您可以将 NVM 用于以下场景：

• 在发生安全事件后，审核用户网络历史记录的潜在泄露。

• 查看系统或管理权限如何影响在用户的设备上正在运行且连接网络的进程。

• 获取运行旧版操作系统的所有设备的列表。

• 确定您的网络中的哪些应用正在占用最高的网络带宽。

• 确定您的网络中正在使用多少个 Firefox 版本。

• 确定您的网络中 IPv6 占 Chrome.exe 连接的百分比。

在配置文件编辑器中，配置收集服务器的 IP 地址或 FQDN。您还可以自定义数据收集策略，用于选择要发送哪些类型数据，以及确定数据是否匿名。

网络可视性模块可以使用包含 IPv4 地址的单个堆栈 IPv4、包含 IPv6 地址的单个堆栈 IPv6 或双堆栈 IPv4/IPv6，建立与操作系统首选的 IP地址的连接。

注

当网络可视性模块在受信任网络中时，该模块发送流量信息。默认情况下，不收集任何数据。仅在配置文件中进行了相应配置时才会收集数据，且连接终端后，会继续收集数据。如果在一个不可信网络上进行收集，则会缓存数据，并在终端处于受信任的网络中时发送数据。 如果已在 NVM 配置文件中配置了 TND，则受信任的网络检测由 NVM 完成，并且不依赖于 VPN 来确定终端是否位于受信任的网络中。但是，如果 TND 未在 NVM 配置文件中明确配置，NVM 会使用 VPN 的 TND 功能来确定终端是否位于受信任的网络中。此外，如果 VPN 为已连接状态，则会将终端视作处于受信任网络中，并会发送流信息。NVM 特定的系统日志会显示 TND 使用情况。有关 TND 参数设置的信息，请参阅 AnyConnect 配置文件编辑器，首选项（第 2 部分）。

• 桌面 (Desktop) 或移动 (Mobile) - 确定是在桌面还是移动设备上设置 NVM。桌面 (Desktop) 是默认值。 未来将支持移动设备。

• 收集器配置

  • IP 地址/FQDN (IP Address/FQDN) - 指定收集器的 IPv4 或 IPv6 IP 地址/FQDN。

  • 端口 (Port) - 指定收集器正在侦听哪个端口号。

• 缓存配置

  • 最大大小 (Max Size) - 指定该数据库可以达到的最大大小。以前对缓存大小有预设的限制，但您现在可在配置文件中配置它。缓存中的数据以加密格式存储，因此只有拥有根权限的进程可以解密数据。

    一旦达到大小限制，将从空间中丢弃最旧数据，将空间留给新数据。

  • 最大持续时间 (Max Duration) - 指定您希望将数据存储多少天。如果您还设置了最大大小，则首先达到的限制优先。

    一旦达到天数限制，将从空间中丢弃日期最早的数据，将空间留给日期最近的数据。如果仅配置了“最大持续时间 (Max Duration)”，则没有大小上限；如果二者都被禁用，则大小上限为 50 MB。

• 定期流量报告（可选，仅应用于桌面）- 单击以启用定期流量报告。默认情况下，NVM 发送连接结束时的流量相关信息 （当禁用此选项时）。如果需要定期的流量相关信息（甚至在这些流量被关闭之前），请在此处设置间隔（以秒为单位）。值为 0 表示在每个流量开始和结束时发送流量信息。如果值为 n ，则将在每个流量开始时、每隔 n 秒时和结束时发送流量信息。使用此设置跟踪长期运行的连接（甚至在这些连接被关闭之前）。

• 限制速率 (Throttle Rate) - 限制控制以什么速率将数据从缓存发送到收集器，以便尽量减小对最终用户的影响。您可以对实时和缓存数据应用限制（只要存在缓存的数据）。以 Kbps 为单位，输入限制速率。默认值为 500 Kbps。

  在该固定时段后，缓存数据将被导出。输入 0 将禁用该功能。

• 收集模式 (Collection Mode) - 通过选择收集模式关闭 (collection mode is off)、仅受信任网络 (trusted network only)、仅不受信任网络 (untrusted network only) 或所有网络 (all networks)，指定应从终端收集数据的时间。

• 收集标准 (Collection Criteria) - 您可以在数据收集时减少不必要的广播，以便仅分析相关数据。通过以下选项控制数据搜集：

  • 广播数据包 (Broadcast packets) 和组播数据包 (Multicast packets)（仅适用于桌面）- 默认情况下，为了提高效率，会关闭广播和组播数据包收集，以便缩短在后端资源上花费的时间。单击该复选框可启用对广播和组播数据包的收集并过滤数据。

  • 仅限 KNOX (KNOX only)（可选且特定于移动设备）- 选中后，将仅从 KNOX 工作空间收集数据。默认情况下，未选中此字段，将会从工作空间内部和外部收集数据。

• 数据收集策略 (Data Collection Policy) - 您可以添加数据收集策略，并将它们与网络类型或连接情形相关联。您可以将一种策略应用于 VPN，而将另一种策略应用于非 VPN 流量，因为多个接口可以同时处于活跃状态。

  在单击 Add 时，系统显示 Data Collection Policy 窗口。在创建策略时，请记住以下指导原则：

  • 默认情况下，如果未创建策略或未与网络类型相关联，则将报告和收集所有字段。

  • 每种数据收集策略必须与至少一种网络类型相关联，但您不能将两种策略与同一种网络类型相关联。

  • 具有更具体的网络类型的策略优先。例如，因为 VPN 是受信任网络的一部分，所以包含 VPN 网络类型的策略的优先级高于采用受信任网络为指定网络的策略。

  • 您只能基于所选的收集模式，为网络创建适用的数据收集策略。例如，如果收集模式 (Collection Mode) 设置为 仅受信任网络 (Trusted Network Only)，您无法为不受信任网络类型 (Untrusted Network Type) 创建数据收集策略 (Data Collection Policy)。

  • 如果从较新版本的 AnyConnect 打开来自较早版本 AnyConnect 的配置文件，它会自动将该配置文件转换为较新的版本。转换过程中会为所有网络添加数据收集策略，用于排除先前匿名的字段。

  • 名称 (Name) - 为您要创建的策略指定名称。

  • 网络类型 (Network Type) - 通过选择 VPN、受信任或不受信任，来确定收集模式，或者应用数据收集策略的网络。如果您选择受信任网络，则策略也适用于 VPN 案例。

  • 流过滤器规则 - 定义一组条件和一个操作，可以在满足所有条件时收集或忽略流。请参阅关于流过滤器获得更多信息。您最多可以配置 25 条规则，每条规则最多可以定义 25 个条件。使用“流过滤器规则”列表右侧的向上和向下按钮调整规则的优先级，并对后续规则给予更高的考虑。单击添加设置流过滤器规则的组成要素。

    • 名称 - 流过滤器规则的唯一名称。

    • 类型 - 每个过滤器规则都有“收集”或“忽略”类型。确定满足过滤器规则时要执行的操作（“收集”或“忽略”）。如果收集，则在满足条件时允许流。如果忽略，则丢弃流。

    • 条件 - 为要匹配的每个字段添加一个条目以及一个运算，以确定字段值对匹配项是否应相等或不相等。每个运算都有一个字段标识符和该字段的对应值。字段匹配区分大小写。

      条件 - 为要匹配的每个字段添加一个条目以及一个运算，以确定字段值对匹配项是否应相等或不相等。每个运算都有一个字段标识符和该字段的对应值。该字段区分大小写，除非您在设置过滤器引擎规则时对规则集应用了不区分大小写操作 (EqualsIgnoreCase)。启用后，规则中设置的 Value 字段中的输入不区分大小写。

  • 包括/排除

    • 类型 (Type) - 确定要在数据收集策略中包含 (Include) 或排除 (Exclude) 的字段。默认值为排除 (Exclude)。会收集所有未选中的字段，而且未选中任何字段。

    • 字段 (Fields) - 确定将哪些字段作为数据收集策略的一部分。根据网络类型和包含或排除的字段，NVM 将在终端上收集相应数据。

      对于 AnyConnect 版本4.4（和更高版本），您现在可以选择接口状态和 SSID，这将指定接口的网络状态为受信任还是不受信任。

    • 可选匿名字段 (Optional Anonymization Fields) - 如果要关联同一终端上的记录，同时保留隐私，请选择所需的字段进行匿名化，它们将作为值的哈希而不是实际值进行发送。字段的子集可用于匿名化。

      标记为包含或排除的字段不可用于匿名；同样，标记为匿名的字段不可用于包含或排除。

• 可接受的使用策略 (Acceptable Use Policy)（可选且特定于移动设备）- 单击编辑 (Edit)，在对话框中为移动设备定义可接受的使用策略。完成后，单击确定 (OK)。最多允许 4000 个字符。

  配置 NVM 后，此消息会显示给用户。远程用户无法选择拒绝 NVM 活动。网络管理员使用 MDM 工具控制 NVM。

• 受信任的网络检测 — 此功能可检测终端是否实际上位于公司网络中。NVM 使用网络状态来确定何时导出 NVM 数据并应用相应的数据收集策略。点击配置以设置受信任的网络检测的配置。SSL 探测会发送到已配置的受信任前端，如果可访问，则前端会使用证书响应。然后，系统将根据配置文件编辑器中的散列设置提取指纹（SHA-256 散列）并将其与之匹配。成功匹配表明终端位于受信任的网络中；但是，如果前端无法访问，或者如果证书散列不匹配，则系统会将终端视为位于不受信任的网络中。

  注	从内部网络的外部进行操作时，TND 会执行 DNS 请求并尝试与已配置服务器建立 SSL 连接。思科强烈建议使用别名，以确保在内部网络以外使用的机器不会通过这些请求泄露您组织的名称和内部结构。

  如果 TND 未在 NVM 配置文件中配置或如果已安装了 VPN 模块，NVM 会使用 VPN 的 TND 功能来确定终端是否位于受信任的网络中。NVM 配置文件编辑器中的 TND 配置包括以下内容：

  1. https:// — 输入每个受信任服务器的 URL （IP 地址、FQDN 或端口地址），然后单击添加）。

     注	代理后的受信任服务器不受支持。

  2. 证书散列 (SHA-256) — 如果与受信任服务器的 SSL 连接成功，则系统会自动填充此字段。否则，您可以通过输入服务器证书的 SHA-256 散列并单击设置来手动对其进行设置。

  3. 受信任服务器列表 — 通过此过程可以定义多个受信任服务器。（至多 10 个。）由于服务器会按已配置的顺序尝试受信任的网络检测，因此您可以使用上移和移动 |向下按钮来调整该顺序。如果终端无法连接到第一台服务器，它会尝试连接第二台服务器，依此类推。在对列表中的所有服务器进行尝试后，终端等待 10 秒后会再进行最后一次尝试。当服务器进行身份验证时，系统会视为终端在受信任的网络中。

将配置文件另存为 NVM_ServiceProfile.xml。您必须将配置文件准确保存为此名称，否则 NVM 将无法收集和发送数据。

添加流过滤器会将当前数据收集策略扩展为仅以字段为中心，其中为每个流中的给定字段配置操作。通过“流过滤器”，您可以创建和应用规则以收集或忽略整个流（而不只是特定的字段），从而只监控感兴趣的流量，可能降低存储要求。

• 只有在与流数据匹配时满足规则中指定的所有条件时，规则才匹配。

• 所满足的第一个规则会应用于流。

• 如果过滤策略允许，还会在流上应用其余的数据收集策略（包括/排除字段、匿名字段）。

• 使用多个规则的实例，

  • 如果没有与流数据匹配的规则，不会对流执行任何操作。此时会遵循默认行为，即收集流。

  • 如果规则与流数据匹配，则应用该流规则中指定的操作。不检查后续规则。“NVM 配置文件编辑器流过滤器规则”参数中指定的规则顺序指示出现多个匹配时的优先级。

使用通配符、CIDR 和转义序列支持

输入规则条件时，对于 IP 地址，可以使用通配符或 CIDR 表示法定义更广泛的字段值。此外，还可以在字段值中使用某些转义序列。对于 IP 字段，CIDR/斜线符号可以指定规则应匹配的 IP 地址。例如，“192.30.250.00/16”将匹配有通过应用子网掩码“255.255.0.0”得到的路由前缀“192.30.0.0”的所有地址。对于文本字段，可以使用通配符（* 和 ?）和转义序列（\*、\? 和 \\）捕获更广泛的输入。例如，登录用户“Jane*”将匹配以“Jane”开头的所有用户名。

实现流量过滤方案的示例配置

以下参数在终端收集并导出到收集器︰

部分客户反馈模块集合可以提供关于是否已安装 NVM、每日流量和数据库大小等的数据。