当 AnyConnect ISE 终端安全评估按预期正常运行和阻止网络访问时，AnyConnect 用户界面的 ISE 终端安全评估图块中显示“System Scan: Searching for policy server”。在 Windows 任务管理器或 Mac OS X 系统日志中，您可以看到该进程正在运行。如果该服务未运行，AnyConnect 用户界面的 ISE 终端安全评估图块中显示“System Scan: Service is unavailable”。

网络变化启动发现阶段。使用 AnyConnect ISE 终端安全评估时，如果主要接口的默认路由发生更改，会使代理回到发现过程。例如，当 WiFi 和主要 LAN 连接时，代理会重新启动发现。同样，如果 WiFi 和主要 LAN 建立连接，然后 WiFi 断开连接，则代理不会重新启动发现。

在 AnyConnect 用户界面的 ISE 终端安全评估图块中的“System Scan”之后，还可能出现以下状态消息：

• Limited or no connectivity - 未进行发现，因为您没有连接。AnyConnect ISE 终端安全评估代理可能正在网络中的错误终端上执行发现。

• System scan not required on current WiFi - 未进行发现，因为检测到不安全的 WiFi。AnyConnect ISE 终端安全评估代理仅在 LAN、无线网络（如果使用 802.1X 身份验证）以及 VPN 上启动发现。WiFi 可能不安全，或者您通过在代理配置文件中将 OperateOnNonDot1XWireless 设置为 1 禁用了该功能。

• Unauthorized policy server - 主机与 ISE 网络的服务器名称规则不匹配，因此网络访问受限或不允许访问。

• The AnyConnect Downloader is performing update... - 下载程序已调用，将比较软件包版本、下载 AnyConnect 配置，并执行必要的升级。

• Scanning System... - 扫描防病毒和反间谍软件安全产品是否已启动。如果在此过程中网络发生更改，代理将循环生成日志文件的过程，并且状态返回到“No policy server detected”。

• Bypassing AnyConnect scan - 网络配置为使用 Cisco NAC 代理。

• Untrusted Policy Server Cancelled by the user - 在 AnyConnect 用户界面中使用 System Scan Preferences 选项卡取消阻止连接到不受信任的服务器时，弹出窗口中会出现 AnyConnect 下载程序的安全警告。在此警告页面上点击 Cancel Connection 时，ISE 终端安全评估图块会更改为此状态。

• Network Acceptable Use Policy - 访问网络时，您必须查看并接受“可接受的使用策略”。拒绝该政策可能会导致网络访问受限。

• Updating Network Settings - 在 ISE 用户界面的 Settings > Posture > General Settings 中，您可以指定网络转换之间应发生的延迟秒数。

• Not Compliant.Update time expired - 为补救设置的时间已过期。

• Compliant.Network access allowed. - 补救完成。System Scan > Scan Summary 也显示状态为完成。

• No policy server detected - 找不到 ISE 网络。30 秒钟后，代理会减慢探测。默认网络访问权限生效。

对于 ISE 终端安全评估，事件将写入本地操作系统的事件日志（Windows 事件日志查看器或 Mac OS X 系统日志）。

对于 VPN 终端安全评估 (HostScan)，任何错误和警告都将写入系统日志（适用于非 Windows）和事件查看器（适用于 Windows）。所有可用的消息都将写入日志文件。

VPN 终端安全评估 (HostScan) 模块组件最多输出到三个日志，具体取决于您的操作系统、权限级别和启动机制（Web 启动或 AnyConnect）：

• cstub.log - 使用 AnyConnect Web 启动时捕获日志记录。

• libcsd.log - 由使用 VPN 终端安全评估 API 的 AnyConnect 线程创建。调试条目根据日志记录级别配置写入此日志。

• cscan.log - 通过扫描可执行文件 (cscan.exe) 而创建，是 VPN 终端安全评估的主要日志。调试条目根据日志记录级别配置写入此日志。

对于 ISE 终端安全评估，事件包含在安装的 AnyConnect 版本的事件子文件夹中，因此易于与其余 AnyConnect 事件隔开。每个查看器均可搜索关键字和过滤。Web 代理事件写入标准应用日志。

为便于故障排除，会将 ISE 终端安全评估要求策略和评估报告记录到终端上经过模糊处理的单独文件中，而不会是事件日志中。某些日志文件的大小（例如 aciseposture），可由管理员在配置文件中配置；但 UI 日志大小是预定义的。

每当进程异常终止时，都会生成一个小型转储文件，就像其他 AnyConnect 模块提供的一样。

对于 VPN 终端安全评估 (HostScan)，文件位于以下目录下的用户主文件夹中：

• （非 Windows）- .cisco/hostscan/log

• (Windows)— C:\Users\<user_name>\AppData\Local\Cisco HostScan\log\cscan.log

管理员可以选择使用独立编辑器创建终端安全评估配置文件，然后将其上载至 ISE。否则，嵌入式终端安全评估配置文件编辑器配置在 ISE 用户界面中的 Policy Elements 下。AnyConnect 配置编辑器在 ISE 中启动后，它会创建 AnyConnect 配置以及 AnyConnect 软件及其关联的模块、配置文件、OPSWAT 和任何定制。ASA 中 ISE 终端安全评估的独立配置文件编辑器包含以下参数：

• 代理的行为

  • Enable signature check - 如果选中，则在代理运行可执行文件之前，会启用这些文件的签名检查。

  • Log file size - 代理日志文件的最大大小。有效值为 5 Mb 到 200 Mb。

  • 修复计时器 - 用户必须在此时间内完成修复，否则将被标记为不合规。有效值为 1 - 300 分钟。

  • Enable agent log trace - 在代理上启用调试日志。

  • Operate on non-802.1X wireless networks - 如果选中，会启用代理在非 802.1X 无线网络上工作。

  • Enable Stealth Mode - 选择是否启用Stealth Mode，这将允许终端安全评估作为服务运行，而无需用户干预。

  • Backoff Timer Limit - 输入 AnyConnect 发送 ISE 发现探测所需的最长时间。由于探测会增加更多流量，因此您应选择不会造成您的网络中断的值。

  • 定期探测间隔 (Periodic Probe Interval) - 指定“补偿计时器限制 (Backoff Timer Limit)”过后的发现探测间隔。AnyConnect 会持续发送具有给定间隔的定期探测，直到找到有效的 ISE 服务器。默认值为 30 分钟，在初始几轮探测后，会持续以 30 分钟的间隔发送探测。将该值设置为 0 会禁用定期探测。

• IP 地址更改

  为了获得最佳用户体验，请将以下值设置为我们推荐的值。

  • VLAN detection interval - 代理在刷新客户端 IP 地址之前尝试检测 VLAN 更改的时间间隔。有效范围为 0 到 900 秒，推荐值为 5 秒。

  • Ping or ARP - 检测 IP 地址更改的方法。推荐的设置为 ARP。

  • Maximum timeout for ping - 从 1 到 10 秒的 ping 超时时间。

  • Enable agent IP refresh - 选中可启用 VLAN 更改检测。

  • DHCP renew delay - 代理在 IP 刷新之后等待的秒数。启用了 Enable Agent IP Refresh 时，请配置此值。如果该值不是 0，则代理将在此预期的过渡期间进行一次 IP 刷新。如果在刷新时检测到 VPN，则刷新将被禁用。有效值为 0 到 60 秒，推荐值为 5 秒。

  • DHCP release delay - 代理延迟进行 IP 刷新的秒数。启用了 Enable Agent IP Refresh 时，请配置此值。如果该值不是 0，则代理将在此预期的过渡期间进行一次 IP 刷新。如果在刷新时检测到 VPN，则刷新将被禁用。有效值为 0 到 60 秒，推荐值为 5 秒。

  • Network transition delay - 代理暂停网络监控以便等待计划好的 IP 更改的时间范围（以秒为单位）。推荐值为 5 秒。

• 终端安全评估协议

  • Discovery host - 代理可以连接的服务器。对于独立配置文件编辑器，仅输入单个主机。

  • Server name rules - 由通配符、逗号分隔名称组成的列表，用于定义代理可以连接到的服务器（如 .cisco.com）。

  • Call Home List - 输入您想用于负载均衡、监控和故障排除查找的 FQDN，或者您想用于映射到该节点中默认策略服务节点 (PSN) 的 DNS 的 FQDN（如果处于多重情形下）。在配置此选项后，将发送用于监控和故障排除查找的第一次探测，以拨打住宅电话。在从重定向网络迁移到非重定向网络时，必须配置此选项。

  • PRA retransmission time - 当发生被动重新评估通信失败时，就会指定此代理重试时间范围。有效范围为 60 到 3600 秒。

AnyConnect 的 VPN (Hostscan) 终端安全评估和 ISE 终端安全评估模块均使用 OPSWAT 框架来保护终端。

此框架涉及客户端和头端，可协助评估终端上的第三方应用。在客户端和头端中使用的 OPSWAT 版本必须匹配。每种终端安全评估方法都提供了支持图表，其中包含了与所用 OPSWAT 版本识别的应用列表对应的产品和版本信息。

当头端（ASA 或 ISE）和终端（VPN 终端安全评估或 ISE 终端安全评估）之间存在版本号不匹配的情况时，OPSWAT 合规性模块将会进行升级或降级，以便与头端上的版本匹配。这些升级/降级是强制性的，并会自动进行，无需最终用户干预，只要建立了到头端的连接即可。

VPN Hostscan 终端安全评估 OPSWAT 支持

HostScan 支持图表 与 HostScan 软件包版本相对应，该版本在与 ASA 头端配合使用的 AnyConnect 中提供 HostScan 终端安全评估。

HostScan 的版本将与 AnyConnect 的主版本和维护版本保持协调。在 ASDM 的配置 > 远程接入 VPN > 安全桌面管理器 > 主机扫描映像中配置 HostScan 软件包时，指定 HostScan 版本。

VPN HostScan 终端安全评估准则：

• 所有版本的 HostScan 都使用 OPSWAT v2。所有版本的 HostScan 都不支持 OPSWAT v3。

• AnyConnect 4.4.x 和 4.5.x 支持 HostScan 版本 4.3.05017 和更高版本。HostScan 没有 4.4.x 或 4.5.x 版本。

ISE 终端安全评估 OPSWAT 支持

思科 AnyConnect 代理合规性模块适用于 ISE 终端安全评估模块。

ISE 代理合规性模块版本反映了基础 OPSWAT 版本。在 ISE 终端安全评估中，OPSWAT 二进制文件封装在一个单独的安装程序中。您可以手动将 OPSWAT 库从本地文件系统加载到 ISE 头端，或配置 ISE 使用 ISE 更新源 URL 直接获取该库。

将 AnyConnect 版本 4.3（或更高版本）与 ISE 2.1（或更高版本）配合使用时，可以选择将 OPSWAT v3 或 v4 用于 ISE 合规性模块。防恶意软件的配置位于 ISE UI 的 Work Centers > Posture > Posture Elements > Conditions > Antimalware。