思科 AnyConnect 移动平台管理员指南，4.7 版

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

当地语言翻译版本说明

思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。

Book Contents
Find Matches in This Book
语言选择
Download Options

Book Title

思科 AnyConnect 移动平台管理员指南，4.7 版

Chapter Title

移动设备上的 AnyConnect

Results

已更新:
2020年6月18日

Chapter: 移动设备上的 AnyConnect

移动设备上的 AnyConnect

移动设备上的 AnyConnect 类似于 Windows、Mac 和 Linux 平台上的 AnyConnect。本章介绍设备信息、配置信息、支持信息，以及适用于移动设备的 AnyConnect 特定的其他管理任务。

移动设备上的 AnyConnect 操作和选项

关于 AnyConnect 移动 VPN 连接

此版本的 AnyConnect 安全移动客户端可用于以下移动平台：

    每个受支持平台的应用商店都提供了思科 AnyConnect。它在 www.cisco.com 上不可用，或无法从安全网关进行分发。

    AnyConnect 移动应用仅包含核心 VPN 客户端。它们不包括网络访问管理器、终端安全评估或网络安全等其他 AnyConnect 模块。在连接 VPN 的状态下，此应用使用 AnyConnect Identify Extensions (ACIDex) 向前端提供终端安全评估信息（称为“移动终端安全评估”）。

    AnyConnect VPN 连接可以通过以下方法之一建立：

    • 用户手动建立。

    • 用户在点击管理员提供的自动连接操作时手动建立（仅适用于 Android 和 Apple iOS）。

    • 通过按需连接功能自动建立（仅适用于 Apple iOS）。

    移动设备上的 AnyConnect VPN 连接条目

    连接条目通过安全网关的完全限定域名或 IP 地址（如有需要，包括隧道组 URL）识别安全网关地址。该连接条目还可以包括其他连接属性。

    AnyConnect 支持在一个移动设备上拥有多个连接条目，以便寻址不同安全网关和/或 VPN 隧道组。如果配置了多个连接条目，则用户应了解使用哪个条目来发起 VPN 连接。通过以下方法之一来配置连接条目：

    • 用户手动配置。有关在移动设备上配置连接条目的过程，请参阅相应平台的用户指南。

    • 由 Anyconnect VPN 客户端配置文件定义。

      AnyConnect VPN 客户端配置文件指定客户端行为并定义 VPN 连接条目。有关详细信息，请参阅在 AnyConnect VPN 配置文件中配置移动设备连接。

    隧道型号

    AnyConnect 可以在托管或未托管的自带设备 (BYOD) 环境中运行。这些环境中的 VPN 隧道只在以下一种型号中运行：

    • 系统隧道型号 - VPN 连接用于传送所有数据（全隧道），或仅传送流入/流出特定域或地址的数据（拆分隧道）。此型号可在所有移动平台上使用。

    • Per App VPN 型号 - VPN 连接用于移动设备上的特定应用集（仅限 Android 和 Apple iOS）。

      AnyConnect 允许管理员在前端上定义一组应用。此列表使用 ASA 自定义属性机制来定义。此列表将发送给 AnyConnect 客户端，并在设备上实施。对于所有其他应用，在隧道之外或以明文形式发送数据。

      在 Apple iOS 上，需要有受管环境才能在此型号下运行。在 Android 上，受管和非受管环境均受支持。在这两个平台上的托管环境中，移动设备管理器还必须将设备配置为传送与 AnyConnect 配置传送相同的应用列表。

    AnyConnect 的运行型号由从 ASA 前端收到的配置信息决定。特别是，与连接相关的组策略或动态访问策略 (DAP) 中是否存在 Per App VPN 列表。如果 Per App VPN 列表存在，AnyConnect 会在 Per App VPN 型号下运行；如果列表不存在，AnyConnect 会在系统隧道连接型号下运行。

    移动设备的安全网关身份验证

    阻止不受信任的服务器

    建立 VPN 连接时，AnyConnect 将使用从安全网关接收的数字证书来验证服务器的身份。如果服务器证书无效（因过期或日期无效、密钥使用错误或名称不匹配导致证书错误），或证书不受信任（证书无法由证书颁发机构验证），抑或同时出现上述两种情况，则连接将被阻止。此时将显示一条阻止消息，用户必须选择如何处理。

    阻止不受信任的服务器 (Block Untrusted Servers) 应用设置确定 AnyConnect 在无法识别安全网关时的响应方式。默认情况下开启此保护；用户可关闭此保护，但不建议这样做。

    当阻止不受信任的服务器 (Block Untrusted Servers) 开启后，将向用户显示一条不受信任的 VPN 服务器 (Untrusted VPN Server) 阻止通知，告知此安全威胁。用户可选择：

    • 保持我的安全状态 (Keep Me Safe) 以终止此连接，保持安全。

    • 更改设置 (Change Settings) 以关闭“阻止不受信任的服务器”(Block Untrusted Servers) 应用首选项，但不建议这样做。用户禁用此安全保护功能后，必须重新初始化 VPN 连接。

    当阻止不受信任的服务器 (Block Untrusted Servers) 关闭后，将向用户显示一条不受信任的 VPN 服务器 (Untrusted VPN Server) 取消阻止通知，告知此安全威胁。用户可选择：

    • 取消 (Cancel) 以取消连接并保持安全。

    • 继续 (Continue) 以继续连接，但不建议这样做。

    • 查看详细信息 (View Details) 以查看证书详细信息，更直观地判断证书的可接受性。

      如果用户正在查看的证书有效但不受信任，则用户可以：

      • 选择导入并继续 (Import and Continue) 将服务器证书导入 AnyConnect 证书存储区供以后使用，并继续连接。

        当此证书导入 AnyConnect 存储区后，使用此数字证书与服务器建立的后续连接将被自动接受。

      • 返回上一屏幕并选择取消 (Cancel) 或继续 (Continue)。

      如果证书因任何原因无效，用户只能返回上一屏幕并选择取消 (Cancel) 或继续 (Continue)。

    最安全的网络 VPN 连接配置是：开启“阻止不受信任的服务器”(Block Untrusted Servers) 设置（默认设置），在安全网关上配置有效且受信任的服务器证书，并指示移动用户始终选择“保持我的安全状态”(Keep Me Safe)。


    注

    严格证书信任将覆盖此设置，请参阅以下说明。

    移动设备上的客户端身份验证

    要完成 VPN 连接，用户必须提供用户名和密码、数字证书或这两种形式的凭证进行身份验证。管理员可以定义隧道组上的身份验证方法。为了保证在移动设备上提供最佳用户体验，思科建议根据身份验证配置情况使用多个 AnyConnect 连接配置文件。您必须确定平衡用户体验和安全的最佳方法。我们的建议如下：

    • 对于移动设备的基于 AAA 的身份验证隧道组，组策略应有很长的空闲超时（例如 24 小时），以让客户端在无需用户重新进行身份验证的情况下即可保持重新连接状态。

    • 要实现最透明的最终用户体验，请仅使用证书进行身份验证。使用数字证书时，无需用户交互即可建立 VPN 连接。

    为了使用证书对连接安全网关的移动设备进行身份验证，最终用户必须在其设备上导入证书。之后，此证书可用于自动证书选择，也可以手动将其与特定连接条目关联。可使用以下方法导入证书：

    • 由用户手动导入。有关向移动设备导入证书的过程，请参阅相关的用户指南。

    • 使用 SCEP。有关详细信息，请参阅配置证书注册。

    在移动设备上本地化

    适用于 Android 和 Apple iOS 的 AnyConnect 安全移动客户端支持本地化，可根据用户的区域设置调整 AnyConnect 用户界面和消息。

    预包装的本地化

    AnyConnect 和 Apple iOS 应用包括以下语言翻译：

    • 加拿大法语 (fr-ca)

    • 中文（台湾地区）(zh-tw)

    • 捷克语 (cs-cz)

    • 荷兰语 (nl-nl)

    • 法语 (fr-fr)

    • 德语 (de-de)

    • 匈牙利语 (hu-hu)

    • 意大利语 (it-it)

    • 日语 (ja-jp)

    • 韩语 (ko-kr)

    • 拉丁美洲西班牙语 (es-co)

    • 波兰语 (pl-pl)

    • 葡萄牙语（巴西）(pt-br)

    • 俄语 (ru-ru)

    • 简体中文 (zh-cn)

    • 西班牙语 (es-es)

    安装 AnyConnect 时，这些语言的本地化数据会安装到移动设备上。移动设备上指定的本地化设置决定显示的语言。AnyConnect 会依次使用语言规范和地区规范来确定最佳匹配设置。例如，安装完成后，在法语-瑞士 (fr-ch) 区域设置下，最终的显示为法语-加拿大 (fr-ca)。AnyConnect 启动后，AnyConnect 用户界面和消息会被翻译为本地语言。

    下载的本地化

    对于不在 AnyConnect 软件包中的语言，管理员向 ASA 添加要通过 AnyConnect VPN 连接下载到设备的本地化数据。

    思科在 Cisco.com 的产品下载中心提供 anyconnect.po 文件，其中包括所有可本地化的 AnyConnect 字符串。AnyConnect 管理员可下载 anyconnect.po 文件，提供可用字符串的翻译，然后将文件上传到 ASA。已将 anyconnect.po 文件安装到 ASA 上的 AnyConnect 管理员可下载此更新版本。

    最初，AnyConnect 用户界面和消息以安装语言向用户显示。在设备用户建立了与 ASA 的第一个连接后，AnyConnect 将比较设备的首选语言与 ASA 上的可用本地化语言。如果 AnyConnect 找到匹配的本地化文件，则下载该本地化文件。下载完成后，AnyConnect 将使用已添加到 anyconnect.po 文件的翻译字符串显示用户界面和用户消息。如果字符串未翻译，AnyConnect 将显示默认的英语字符串。

    有关在 ASA 上配置本地化的说明，请参阅将转换表导入自适应安全设备。如果 ASA 不包含设备区域设置的本地化数据，将继续使用 AnyConnect 应用软件包中预装的本地化数据。

    在移动设备上提供本地化的更多方式

    要求移动设备用户在自己的设备上管理本地化数据。有关执行以下本地化活动的程序，请参阅相应的用户指南：

    • 从指定服务器导入本地化数据。用户选择导入本地化数据并指定安全网关的地址和区域设置。根据 ISO 639-1 指定区域设置，如适用，可添加国家代码（例如，en-US、fr-CA、ar-IQ 等等）。此本地化数据用来替代预先打包的已安装本地化数据。

    • 恢复默认的本地化数据。此操作将恢复使用 AnyConnect 软件包中预装的本地化数据，并删除已导入的所有本地化数据。

    将转换表导入自适应安全设备

    过程
    步骤 1

    从 www.cisco.com 下载所需的转换表。

    步骤 2

    在 ASDM 中，转到 Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Customization/Localization > GUI Text and Messages。

    步骤 3

    单击 Import。系统会显示 Import Language Localization Entry 窗口。

    步骤 4

    从下拉列表中选择适合的语言。

    步骤 5

    指定从何处导入转换表。

    步骤 6

    单击 Import Now。即可将此转换表部署至 AnyConnect 客户端，并将其用作首选语言。本地化将在 AnyConnect 重新启动并连接后应用。


    注

    对于在非移动设备上运行的 AnyConnect，即使没有使用思科安全桌面，也必须将思科安全桌面转换表导入自适应安全设备，这样 HostScan 消息才会进行本地化。

    移动设备上的 FIPS 和套件 B 加密

    用于移动设备的 AnyConnect 包含思科通用加密模块 (C3M)，该 Cisco SSL 实现包括 FIPS 140-2 兼容的加密模块和 NSA 套件 B 加密，是下一代加密 (NGE) 算法的一部分。套件 B 加密仅适用于 IPsec VPN；FIPS 兼容加密同时适用于 IPsec 和 SSL VPN。

    连接时与前端协商加密算法的使用。协商取决于 VPN 连接两端的功能。因此，安全网关还必须支持 FIPS 兼容加密和套件 B 加密。

    用户可将 AnyConnect 配置为仅在协商期间接受 NGE 算法，方法是在 AnyConnect 应用设置中启用 FIPS 型号 (FIPS Mode)。当“FIPS 型号”(FIPS Mode) 处于禁用状态时，AnyConnect 也接受 VPN 连接使用非 FIPS 加密算法。

    其他移动准则和限制

    • 套件 B 加密要求 Apple iOS 5.0 或更高版本；这是支持套件 B 中使用的 ECDSA 证书的 Apple iOS 最低版本。

    • 套件 B 加密要求 Android 4.0 (Ice Cream Sandwich) 或更高版本；这是支持套件 B 中使用的 ECDSA 证书的 Android 最低版本。

    • 在 FIPS 型号下运行的设备与按代理方法或传统方法使用 SCEP 为移动用户提供数字证书的方式不兼容。请相应计划您的部署。

    在 ASA 安全网关上配置移动设备 VPN 连接

    过程

    步骤 1

    请参阅相应版本的 思科 ASA 5500-X 系列下一代防火墙配置指南，以了解桌面和移动终端的通用配置过程。对于移动设备，请注意以下方面：

    属性

    ASDM 位置

    例外

    主页 URL

    Configuration > Remote Access VPN > Network (Client) Access > Group Policies > Add / Edit > Advanced > AnyConnect Client > Customization

    AnyConnect 移动将忽略主页 URL 设置。身份验证成功后，您无法重定向移动客户端。

    AnyConnect 连接配置文件的名称和别名

    Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Connection Profiles > Add / Edit

    请勿在用于 AnyConnect 移动客户端连接的隧道组（连接配置文件）的 Name 或 Aliases 字段中使用特殊字符。使用特殊字符可能导致 AnyConnect 客户端显示错误消息：Connect attempt has failed after logging that it is Unable to process response from Gateway。

    Dead Peer Detection

    配置 (Configuration) > 远程访问 VPN (Remote Access VPN) > 网络（客户端）访问 (Network (Client) Access) > 组策略 (Group Policies) > 添加/编辑 (Add/Edit) > 高级 (Advanced) > AnyConnect 客户端 (AnyConnect Client)

    关闭服务器端的失效对等检测，因为它会阻止设备休眠。但是，客户端的失效对等项检测应保持开启，因为它使客户端可以确定隧道何时由于缺少网络连接而终止。

    SSL 保持连接消息 (SSL Keepalive Messages)

    Configuration > Remote Access VPN > Network (Client) Access > Group Policies > Add / Edit > Advanced > AnyConnect Client

    我们建议禁用这些保持连接消息，以保护移动设备的电池寿命，尤其是在启用客户端失效对等项检测的情况下。

    IPsec over NAT-T 保持连接消息 (IPsec over NAT-T Keepalive Messages)

    配置 (Configuration) > 远程访问 VPN (Remote Access VPN) > 网络（客户端）访问 (Network (Client) Access) > 高级 (Advanced) > IPsec > IKE 参数 (IKE Parameters)

    必须选择启用 IPsec over NAT-T (Enable IPsec over NAT-T) 以使 AnyConnect IPsec 工作。启用时，默认情况下每 20 秒发送 NAT 保持连接消息，导致移动设备用电过度。

    为了最大限度地降低对移动设备设备电量消耗的影响，我们建议您将 NAT-T Keepalive 设为最大值 3600，因为这些消息无法禁用。

    使用 crypto isakmp nat-traversal 3600 命令在 ASA CLI 中指定此设置。

    步骤 2

    配置移动终端安全评估（也称为 AnyConnect 身份扩展，ACIDex），以根据需要接受、拒绝或限制移动连接。

    请参阅思科 ASA 5500-X 系列下一代防火墙配置指南相应版本中的配置 DAP 中使用的终端属性程序。

    示例:

    当建立连接时，以下属性由 Apple iOS 上的 AnyConnect 发送到前端： 

    endpoint.anyconnect.clientversion="4.0.03004";
endpoint.anyconnect.platform="apple-ios";
endpoint.anyconnect.devicetype="iPhone7,2";
endpoint.anyconnect.platformversion="9.0";
endpoint.anyconnect.deviceuniqueid="11025f84e99351e807f3583343bfec96351cb416";

    在 AnyConnect VPN 配置文件中配置移动设备连接

    AnyConnect VPN 客户端配置文件是指定客户端行为并定义 VPN 连接条目的 XML 文件。每个连接条目指定一个可访问终端设备及其他连接属性、策略和条件的安全网关。使用 AnyConnect 配置文件编辑器来创建 VPN 客户端配置文件，其中包括移动设备的主机连接条目。

    用户无法修改或删除从 ASA 传输到移动设备的 VPN 配置文件中定义的连接条目。用户只能修改和删除其手动创建的连接条目。

    在任一时刻，AnyConnect 在移动设备上只保留一个当前 VPN 客户端配置文件。在启动自动或手动 VPN 连接后，新的 VPN 配置文件完全取代当前配置文件。如果用户手动删除当前配置文件，则会删除此配置文件，同时删除此配置文件中定义的所有连接条目。

    过程

    步骤 1

    配置基本 VPN 访问。

    请参阅配置 VPN 访问，了解桌面和移动终端通用的处理以下例外的程序：

    配置文件属性

    例外

    Auto Reconnect

    对于 Apple iOS 之外的所有平台，无论自动连接如何规定，AnyConnect 移动版始终会尝试 ReconnectAfterResume。

    仅 Apple iOS 支持暂停时断开连接 (Disconnect on Suspend)。当选择“暂停时断开连接”(Disconnect on Suspend) 时，AnyConnect 将断开连接并释放分配到 VPN 会话的资源。只有用户手动连接或配置了按需连接，它才会作出响应而重新连接。

    本地局域网接入

    AnyConnect 移动版将忽略本地 LAN 接入设置，始终允许本地 LAN 接入，无论客户端配置文件中的设置如何。
    步骤 2

    配置移动特定属性：

    1. 在 VPN 客户端配置文件中，选择导航窗格中的 Server List。

    2. 选择 Add 将新服务器条目添加至列表，或从列表中选择服务器条目并按 Edit 打开 Server List Entry 对话框。

    3. 配置特定于移动设备的参数（如AnyConnect 配置文件编辑器，移动设置中所述）。

    4. 点击确定

    步骤 3

    使用以下方式之一来分发 VPN 客户端配置文件：

    • 配置 ASA 以在建立 VPN 连接后将客户端配置文件上传到移动设备。

      请参阅AnyConnect 配置文件编辑器章节，了解关于如何将 VPN 客户端配置文件导入 ASA 并将其与组策略相关联的说明。

    排除移动设备上的 AnyConnect 故障

    开始之前

    在移动设备上启用日志记录，并按照相应用户指南中的故障排除说明执行操作：

      如果遵循这些说明未能解决问题，请尝试以下操作：

      过程

      步骤 1

      确定在桌面客户端或其他移动操作系统上是否发生相同的问题。

      步骤 2

      确保在 ASA 中已安装适当的许可证。

      步骤 3

      如果证书身份验证失败，请检查以下项：

      1. 确保选择了正确的证书。

      2. 确保设备中的客户端证书将客户端身份验证作为扩展密钥使用。

      3. 确保 AnyConnect 配置文件中的证书匹配规则不会过滤掉用户选择的证书。

        即便用户选择了证书，如果该证书不匹配配置文件中的过滤规则，也不会使用它进行身份验证。

      4. 如果身份验证机制使用与 ASA 关联的任何记账策略，请验证用户是否能够成功进行身份验证。

      5. 如果您在期望使用仅证书身份验证时看到身份验证屏幕，请配置该连接以使用组 URL 并确保没有为隧道组配置辅助身份验证。

      下一步做什么

      如果问题仍然存在，请在客户端上启用日志记录并在 ASA 中启用调试日志记录。有关详细信息，请参阅合适版本的 思科 ASA 5500-X 系列下一代防火墙配置指南。

      此文档是否有帮助?

      Feedback反馈

      联系我们