步骤 1

使用 Web 浏览器，打开 https://ravpn-address ，其中 ravpn-address 是您允许 VPN 连接的外部接口的 IP 地址或主机名。

步骤 2

登录到网站。

步骤 1

配置远程访问 VPN 连接。

1. 点击设备 > 远程访问 VPN 组中的查看配置。

2. 点击目录中的组策略，然后点击 DfltGrpPolicy 对象的编辑图标 () 。

3. 对默认组策略进行以下更改：

   • 在 DNS 服务器 (DNS Server) 的常规 (General) 页面，选择定义服务器 VPN 终端在解析域名时应使用的 DNS 服务器组。

     
     

     

     
     

   • 在分割隧道 (Split Tunneling) 页面上，为 IPv4 和 IPv6 分割隧道 (IPv6 Split Tunneling) 选择允许所有流量通过隧道选项 (Allow all traffic over tunnel option)。这是默认设置，因此它可能已正确配置。

     
     

     

     
     

     注	此设置对启用发夹至关重要。您希望所有流量都通过 VPN 网关，而分割隧道这种方法允许远程客户端直接访问 VPN 外部的本地或互联网站点。

4. 点击确定，保存对默认组策略的更改。

5. 点击连接配置文件，编辑现有配置文件或创建新的配置文件。

6. 在连接配置文件中，就像配置任何其他 RA VPN 配置一样，按照向导程序操作并配置所有选项。但是，您必须正确配置以下选项才可启用发夹：

   • 第 2 步中的组策略。选择需要为发夹自定义的组策略。

     
     

     

     
     

   • 第 3 步中的 NAT 豁免。启用此功能。选择内部接口，然后选择定义内部网络的网络对象。在本示例中，该对象应指定 192.168.1.0/24。流向内部网络的 RA VPN 流量不会进行地址转换。但是，应用发夹方法的流量通过外部接口传出，因此这些流量仍会进行 NAT，因为 NAT 豁免仅适用于内部接口。请注意，如果您定义了其他连接配置文件，则需要将其添加到现有设置中，因为此配置适用于所有连接配置文件。

     
     

     

     
     

     注	NAT 豁免选项是另一个对发夹配置十分重要的设置。

7. （可选。）在全局设置步骤中，选择为已解密流量绕过访问控制策略 (sysopt permit-vpn) 选项。

   选择此选项，则无需再配置访问控制规则以允许来自 RA VPN 地址池的流量通过。此选项可提供更好的安全性（外部用户无法骗取池中的地址），但会使得 RA VPN 流量不再会接受检查，包括 URL 过滤和入侵保护。请充分考虑此选项的优缺点再决定是否需要选择。

8. 查看远程访问 VPN 配置，然后点击完成。

步骤 2

将 NAT 规则配置为将外部接口发出的所有连接转换到外部 IP 地址上的端口（接口 PAT）。

1. 依次点击策略 > NAT。

2. 执行以下操作之一：

   • 要编辑 InsideOutsideNatRule，请将鼠标指针悬停在操作列上，然后点击编辑图标 ()。

   • 要创建新规则，请点击 +。

3. 配置规则的以下属性：

   • 名称 - 为新规则输入一个有意义且不含空格的名称。例如，OutsideInterfacePAT。

   • 创建规则用于 - 手动 NAT。

   • 位置 - 自动 NAT 规则之前（默认）。

   • 类型 - 动态。

   • 原始数据包 - 对于源地址，请选择“任何”或 any-ipv4。对于源接口，请确保选择“任何”（默认值）。对于所有其他“原始数据包”选项，请保留默认值“任何”。

   • 已转换的数据包 - 对于目标接口，请选择外部接口。对于已转换的地址，请选择接口。对于所有其他“已转换的数据包”选项，请保留默认值“任何”。

   下图展示了选择“任何”作为源地址时的简单情况。

   
   

   

   
   

4. 点击确定。

步骤 3

（如果不在连接配置文件中配置为已解密的流量绕过访问控制策略 (sysopt permit-vpn)。）配置访问控制规则，以允许从远程访问 VPN 地址池进行访问。

1. 依次点击策略 > 访问控制。

2. 点击 + 创建新规则。

3. 配置规则的以下属性：

   • 顺序 - 在策略中选择一个位置，此位置应位于可能会匹配并阻止这些连接的任何其他规则之前。默认情况下，会将该规则添加到策略的末尾。如果稍后需要重新调整规则的位置，可以编辑此选项，也可以直接将规则拖放到表格中相应的位置。

   • 名称 - 输入一个有意义且不含空格的名称。例如，RAVPN-address-pool。

   • 操作 - 允许。如果不希望对此流量执行协议违规检测或入侵检测，可以选择“信任”。

   • 源/目标选项卡 - 对于源 > 网络，请选择在远程访问 VPN 连接配置文件中用于地址池的同一对象。对于所有其他“源”和“目标”选项，请保留默认值“任何”。

     
     

     

     
     

   • 应用、URL 和用户选项卡 - 保留这些选项卡的默认设置，即不做任何选择。

   • 入侵、文件选项卡 -（可选）您可以选择入侵或文件策略，以进行威胁或恶意软件检测。

   • 日志记录选项卡 -（可选）您可以选择启用连接日志记录。

4. 点击确定 (OK)。

步骤 4

确认您的更改。

1. 点击网页右上角的部署更改图标。

   

2. 点击立即部署按钮。

   您可以等待部署完成，也可以点击确定，稍后再检查任务列表或部署历史记录。

步骤 1

配置站点 B（托管目录服务器）上的站点间 VPN 连接。

1. 点击设备，然后点击站点间 VPN 组中的查看配置。

2. 点击 + 按钮。

3. 为终端设置配置以下选项。

   • 连接配置文件名称 - 输入名称，例如 SiteA（表示连接到站点 A）。

   • 本地站点 - 这些选项定义本地终端。

     • 本地 VPN 访问接口 - 选择外部接口（图表中地址为 192.168.2.1 的那一个接口）。

     • 本地网络 - 点击 + 并选择标识应参与 VPN 连接的本地网络的网络对象。由于目录服务器在此网络上，因此可以参与站点间 VPN。假定该对象尚不存在，点击创建新网络并为 192.168.1.0/24 网络配置对象。在保存对象后，在下拉列表中选择它并点击确定。

       
       

       

       
       

   • 远程站点 - 这些选项定义远程终端。

     • 远程 IP 地址 - 输入 192.168.4.6，这是将托管 VPN 连接的远程 VPN 对等体接口的 IP 地址。

     • 远程网络 - 点击 + 并选择标识应参与 VPN 连接的远程网络的网络对象。点击创建新网络，配置以下对象，然后在列表中选择它们。

       1. SiteAInside，网络，192.168.3.0/24。

          
          

          

          
          

       2. SiteAInterface，主机，192.168.4.6。这是关键：您必须将远程访问 VPN 连接点地址作为站点间 VPN 连接的远程网络的一部分，以便该接口上托管的 RA VPN 可以使用目录服务器。

          
          

          

          
          

   完成后，终端设置应如下所示：

   
   

   

   
   

4. 点击下一步。

5. 定义 VPN 的隐私配置。

   在本使用案例中，我们假定您符合出口控制功能的要求，允许使用强加密。调整这些示例设置以满足您的需求和许可证合规性。

   • IKE 版本 2、IKE 版本 1 - 保留默认设置，启用 IKE 版本 2，禁用 IKE 版本 1。

   • IKE 策略 - 点击编辑并启用 AES-GCM-NULL-SHA 和 AES-SHA-SHA，禁用 DES-SHA-SHA。

   • IPsec 提议 - 点击编辑。在“选择 IPSec 提议”对话框中，点击 +，然后点击设置默认值以选择默认 AES-GCM 提议。

   • 本地预共享密钥、远程对等体预共享密钥 - 输入此设备和远程设备上为 VPN 连接定义的密钥。这些密钥在 IKEv2 中可能不同。该密钥可以有 1 至 127 个字母数字字符。记住这些密钥，因为在站点 A 设备上创建站点间 VPN 连接时，必须配置相同的字符串。

   IKE 策略应如下所示：

   
   

   

   
   

6. 配置其他选项。

   • NAT 豁免 - 选择托管内部网络的接口，在本示例中为内部接口。通常，您不希望站点间 VPN 隧道中的流量转换其 IP 地址。此选项仅在本地网络驻留在单个路由接口（而非网桥组成员）后时有用。如果本地网络位于多个路由接口或一个或多个网桥组成员之后，则必须手动创建 NAT 豁免规则。有关手动创建所需规则的信息，请参阅使站点间 VPN 流量豁免 NAT。

   • 完美前向保密的 Diffie-Hellman 组 - 选择第 19 组。此选项决定是否使用完美前向保密 (PFS) 为每个加密交换生成和使用唯一会话密钥。唯一会话密钥可保护交换免于后续解密，即使整个交换已被记录且攻击者已经获得终端设备使用的预共享密钥或私钥。有关选项的说明，请参阅决定要使用的 Diffie-Hellman 模数组。

   该选项应如下所示：

   
   

   

   
   

7. 点击下一步。

8. 查看摘要并点击完成。

   摘要信息将复制到剪贴板。您可以将这些信息粘贴到文档中，并使用它来帮助您配置远程对等体，或将其发送到负责配置对等体的一方。

9. 点击网页右上角的部署更改图标。

   

10. 点击立即部署按钮，并等待部署成功完成。

    现在，站点 B 设备已准备好托管站点间 VPN 连接的一端。

步骤 2

注销站点 B 设备并登录站点 A 设备。

步骤 3

配置站点 A（托管远程访问 VPN）上的站点间 VPN 连接。

1. 点击设备，然后点击站点间 VPN 组中的查看配置。

2. 点击 + 按钮。

3. 为终端设置配置以下选项。

   • 连接配置文件名称 - 输入名称，例如 SiteB（表示连接到站点 B）。

   • 本地站点 - 这些选项定义本地终端。

     • 本地 VPN 接入接口 - 选择外部接口（图表中地址为 192.168.4.6 的那一个接口）。

     • 本地网络 - 点击 + 并选择标识应参与 VPN 连接的本地网络的网络对象。点击创建新网络，配置以下对象，然后在列表中选择它们。注意，您已在站点 B 设备中创建相同的对象，但是您必须在站点 A 设备中重新创建它们。

       1. SiteAInside，网络，192.168.3.0/24。

          
          

          

          
          

       2. SiteAInterface，主机，192.168.4.6。这是关键：您必须将远程访问 VPN 连接点地址作为站点间 VPN 连接的内部网络的一部分，以便该接口上托管的 RA VPN 可以使用远程网络上的目录服务器。

          
          

          

          
          

   • 远程站点 - 这些选项定义远程终端。

     • 远程 IP 地址 - 输入 192.168.2.1，这是将托管 VPN 连接的远程 VPN 对等体接口的 IP 地址。

     • 远程网络 - 点击 + 并选择标识应该参与 VPN 连接的远程网络的网络对象（包含目录服务器的 VPN 连接）。点击创建新网络并为 192.168.1.0/24 网络配置对象。在保存对象后，在下拉列表中选择它并点击确定。注意，您已在站点 B 设备中创建相同的对象，但是您必须在站点 A 设备中重新创建它。

       
       

       

       
       

   完成后，终端设置应如下所示。请注意，与站点 B 设置相比，本地/远程网络是相反的。点对点连接的两端看起来应始终是这样的。

   
   

   

   
   

4. 点击下一步。

5. 定义 VPN 的隐私配置。

   与站点 B 连接一样，配置相同的 IKE 版本、策略和 IPsec 提议，以及相同的预共享密钥，但请确保调换本地和远程预共享密钥。

   IKE 策略应如下所示：

   
   

   

   
   

6. 配置其他选项。

   • NAT 豁免 - 选择托管内部网络的接口，在本示例中为内部接口。通常，您不希望站点间 VPN 隧道中的流量转换其 IP 地址。此选项仅在本地网络驻留在单个路由接口（而非网桥组成员）后时有用。如果本地网络位于多个路由接口或一个或多个网桥组成员之后，则必须手动创建 NAT 豁免规则。有关手动创建所需规则的信息，请参阅使站点间 VPN 流量豁免 NAT。

   • 完美前向保密的 Diffie-Hellman 组 - 选择第 19 组。

   该选项应如下所示：

   
   

   

   
   

7. 点击下一步。

8. 查看摘要并点击完成。

9. 点击网页右上角的部署更改图标。

   

10. 点击立即部署按钮，并等待部署成功完成。

    现在，站点 A 设备已准备好托管站点间 VPN 连接的另一端。由于站点 B 已经配置了兼容设置，因此两台设备应该协商 VPN 连接。

    您可以登录设备 CLI 并对目录服务器进行 ping 测试，从而确认连接。您也可以使用 show ipsec sa 命令查看会话信息。

步骤 4

在站点 A 上配置目录服务器。点击测试验证是否有连接。

1. 选择对象，然后从目录中选择身份源。

2. 点击 + > AD。

3. 配置基本领域属性。

   • 名称 - 目录领域的名称。例如，AD。

   • 类型 - 目录服务器的类型。Active Directory 是唯一支持的类型，所以无法更改此字段。

   • 目录用户名、目录密码 - 用户的标识名称和密码，该用户具备访问您要检索的用户信息的适当权限。对于 Active Directory，用户不需要更高的权限。您可以在域中指定任何用户。用户名必须是完全限定的；例如，Administrator@example.com（而不仅仅是 Administrator）。

     注	系统使用此信息生成 ldap-login-dn 和 ldap-login-password。例如，Administrator@example.com 被转换为 cn=adminisntrator、cn=users、dc=example、dc=com。请注意，cn = users 始终是此转换的一部分，因此您必须在公用名“users”文件夹下配置此处指定的用户。

   • 基准 DN - 用于搜索或查询用户和组信息的目录树，即用户和组的公共父项。例如，cn=users,dc=example,dc=com。有关查找基准 DN 的信息，请参阅确定目录基准标识名。

   • AD 主域 - 设备应加入的 Active Directory 完全限定域名。例如 example.com。

   
   

   

   
   

4. 配置目录服务器属性。

   • 主机名/IP 地址 - 目录服务器的主机名或 IP 地址。如果以加密方式连接到服务器，则必须输入完全限定域名，而非 IP 地址。在本例中，输入 192.168.1.175。

   • 端口 - 用于与服务器通信的端口号。默认值为 389。如果选择 LDAPS 作为加密方法，请使用端口 636。在本例中，保留 389。

   • 加密 - 使用加密连接下载用户和组信息。系统默认为无，也就是说以明文形式下载用户和组信息。对于 RA VPN，您可以使用 LDAPS，即基于 SSL 的 LDAP。如果选择此选项，则使用端口 636。RA VPN 不支持 STARTTLS。对于此示例，选择无。

   • 受信任的 CA 证书 - 如果选择加密方法，请上传证书颁发机构 (CA) 证书以便在系统和目录服务器之间启用受信任的连接。如果要使用证书进行身份验证，则证书中的服务器名称必须与服务器主机名/IP 地址匹配。例如，如果使用 192.168.1.175 作为 IP 地址，但证书中的地址为 ad.example.com，则连接会失败。

   
   

   

   
   

5. 点击测试按钮验证系统是否可以与服务器通信。

   系统使用单独的进程访问服务器，因此您可能会收到错误通知，指出连接适用于一种用途而不适用于另一种用途，例如可用于身份策略，但不可用于远程访问 VPN。如果无法访问服务器，请确认 IP 地址和主机名正确、DNS 服务器具有该主机名的条目等。另外，验证站点间 VPN 连接是否正常工作，并且您在 VPN 中包含了站点 A 的外部接口地址，并且 NAT 不会转换目录服务器的流量。您可能还需要为服务器配置静态路由。

6. 点击确定。

步骤 5

依次点击设备 > 智能许可证 > 查看配置，然后启用 RA VPN 许可证。

启用 RA VPN 许可证时，请选择您购买的许可证类型：Plus、Apex（或两者）或仅 VPN。有关详细信息，请参阅远程访问 VPN 的许可要求。

步骤 6

在站点 A 上配置远程访问 VPN。

1. 点击设备 > 远程访问 VPN 组中的查看配置。确保您位于连接配置文件 (Connection Profiles) 页面。

2. 创建或编辑连接配置文件。

3. 在向导的第一步中，设置配置文件名称，然后选择 AD 领域作为主身份验证源。或者，您可以选择本地数据库作为备用身份源。

   
   

   

   
   

4. 配置地址池。

   对于本示例，点击 +，然后在 IPv4 地址池中选择创建新的网络，并为 172.18.1.0/24 网络创建一个对象，然后选择此对象。从该地址池中为客户端分配地址。将 IPv6 池留空。地址池不能与外部接口的 IP 地址位于同一子网。

   该对象应如下所示：

   
   

   

   
   

   该地址池规范应如下所示：

   
   

   

   
   

5. 点击下一步，然后选择适当的组策略。

   选中您选择的策略的摘要信息。确保已配置 DNS 服务器。如果未配置，请立即编辑策略并配置 DNS。

6. 点击下一步，并在全局设置中，选择为已解密的流量绕过访问控制策略 (sysopt permit-vpn) 选项，并配置 NAT 豁免选项。

   对于 NAT 豁免，您需要配置以下选项。请注意，如果您定义了其他连接配置文件，则需要将其添加到现有设置中，因为此配置适用于所有连接配置文件。

   • 内部接口 - 选择内部接口。这些是远程用户将要访问的内部网络的接口。所创建的 NAT 规则用于这些接口。

   • 内部网络 - 选择 SiteAInside 网络对象。这些是代表远程用户将访问的内部网络的网络对象。

   
   

   

   
   

7. 上传适用于受支持平台的 Secure Client 软件包。

8. 点击下一步并验证设置。

   首先，验证摘要是否正确。

   然后，点击 说明 查看最终用户初步安装 Secure Client 软件需要做什么，并测试他们是否可以完成 VPN 连接。点击复制以将这些说明复制到剪贴板，然后将它们粘贴在文本文件或邮件中。

9. 点击完成。

步骤 7

点击网页右上角的部署更改图标。

步骤 8

点击立即部署按钮，并等待部署成功完成。

步骤 1

配置扩展访问控制列表 (ACL)，以限制 RA VPN 流量。

1. 依次选择对象 > 网络，并创建所需的对象。

   例如，将对象命名为 ContractNetwork。此对象应与以下所示类似：

   
   

   

   
   

2. 选择设备 > 高级配置 > Smart CLI > 对象。

3. 点击 + 创建新对象。

4. 输入 ACL 的名称。例如，ContractACL。

5. 对于 CLI 模板，选择扩展访问列表。

6. 在模板正文中进行以下配置：

   • configure access-list-entry action = permit

   • source-network = any-ipv4

   • destination-network = ContractNetwork object

   • configure permit port = any

   • configure logging = default

   ACE 应如下所示：

   
   

   

   
   

7. 点击确定。

   在下次部署更改时会配置此 ACL。无需在任何其他策略中使用此对象来强制部署。

步骤 2

创建使用此 ACL 的组策略。

1. 依次选择设备 > RA VPN > 组策略。

2. 点击+，创建新的组策略。

3. 在常规 (General)页面中，输入策略名称，例如 ContractGroup。

4. 点击目录中的流量过滤器。

5. 对于访问列表过滤器，选择 ContractACL 对象。

   对于本示例，将 VLAN 选项留空。请注意，您也可以设置一个 VLAN 用于过滤，并为 VLAN 配置子接口。

   
   

   

   
   

6. 点击确定保存组策略。

步骤 3

配置适用于承包商的连接配置文件。

1. 在 RA VPN 页面上，点击目录中的连接配置文件 (Connection Profiles)。

2. 点击 +，创建新的连接配置文件。

3. 完成向导的第 1 步，然后点击下一步。

   输入配置文件的名称，例如，Contractors。

   按照惯常做法配置其余选项。包括为承包商选择适当的身份验证源和定义地址池。

4. 选择为承包商配置的组策略，然后点击下一步。

   
   

   

   
   

5. 在全局设置中，选择为已解密的流量绕过访问控制策略 (sysopt permit-vpn) 选项，并配置 NAT 豁免选项。

   对于 NAT 豁免，您需要配置以下选项。请注意，如果您定义了其他连接配置文件，则需要将其添加到现有设置中，因为此配置适用于所有连接配置文件。

   • 内部接口 - 选择 inside2 接口。这些是远程用户将要访问的内部网络的接口。所创建的 NAT 规则用于这些接口。

   • 内部网络 - 选择 ContractNetwork 网络对象。这些是代表远程用户将访问的内部网络的网络对象。

   
   

   

   
   

6. 上传适用于受支持平台的 Secure Client 软件包。

7. 点击下一步并验证设置。

   首先，验证摘要是否正确。

   然后，点击 说明 查看最终用户初步安装 Secure Client 软件需要做什么，并测试他们是否可以完成 VPN 连接。点击复制以将这些说明复制到剪贴板，然后将它们粘贴在文本文件或邮件中。

8. 点击完成。

步骤 1

配置从全局虚拟路由器到 VR1 的路由泄漏。

1. 依次选择设备 > 路由 > 查看配置。

2. 点击全局虚拟路由器的查看图标 ()。

3. 在全局路由器的静态路由选项卡上，点击 + 并配置路由：

   • 名称 - 可以使用任何名称，例如 ravpn-leak-vr1。

   • 接口 - 选择 vr1-inside。

   • 协议 - 选择 IPv4。

   • 网络 - 选择定义 192.168.1.0/24 网络的对象。如有需要，请点击创建新网络立即创建对象。

     
     

     

     
     

   • 网关 - 将此项目留空。将路由泄漏到另一个虚拟路由器时，您不必选择网关地址。

   对话框应如下所示：

   
   

   

   
   

4. 点击确定。

步骤 2

配置从 VR1 到全局虚拟路由器的路由泄漏。

1. 从虚拟路由器下拉列表中选择 VR1 ，以切换至 VR1 配置。

2. 在 VR1 虚拟路由器的静态路由选项卡上，点击 + 并配置路由：

   • 名称 - 可以使用任何名称，例如 ravpn-traffic。

   • 接口 - 选择 outside。

   • 协议 - 选择 IPv4。

   • 网络 - 选择为 VPN 池创建的对象，例如 vpn-pool。

   • 网关 - 将此项目留空。将路由泄漏到另一个虚拟路由器时，您不必选择网关地址。

   对话框应如下所示：

   
   

   

   
   

3. 点击确定 (OK)。

步骤 1

将图像文件上传到充当 RA VPN 头端且应使用自定义图标和徽标的每个 威胁防御 设备。

1. 使用 SSH 客户端登录设备 CLI。

2. 在 CLI 中，输入 system support diagnostic-cli 命令以进入诊断 CLI 模式。

   
   > system support diagnostic-cli
   Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.
   Type help or '?' for a list of available commands.
   
   ftdv1>
   

   注	阅读消息！您必须按 Ctrl+a，然后按 d，才能退出诊断 CLI 并返回正常的 威胁防御 CLI 模式。

3. 请注意命令提示符。普通 CLI 仅使用 >，而诊断 CLI 的用户执行模式使用主机名加 >。在本例中为 ftdv1>。您需要进入特权执行模式，该模式使用 ＃ 作为结束字符，例如 ftdv1#。如果提示符已包含 ＃，请跳过此步骤。否则，请输入 enable 命令，并在密码提示时按 Enter 键，而不输入密码。

   
   ftdv1> enable
   Password:
   ftdv1#
   

4. 使用 copy 命令将每个文件从托管服务器复制到 威胁防御 设备的 disk0。您可以将它们放在子目录中，例如 disk0:/anyconnect-images/。您可以使用 mkdir 命令创建新文件夹。

   例如，如果 TFTP 服务器的 IP 地址为 10.7.0.80，并且您想要创建新目录，则命令将类似于以下内容。请注意，第一个示例后省略了对 copy 命令的响应。

   
   ftdv1# mkdir disk0:anyconnect-images 
   
   Create directory filename [anyconnect-images]? yes 
   
   Created dir disk0:/anyconnect-images
   
   ftdv1# copy /noconfirm tftp://10.7.0.80/app_logo.png 
   disk0:/anyconnect-images/app_logo.png 
   
   Accessing tftp://10.7.0.80/app_logo.png...!!!!!!
   Writing file disk0:/anyconnect-images/app_logo.png...
   !!!!!!
   12288 bytes copied in 1.000 secs (12288 bytes/sec)
   
   ftdv1# copy /noconfirm tftp://10.7.0.80/company_logo.png 
   disk0:/anyconnect-images/company_logo.png 
   ftdv1# copy /noconfirm tftp://10.7.0.80/company_logo_alt.png 
   disk0:/anyconnect-images/company_logo_alt.png 
   

步骤 2

在诊断 CLI 中使用 import webvpn 命令指示 AnyConnect 在客户端计算机上安装 Secure Client 时下载这些图像。

ftdv1# import webvpn AnyConnect-customization type resource platform win 
name app_logo.png disk0:/anyconnect-images/app_logo.png 

ftdv1# import webvpn AnyConnect-customization type resource platform win 
name company_logo.png disk0:/anyconnect-images/company_logo.png 

ftdv1# import webvpn AnyConnect-customization type resource platform win 
name company_logo_alt.png disk0:/anyconnect-images/company_logo_alt.png 

步骤 3

确认配置：