Cisco Cisco AnyConnect Secure Mobility Client v3.x Administrator's Guide

移动设备的安全网关身份验证

建立 VPN 连接时，AnyConnect 将使用从安全网关接收的数字证书来验证服务器的身份。如果服务
器证书无效（因过期或日期无效、密钥使用错误或名称不匹配导致证书错误），或证书不受信任（证
书无法由证书颁发机构验证），抑或同时出现上述两种情况，则连接将被阻止。此时将显示一条阻
止消息，用户必须选择如何处理。

Block Untrusted Servers 应用设置确定 AnyConnect 在无法识别安全网关时的响应方式。默认情况下
开启此保护；用户可关闭此保护，但不建议这样做。

当 Block Untrusted Servers 开启后，将向用户显示一条 Untrusted VPN Server 阻止通知，告知此安
全威胁。用户可选择：

• Keep Me Safe 以终止此连接，保持安全。

• Change Settings 以关闭 Block Untrusted Servers 应用首选项，但不建议这样做。用户禁用此安

全保护功能后，必须重新初始化 VPN 连接。

当 Block Untrusted Servers 关闭后，将向用户显示一条 Untrusted VPN Server 取消阻止通知，告知
此安全威胁。用户可选择：

• Cancel 以取消连接并保持安全。

• Continue 以继续连接，但不建议这样做。

• View Details 以查看证书详细信息，更直观地判断证书的可接受性。

如果用户正在查看的证书有效但不受信任，则用户可以：

选择 Import and Continue 将服务器证书导入 AnyConnect 证书存储区供以后使用，并继续
连接。

当此证书导入 AnyConnect 存储区后，使用此数字证书与服务器建立的后续连接将被自动
接受。

返回上一屏幕并选择 Cancel 或 Continue。

如果证书因任何原因无效，用户只能返回上一屏幕并选择 Cancel 或 Continue。

最安全的网络 VPN 连接配置是：将 Block Untrusted Servers 设置为 ON，在安全网关上配置有效、受
信任的服务器证书，并指示移动用户始终选择 Keep Me Safe。

移动设备上的客户端身份验证

要完成 VPN 连接，用户必须提供用户名和密码、数字证书或这两种形式的凭证进行身份验证。管
理员可以定义隧道组上的身份验证方法。为了保证在移动设备上提供最佳用户体验，思科建议根据
身份验证配置情况使用多个 AnyConnect 连接配置文件。您必须确定平衡用户体验和安全的最佳方
法。我们的建议如下：

Cisco AnyConnect 安全移动客户端管理员指南，4.1 版

209