使用以下方法之一启动网络安全配置文件编辑器：

• 打开 ASDM 并选择 Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Client Profile。

• 在 Windows 单机型号下，选择 Start > All Programs > Cisco > Cisco AnyConnect Profile Editor > Web Security Profile Editor。

打开要编辑的网络安全客户端配置文件。

单击 Preferences。

选择 User Controllable。（这是默认设置。）User Controllable 确定用户是否可以更改 AnyConnect 界面中的 Automatic Tower Selection 和 Order Scanning Proxies by Response Time 设置。

为了让网络安全自动选择扫描代理，请选择 Automatic Scanning Proxy Selection。如果您执行此操作，将自动选择 Order Scanning Proxies by Response Time。

如果您选择 Order Scanning Proxies by Response Time，请配置以下设置来计算哪个扫描代理的响应时间最短。

单击可启用安全受信任的网络检测，该检测会以物理或 VPN 连接方式检测终端位于企业 LAN 上的时间。如果启用，源自企业 LAN 的任何网络流量将会绕过思科云网络安全扫描代理。

在 https 字段中，输入每个受信任的服务器的 URL，然后单击添加。URL 可包括端口地址。配置文件编辑器此时将尝试连接受信任服务器。如果不可行，但您知道服务器证书的 SHA-256 散列，请在证书散列框中输入相应值，然后单击设置。

保存网络安全客户端配置文件。

使用以下方法之一启动网络安全配置文件编辑器：

• 打开 ASDM 并选择 Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Client Profile。

• 在 Windows 单机型号下，选择 Start > All Programs > Cisco > Cisco AnyConnect Profile Editor > Web Security Profile Editor。

打开要编辑的网络安全客户端配置文件。

单击网络安全树状窗格中的 Preferences。

选择 Enable Trusted Network Detection。

在 https 字段中，输入每个受信任服务器的 URL，然后单击 Add。URL 可包括端口地址。配置文件编辑器此时将尝试连接受信任服务器。如果无法连接，而您知道服务器证书的 SHA-256 哈希值，请在 Certificate hash 框中输入该值并单击 Set。

保存网络安全客户端配置文件。

使用以下方法之一启动网络安全配置文件编辑器：

• 打开 ASDM 并选择 Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Client Profile。

• 在 Windows 单机型号下，选择 Start > All Programs > Cisco > Cisco AnyConnect Profile Editor > Web Security Profile Editor。

打开要编辑的网络安全客户端配置文件。

单击 Authentication。

在 Proxy Authentication License Key 字段中，输入与在 Cisco ScanCenter 中创建的公司密钥、组密钥或用户密钥对应的许可证密钥。要根据用户的企业域对用户进行身份验证，请输入您创建的公司密钥。要根据用户的 Cisco ScanCenter 或 Active Directory 组对用户进行身份验证，请输入您创建的组密钥。该标记默认为空。如果将其留空，网络安全以直通型号运行。

输入 Service Password。网络安全的默认密码是 websecurity。请在定制配置文件时更改此密码。密码只能包含字母数字字符（a-z、A-Z、0-9）和以下特殊字符，因为其他字符可能被 Windows 命令外壳误认为控制字符或在 XML 中有特殊意义。

~ @ # $ % * - _ + = { } [ ] : , . ? /

随每个 HTTP 请求发送扫描代理服务器企业域信息和思科云网络安全或 Active Directory 组信息。扫描代理根据其对用户域和组成员身份的了解应用流量过滤规则。

1. 单击 Enable Enterprise Domains。在列表中，单击 All Domains。当选择 All Domains 选项并且计算机在域中时，则将匹配用户所属的域，并且将用户名和组成员身份信息发送到思科云网络安全扫描代理。此选项适用于具有多个域的公司。

2. 或者，单击 Specify Individual Domains。

   以 NetBIOS 格式输入每个域名，然后单击 Add。例如，example.cisco.com 的 NetBIOS 格式是 cisco。使用 DNS 格式，请不要输入域：abc.def.com。

   如果在 Enterprise Domain name 字段中指定域名，思科云网络安全会识别当前登录的 Active Directory 用户、枚举该用户的 Active Directory 组，并将该信息随每个请求发送到扫描代理。

3. 在 Use 列表中，单击 Group Include List 或 Group Exclude List，以在发送到思科云网络安全扫描代理的 HTTP 请求中包含或排除组信息。值可以是要匹配的字符串的任何子字符串。

   Group Include List。选择 Group Include List 之后，将思科云网络安全或 Active Directory 组名称添加到 Group Include List 中。这些组名称将随 HTTP 请求发送到思科云网络安全扫描代理服务器。如果请求来自指定企业域中的用户，将根据用户的组成员身份对 HTTP 请求进行过滤。如果用户没有组成员身份，将使用一组默认的规则对 HTTP 请求进行过滤。

   Group Exclude List. 将思科云网络安全或 Active Directory 组名称添加到 Group Exclude List。这些组名不发送到 HTTP 请求的思科云网络安全扫描代理服务器。如果用户属于 Group Exclude List 中的一个组，该组名称不会发送到扫描代理服务器，并将根据其他组成员身份或至少根据一组默认过滤规则对用户的 HTTP 请求进行过滤，该组规则为没有 Active Directory 或思科云网络安全组附属关系的用户进行定义。

单击未加入域的计算机的自定义匹配和报告，可发送扫描代理服务器的自定义名称。

1. 在列表中，单击 Computer Name 可使用该计算机的名称。或者，单击 Local User 可使用本地用户名。或者，单击 Custom Name，然后输入定制用户名。它可由任何字符串定义。如果不输入字符串，则会将计算机的 IP 地址发送到扫描代理服务器。此用户名或 IP 地址用于任何 Cisco ScanCenter 报告中，以识别来自定制用户的 HTTP 流量。

2. 在 Authentication Group 字段中，输入最多 256 个字母数字字符的定制组名称，然后单击 Add。

保存网络安全客户端配置文件。

在 ASDM 中，转到配置 > 远程接入 VPN > 网络 (客户端) 接入 > 组策略。

选择组策略，单击 Edit 或 Add 可编辑或新增组策略。

选择高级 > 分割隧道。

单击 Set up split exclusion for Web Security。

输入新的或选择现有的用于网络安全分隔排除的接入列表。ASDM 设置要用于网络列表的访问列表。

对新列表单击 Create Access List，或者对现有列表单击 Update Access List。

单击 OK。

使用网络安全配置文件编辑器，为网络安全设备创建新的客户端配置文件。该客户端配置文件必须包含思科云网络安全许可证密钥。

将该客户端配置文件另存为明文 XML 文件。将此文件上传到思科 ScanCenter 服务器。文件上传后，使新的客户端配置文件可用于网络安全客户端。

如果为公司启用了托管配置功能，则通过思科 ScanCenter 为公司上传新的客户端配置文件并应用该配置文件。托管客户端配置文件与某个许可证关联。如果正在使用不同的许可证（例如，不同的组许可证密钥），则每个许可证可让自己的客户端配置文件与其关联。您可以在随后根据为不同用户配置了哪些许可证，向它们向下推送不同的客户端配置文件。您可以为每个许可证存储多个配置，并设置供客户端下载的默认客户端配置文件。用户随后可以切换到存储在思科 ScanCenter 的托管配置区域中的其他配置修订版之一，方法是选择该客户端配置文件作为默认客户端配置文件。一个许可证只与一个客户端配置文件关联。因此，当有多个修订版与许可证关联时，只能有一个默认客户端配置文件。