如果 AnyConnect 软件和配置文件更新可用且客户端允许更新，则可在连接到前端时进行更新。为 AnyConnect 更新配置前端，以便可以进行更新。VPN 本地策略文件中的更新策略设置决定了是否允许更新。

更新策略有时被称之为软件锁定。如果配置了多个前端，更新策略也称之为多域策略。

默认情况下，更新策略设置允许来自任何前端的软件和配置文件更新。请按如下方式设置更新策略参数以限制此操作：

• 通过在 Server Name 列表中指定头端，允许或授权特定头端更新所有 AnyConnect 软件和配置文件。

  前端服务器名可以是 FQDN 或 IP 地址。同时也可以是通配符，例如：*.example.com。

  有关更新发生方式的完整说明，请参阅以下授权服务器更新策略行为。

• 对于所有其他未指定或未授权的前端：

  • 使用 Allow Software Updates From Any Server 选项，允许或拒绝 VPN 核心模块和其他可选模块的软件更新。

  • 使用 Allow VPN Profile Updates From Any Server 选项，允许或拒绝 VPN 配置文件更新。

  • 使用 Allow Service Profile Updates From Any Server 选项，允许或拒绝其他服务模块配置文件更新。

  • 使用 Allow ISE Posture Profile Updates From Any Server 选项，允许或拒绝 ISE 终端安全评估配置文件更新。
  • 使用 Allow Compliance Module Updates From Any Server 选项，允许或拒绝合规性模块更新。

    有关更新发生方式的完整说明，请参阅以下未授权的服务器更新策略行为。

当连接到 Server Name 列表中的已授权头端时，其他更新策略参数不适用并且会出现以下情况：

• 比较前端上 AnyConnect 软件包的版本与客户端版本，以确定软件是否应该更新。

  • 如果 AnyConnect 软件包的版本比客户端上的版本旧，则不进行软件更新。

  • 如果 AnyConnect 软件包的版本与客户端上的版本相同，则只下载和安装在前端上配置以供下载并且在客户端上不存在的软件模块。

  • 如果 AnyConnect 软件包的版本比客户端的版本新，则下载和安装前端上为下载配置的软件模块以及客户端上已安装的软件模块。

• 前端上的 VPN 配置文件、ISE 终端安全评估配置文件和每个服务配置文件都将与客户端上的配置文件进行比较以确定是否应更新：

  • 如果前端的配置文件与客户端的配置文件相同，则不会进行更新。

  • 如果前端的配置文件与客户端的配置文件不同，则会进行下载。

连接到未授权的头端时，系统将通过 Allow ... Updates From Any Server 选项确定 AnyConnect 的更新方式，如下所述：

• Allow Software Updates From Any Server:

  • 如果选中此选项，则允许对此未授权的 ASA 进行软件更新。根据对上述授权前端的版本比较进行更新。

  • 如果未选中此选项，则不会进行软件更新。此外，如果基于版本比较发生更新，系统将终止 VPN 连接尝试。

• Allow VPN Profile Updates From Any Server:

  • 如果选中此选项，则当前端的 VPN 配置文件与客户端的配置文件不同时，对 VPN 配置文件进行更新。

  • 如果未选中此选项，则不会更新 VPN 配置文件。此外，如果基于差异发生 VPN 配置文件更新，系统将终止 VPN 连接尝试。

• Allow Service Profile Updates From Any Server:

  • 如果选中此选项，则当前端的配置文件与客户端的配置文件不同时，对每个服务配置文件进行更新。

  • 如果未选中此选项，则不会更新服务配置文件。

• Allow ISE Posture Profile Updates From Any Server:

  • 如果选中此选项，则在前端 ISE 终端安全评估配置文件不同于客户端 ISE 终端安全评估配置文件时，更新 ISE 终端安全评估配置文件。

  • 如果未选中此选项，则不会更新 ISE 终端安全评估配置文件。ISE 终端安全评估代理需要具备 ISE 终端安全评估配置文件才能运行。

• Allow Compliance Module Updates From Any Server:

  • 如果选中此选项，则在前端合规性模块不同于客户端合规性模块时更新合规性模块。

  • 如果未选中此选项，则不更新合规性模块。ISE 终端安全评估代理需要具备合规性模块才能运行。

• 通过在授权的 Server Name 列表中列出服务器的 IP 地址，远程用户可以使用该 IP 地址连接到头端。如果用户尝试使用 IP 地址连接，但前端被列为 FQDN，那么该尝试将被视为连接到未授权的域。

• 软件更新包括下载定制、本地化、脚本和转换。在禁止软件更新时，将不会下载这些项目。如果某些客户端不允许脚本更新，请不要依赖脚本来实施策略。

• 下载启用永不间断的 VPN 配置文件将删除客户端上的所有其他 VPN 配置文件。在决定允许或拒绝从未授权前端或非企业前端更新 VPN 配置文件时，请注意这一点。

• 如果因安装和更新策略而未能将 VPN 配置文件下载到客户端，则以下功能将不可用：

  服务禁用	不受信任网络策略
  证书存储区覆盖	受信任的 DNS 域
  显示预连接消息	受信任 DNS 服务器
  本地局域网接入	永不间断
  在登录前启动	强制网络门户补救
  本地代理连接	脚本编写
  PPP 排除	注销时保持 VPN
  自动 VPN 策略	需要设备锁定
  受信任的网络策略	自动服务器选择

• 下载程序将创建一个单独的文本日志 (UpdateHistory.log) 来记录下载历史信息。此日志包含更新时间、更新客户端的 ASA、更新的模块以及升级前后安装的版本。此日志文件存储于：

  %AllUsers%\Application Data\Cisco\Cisco AnyConnect Secure Mobility Client\Logs 目录。

此示例显示了客户端上的 AnyConnect 版本不同于各 ASA 前端时客户端的更新行为。

假定 VPN 本地策略 XML 文件中的更新策略如下：

<?xml version="1.0" encoding="UTF-8"?>
<AnyConnectLocalPolicy acversion="2.4.140"
xmlns=http://schemas.xmlsoap.org/encoding/
xmlns:xsi=http://www.w3.org/2001/XMLSchema-instance
xsi:schemaLocation="http://schemas.xmlsoap.org/encoding/ AnyConnectLocalPolicy.xsd">
<FipsMode>false</FipsMode>
<BypassDownloader>false</BypassDownloader><RestrictWebLaunch>false</RestrictWebLaunch>
<StrictCertificateTrust>false</StrictCertificateTrust>
<RestrictPreferenceCaching>false</RestrictPreferenceCaching>
<RestrictTunnelProtocols>false</RestrictTunnelProtocols>
<UpdatePolicy>
<AllowSoftwareUpdatesFromAnyServer>true</AllowSoftwareUpdatesFromAnyServer>
<AllowVPNProfileUpdatesFromAnyServer>true</AllowVPNProfileUpdatesFromAnyServer>
<AllowServiceProfileUpdatesFromAnyServer>true</AllowServiceProfileUpdatesFromAnyServer>
<AllowISEProfileUpdatesFromAnyServer>false</AllowISEProfileUpdatesFromAnyServer>
<AllowComplianceModuleUpdatesFromAnyServer>true</AllowComplianceModuleUpdatesFromAnyServer>
<AuthorizedServerList>
   <ServerName>seattle.example.com</ServerName>
   <ServerName>newyork.example.com</ServerName>
    </AuthorizedServerList>
</UpdatePolicy>
</AnyConnectLocalPolicy>

有以下 ASA 前端配置：

当客户端当前运行 AnyConnect VPN 和网络访问管理器模块时，可能出现以下更新序列：

• 客户端连接到 seattle.example.com，这是一个采用相同版本的 AnyConnect 来配置的授权服务器。下载并安装了网络安全软件模块和网络安全配置文件（如果可用）。如果 VPN 和网络访问管理器配置文件可供下载，且不同于客户端上的 VPN 和配置文件，则也会被下载。

• 客户端随后连接到 newyork.example.com，这是一个采用较新版本的 AnyConnect 来配置的授权 ASA。下载并安装了 VPN、网络访问管理器和网络安全模块。若配置文件可供下载且不同于客户端上的配置文件，则也会被下载。

• 客户端随后连接到 raleigh.example.com，这是一个未授权的 ASA。因为允许软件更新，所以 VPN、网络访问管理器、网络安全和终端安全评估模块均会升级。由于不允许更新 VPN 配置文件和服务配置文件，因此无法下载这些配置文件。如果认为 VPN 配置文件已更新（基于差异），则连接将终止。