Cisco Cisco AnyConnect Secure Mobility Client v3.x Administrator's Guide

AnyConnect 允许的应用集由头端上的管理员使用 ASA 定制属性机制进行定义。此列表将发送
给 AnyConnect 客户端，并在设备上实施。对于所有其他应用，数据在隧道之外发送或以明文
形式发送。

在 Apple iOS 上，要求托管环境在此模式下运行。在 Android 上，托管和未托管环境均受支持。
在这两个平台上的托管环境中，移动设备管理器还必须对设备进行配置使其传送与 AnyConnect
配置传送相同的应用列表。

AnyConnect 基于从 ASA 头端接收的配置信息确定它将在哪种模式下运行。具体而言，当正建立会
话时，与连接相关的组策略或动态访问策略 (DAP) 中存在或缺少 Per App VPN 列表。如果 Per App
VPN 列表存在，AnyConnect 将在 Per App VPN 模式下运行；如果它不存在，AnyConnect 在系统隧
道模式下运行。

VPN 连接

AnyConnect VPN 连接通过以下方法之一建立：

• 由用户在 AnyConnect UI 中选择连接条目时手动建立。

• 由用户在点击管理员提供的自动连接操作时手动建立。请参阅

使用 URI 处理程序自动执行

AnyConnect 操作，第 222 页

。

• 通过“按需连接”功能自动建立。（仅适用于 Apple iOS）。

移动设备上的 AnyConnect VPN 连接条目

连接条目通过安全网关的完全限定域名或 IP 地址（如有需要，包括隧道组 URL）识别安全网关地
址，并包括许多其他连接属性。

AnyConnect 支持在一个移动设备上拥有多个连接条目，以便寻址不同安全网关和/或 VPN 隧道组。
如果配置了多个连接条目，则用户应了解使用哪个条目来启动 VPN 连接。通过以下方法之一来配
置连接条目：

• 用户手动配置。

有关在移动设备上配置连接条目的过程，请参阅相应的用户指南。

• 连接条目将在用户点击管理员提供的用于配置连接条目的链接后添加。

请参阅

生成 VPN 连接条目，第 223 页

向用户提供此类连接条目配置。

• 由 Anyconnect VPN 客户端配置文件定义。

AnyConnect VPN 客户端配置文件指定客户端行为并定义 VPN 连接条目。有关详细信息，请参
阅

在 AnyConnect VPN 配置文件中配置移动设备连接，第 219 页

。

移动设备的安全网关身份验证

建立 VPN 连接时，AnyConnect 将使用从安全网关接收的数字证书来验证服务器的身份。如果服务
器证书无效（因过期或日期无效、密钥使用错误或名称不匹配导致证书错误），或证书不受信任（证

Cisco AnyConnect 安全移动客户端管理员指南，4.0 版

206