Cisco Cisco AnyConnect Secure Mobility Client v4.x Administrator's Guide

• 通过“按需连接”功能自动建立。（仅适用于 Apple iOS）。

移动设备上的 AnyConnect VPN 连接条目

连接条目通过安全网关的完全限定域名或 IP 地址（如有需要，包括隧道组 URL）识别安全网关地
址，并包括许多其他连接属性。

AnyConnect 支持在一个移动设备上拥有多个连接条目，以便寻址不同安全网关和/或 VPN 隧道组。
如果配置了多个连接条目，则用户应了解使用哪个条目来发起 VPN 连接。通过以下方法之一来配
置连接条目：

• 用户手动配置。

有关在移动设备上配置连接条目的过程，请参阅相应的用户指南。

• 连接条目将在用户点击管理员提供的用于配置连接条目的链接后添加。

请参阅

生成 VPN 连接条目，第 224 页

可向用户提供此类连接条目配置。

• 由 Anyconnect VPN 客户端配置文件定义。

AnyConnect VPN 客户端配置文件指定客户端行为并定义 VPN 连接条目。有关详细信息，请参
阅

在 AnyConnect VPN 配置文件中配置移动设备连接，第 220 页

。

隧道模式

AnyConnect 可以在托管或未托管的自带设备 (BYOD) 环境中运行。这些环境中的 VPN 隧道只在以
下一种模式中运行：

• 系统隧道模式 - VPN 连接用于传送所有数据（全隧道），或仅传送流入/流出特定域或地址的数

据（拆分隧道）。

• Per App VPN 模式 - VPN 连接用于移动设备上的特定应用集。

AnyConnect 允许的应用集由头端上的管理员使用 ASA 定制属性机制进行定义。此列表将发送
给 AnyConnect 客户端，并在设备上实施。对于所有其他应用，在隧道之外或以明文形式发送
数据。

在 Apple iOS 上，要求托管环境在此模式下运行。在 Android 上，托管和未托管环境均受支持。
在这两个平台上的托管环境中，移动设备管理器还必须将设备配置为传送与 AnyConnect 配置
传送相同的应用列表。

AnyConnect 基于从 ASA 头端接收的配置信息确定它将在哪种模式下运行。具体而言，当正建立会
话时，与连接相关的组策略或动态访问策略 (DAP) 中存在或缺少 Per App VPN 列表。如果 Per App
VPN 列表存在，AnyConnect 将在 Per App VPN 模式下运行；如果它不存在，AnyConnect 将在系统
隧道模式下运行。

Cisco AnyConnect 安全移动客户端管理员指南，4.1 版

208