Cisco Secure Client Always-On：先把配置文件部署到终端
Cisco Secure Client Always-On 要求终端配置文件在策略生效之前就已就位：检查登录前适用范围、下发方式、失败策略与可信网络。
仅靠设备侧设置无法让一台未注册的笔记本表现得像受管终端，而大多数 Always-On 推广正是卡在这个缺口上。Cisco Secure Client 通过存放在机器上的配置文件来实施策略，因此把这个配置文件送达终端是实施方案的组成部分，而不是其中的一个细节。请按顺序走完下面五个步骤，并在第一个不成立的步骤处停下，因为后面的步骤无法弥补前面的缺口。
第一步：判断规则是否在登录前生效
Always-On 在用户登录之后才建立隧道，厂商文档明确说明：无人登录时它不会建立连接。如果你需要的是在 Windows 登录界面之前就存在的隧道，那这就是错误的功能，再怎么调整配置文件也改变不了。预先部署配置文件并不会把登录后的行为变成登录前的行为。
把需求写成四种不同行为中的一种，然后分别测试每一种。一次成功连接只能证明最常见的情况，另外三种才是支持工单的来源。标出你的需求真正需要哪一行，因为只需要登录后行为的团队可以跳过登录前的论证。这张表是验收清单，不是愿望清单。
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
如果需求只是第二行，本页其余内容仍然适用，只是验收测试更省事。
第二步：确认配置文件已在终端上
策略实施读取的是本地配置文件，所以第一个问题是：在用户连接之前，这个文件是否已经存在。在首次成功连接时才下载的配置文件，对一台必须从首次登录起就受保护的机器来说，送达得太晚了。请随安装程序或终端管理工具一起下发，并把文件的存在当作构建检查，而不是一种指望。
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOn较旧的 AnyConnect 安装会把同一个文件放在名称不同的文件夹里，因此 请核实你所部署客户端版本对应的路径，而不要照抄旧操作手册里的路径。服务必须正在运行，并设为自动启动，因为无论配置文件怎么写，代理一停，终端就等于没有实施策略。
如果配置文件缺失，就停在这里。为一台没有配置文件的机器去修失败策略或可信网络列表，是在一条永远不会执行的路径上做功。
第三步：有意识地选择失败行为
隧道起不来时会发生什么，与隧道是否自动启动是两个独立的决定。连接失败策略决定在建立持续失败期间终端能否使用互联网，这两项设置经常被混淆，因为它们在 Always-On 选项里挨得很近。请有意识地选一个，并写下理由。
阻断全部连通听起来很严格，却会制造出它自己的故障类型：用户在网关不可达的网络上，无法下载本可恢复服务的修复包。允许访问互联网能让机器保持可用，却削弱了流量受保护的保证。两种答案都可能正确，但没有任何一种是应该在故障发生时才去发现的默认值。
重试行为属于同一个决定。无限重试的客户端会把坏掉的网关从监控视野里藏起来，而试一次就放弃的客户端在用户看来就是坏的。请决定在失败策略接管之前终端应该继续尝试多久，并实际测试这个时长，而不是想当然。
第四步：界定什么算作可信
可信网络检测使用客户端配置文件里的判据，例如已配置的 DNS 域或可信 DNS 服务器，来判断终端是否已经处在一个不需要隧道的网络上。那份列表就是全部策略，所以空列表或继承来的列表会让这项功能要么失效，要么不可预测。
不要用对 Windows 防火墙网络类别的假设来替代它。一台机器可能处在标记为域的网络里，却仍然位于你不信任的地方；而一台处于公用配置文件的机器也可能就在你自己的楼里。检测判据应当直接描述你的网络，而不是它们的替代物。
两个方向都要测转移，包括会话打开期间终端从可信网络移动到不可信网络的情况。断开与重连是两个独立事件，只处理前者的策略会留下一段没有隧道的窗口。
第五步：让终端策略难以被撤销
终端上的实施强度，只等于终端自身控制措施的强度。本地管理员权限让用户可以停掉代理服务、替换配置文件或卸载客户端，而普通用户可以写入的配置目录，就是谁都能编辑的策略。这两者都是 VPN 网关侧无法替你解决的终端管理问题。在承诺实施之前，先问桌面团队这两种情况属于哪一种，并把答案写进推广计划。
确定锁定级别时要考虑恢复路径。一个既挡住用户上网、又让他无法修复客户端的配置文件，会把一次支持电话变成一次上门，所以要保留一条有文档的恢复路径，且不依赖隧道处于连通状态。
保持网关证书校验开启，并且只通过你信任的渠道分发配置文件。一个被锁死却接受来路不明配置文件的客户端，是把信任边界挪了位，而不是守住了它。