随着越来越多的人远程工作或在混合环境中工作，IT部门和MSP在ASA防火墙上配置Cisco AnyConnect VPN的呼声越来越高。但是Cisco文档可能会非常混乱，这会导致一些组织的配置错误（我们指的是不安全）。

　　在这篇文章中，我们将分析Cisco AnyConnect的来龙去脉，包括它是什么，为什么它很重要，以及为你的VPN正确配置Cisco AnyConnect需要采取哪些步骤。

　　Cisco AnyConnect是由Cisco Systems开发的一个软件程序，为用户提供安全的VPN（虚拟专用网络）连接。它主要由企业和组织使用，使远程工作者能够通过互联网安全地访问内部网络和资源。

　　安全连接：AnyConnect提供加密的网络连接，确保远程用户和公司网络之间传输的数据是安全的，并防止未经授权的访问。

　　支持多个平台：AnyConnect与各种操作系统兼容，包括Windows、macOS、Linux以及iOS和Android等移动平台。

　　自动网络检测：该软件可以自动检测用户何时处于不安全的网络上，并建立VPN连接以确保通信安全。

　　远程访问：它允许远程用户访问内部网络资源，就好像他们在办公室一样，这对远程工作场景特别有用。

　　可自定义的策略和访问控制：管理员可以设置策略来控制用户对网络资源的访问，确保用户根据其角色拥有适当的访问级别。

　　端点评估：AnyConnect可以评估用于连接网络的设备的安全状况，确保其在允许访问之前符合某些安全标准。

　　现在你已经了解了其中的一些好处，让我们来完成为你的VPN配置Cisco AnyConnect所需的步骤。

　　首先要配置的是AAA身份验证。我倾向于使用RADIUS进行身份验证和授权，但也有其他选项，如LDAP。配置类似：

　　这个配置片段说，我的网络中有一个RADIUS服务器，IP地址为10.10.1.1，我在ASA配置中用标签“MYRADIUS”来指代它。它是通过ASA接口访问的，我在接口配置中称之为“INSIDE”。

　　当用户连接他们的VPN时，他们需要一个VPN会话的IP地址。这是将显示在此用户的公司网络中的地址。它与用户的公共IP地址或他们在家庭网络中可能拥有的任何地址无关。它只是在远程用户的流量通过ASA后在网络内部使用。

　　这将创建两个称为ANYCON_1和ANYCON_2的隧道组。我已经将第一个池分配给第一个隧道组，将第二个池分配给与第二个。

　　这里我使用的是“group-alias”命令，它在用户电脑上的AnyConnect客户端上创建了一个下拉框。用户将看到他们可以选择Employees或Vendor作为选项。我们正在创建的配置将允许第一组中的用户仅连接到第一个隧道组，而第二组中的使用者仅连接到第二个隧道组。

　　请注意，“authentication-server-group”命令在这两个隧道组中可能不同。因此，我可以将我的员工发送到一个RADIUS服务器（也许是一个与我的LDAP集成的服务器，或者等效地，我可以在防火墙上本地使用LDAP），并将供应商发送到另一个服务器。

　　现在我们需要组策略。事实上，我们需要三个。我们需要一个针对员工的组策略，另一个针对供应商的策略。第三种策略适用于以某种方式通过身份验证但未通过授权的任何人。也就是说，他们有有效的登录凭据，但没有被授权使用VPN。

　　发生这种情况的主要原因是他们只是选择了错误的配置文件。但也有可能有人根本没有被授权使用VPN，即使他们有合法的凭据。这种情况可能会发生，因为许多事情都使用相同的身份验证系统。

　　这些名字是从哪里来的？这就是事情变得有点混乱的地方，所以请耐心等待如何设置手机vpn连接。组策略名称STAFF_VPN_GROUP和VENDOR_VPN_GROUP是由RADIUS或LDAP服务器提供的值。必须对服务器进行配置，以便在成功身份验证后，将这些值交回IETF类型25字段（也称为类）中。并且它必须是特定的格式：OU=STAFF_VPN_GROUP;（包含分号）。

　　我想提到的另一个重要的配置是“vpn-filter”命令。这为这些用户应用了一个特殊的ACL（访问控制列表），并允许我们限制他们可以访问和不能访问的内容。例如，如果我想允许员工组访问公司网络中的任何内容，但要限制供应商只能访问特定的子网，我可以这样做：