加以下值(如果尚未设置)。
|
修改安装行为 (Linux)
使用 ACTransform.xml 在 Linux 上定制安装程序行为
-
在与 .pkg 安装程序文件相同的目录内的“Profile”目录中
-
在装载的磁盘映像卷的根目录中的“Profile”目录中
-
在与 .dmg 文件相同的目录内的“Profile”目录中
预部署软件包中的 Profiles 目录内的 XML 文件 ACTransforms.xml 的格式如下:
<ACTransforms>
<PropertyName1>Value</PropertyName1>
<PropertyName2>Value</PropertyName2>
</ACTransforms>