Cisco Secure Client ソフトウェアおよびプロファイルの更新は、ヘッドエンドへの接続時に使用可能で、かつクライアントによって許可されている場合に発生します。ヘッドエンドに対して Cisco Secure Client 更新の設定を行うと、更新を使用できるようになります。VPN ローカル ポリシー ファイルの更新ポリシー設定によって、更新が許可されるかどうかが決まります。

更新ポリシーは、ソフトウェア ロックと呼ばれることもあります。複数のヘッドエンドが設定されている場合、更新ポリシーはマルチ ドメイン ポリシーとも呼ばれます。

デフォルトでは、更新ポリシー設定ではすべてのヘッドエンドからのソフトウェアおよびプロファイルの更新を許可します。これを制限するには、次のように更新ポリシー パラメータを設定します。

• Server Name リストにヘッドエンドを指定することで、特定のヘッドエンドにすべての Cisco Secure Client ソフトウェアおよびプロファイルの更新を許可（認証）します。

  ヘッドエンドのサーバ名は FQDN または IP アドレスで指定できます。また、*.example.com のようにワイルドカードにすることもできます。

  更新がどのように発生するかの詳細については、下記の「許可されたサーバ更新ポリシーの動作」を参照してください。

• 他のすべての無指定または認証されていないヘッドエンドの場合：

  • 任意のサーバからソフトウェア更新を許可（Allow Software Updates From Any Server ）オプションを使用して、VPN コア モジュールおよびその他のオプション モジュールのソフトウェア更新を許可または拒否します。

  • 任意のサーバからVPNプロファイル更新を許可（Allow VPN Profile Updates From Any Server ）オプションを使用して、VPN プロファイルの更新を許可または拒否します。

  • 任意のサーバからサービスプロファイル更新を許可（Allow Service Profile Updates From Any Server ）オプションを使用して、その他のサービス モジュールのプロファイルの更新を許可または拒否します。

  • [任意のサーバからの ISE ポスチャ プロファイル更新を許可（Allow ISE Posture Profile Updates From Any Server）] オプションを使用して ISE ポスチャ プロファイルの更新を許可または拒否します。
  • [任意のサーバからのコンプライアンス モジュール更新を許可（Allow Compliance Module Updates From Any Server）] オプションを使用して、コンプライアンス モジュールの更新を許可または拒否します。

    更新がどのように発生するかの詳細については、下記の「不正なサーバ更新ポリシーの動作」を参照してください。

Server Name リストで識別されている、許可されたヘッドエンドに接続する場合は、他の更新ポリシー パラメータは適用されず、次のようになります。

• ヘッドエンド上の Cisco Secure Client パッケージのバージョンがクライアント上のバージョンと比較され、ソフトウェアの更新が必要かどうかが判断されます。

  • Cisco Secure Client パッケージのバージョンがクライアント上のバージョンより古い場合、ソフトウェアは更新されません。

  • Cisco Secure Client パッケージのバージョンがクライアント上のバージョンと同じである場合、ヘッドエンドでダウンロード対象として設定され、クライアントに存在しないソフトウェア モジュールのみがダウンロードされてインストールされます。

  • Cisco Secure Client パッケージのバージョンがクライアント上のバージョンより新しい場合、ヘッドエンドでダウンロード対象として設定されたソフトウェアモジュール、およびすでにクライアントにインストールされているソフトウェアモジュールがダウンロードされてインストールされます。

• ヘッドエンド上の VPN プロファイル、ISE ポスチャ プロファイル、および各サービス プロファイルが、クライアント上の該当プロファイルと比較され、更新が必要かどうかが判断されます。

  • ヘッドエンド上のプロファイルがクライアント上のプロファイルと同じ場合は、プロファイルは更新されません。

  • ヘッドエンド上のプロファイルがクライアント上のプロファイルと異なる場合、プロファイルがダウンロードされます。

非正規のヘッドエンドに接続すると、次のような、Allow ... Updates From Any Server オプションを使用して Cisco Secure Client の更新方法が決定されます。

• Allow Software Updates From Any Server:

  • このオプションがオンの場合、この認証されていない Cisco Secure Firewall ASA に対してソフトウェア更新が許可されます。更新は、認証されたヘッドエンドに対する、上記のようなバージョン比較に基づきます。

  • このオプションがオフの場合、ソフトウェア更新は行われません。また、バージョン比較に基づく更新を行う必要があった場合、VPN 接続の試行は終了します。

• Allow VPN Profile Updates From Any Server:

  • このオプションがオンの場合、VPN プロファイルは、ヘッドエンドの VPN プロファイルがクライアントのものと異なる場合に更新されます。

  • このオプションがオフの場合、VPN プロファイルは更新されません。また、差異に基づく VPN プロファイル更新を行う必要があった場合、VPN 接続の試行は終了します。

• Allow Service Profile Updates From Any Server:

  • このオプションがオンの場合、各サービス プロファイルは、ヘッドエンドのプロファイルがクライアントのものと異なる場合に更新されます。

  • このオプションがオフの場合、サービス プロファイルは更新されません。

• Allow ISE Posture Profile Updates From Any Server:

  • このオプションがオンの場合、ISE ポスチャ プロファイルは、ヘッドエンドの ISE ポスチャ プロファイルがクライアントのものと異なる場合に更新されます。

  • このオプションがオフの場合、ISE ポスチャ プロファイルは更新されません。ISE ポスチャ プロファイルは、ISE ポスチャ エージェントを機能させるために必要です。

• Allow Compliance Module Updates From Any Server:

  • このオプションがオンの場合、コンプライアンス モジュールは、ヘッドエンドのコンプライアンス モジュールがクライアントのものと異なる場合に更新されます。

  • このオプションがオフの場合、コンプライアンス モジュールは更新されません。コンプライアンス モジュールは、ISE ポスチャ エージェントを機能させるために必要です。

• 認証された Server Name リストにサーバの IP アドレスを表示することで、リモート ユーザはヘッドエンドにその対応する IP アドレスを使用して接続できます。ユーザが IP アドレスを使用して接続しようとしたときに、ヘッドエンドが FQDN でリストされている場合、この試行は、認証されていないドメインへの接続として扱われます。

• ソフトウェア更新には、カスタマイズ、ローカリゼーション、スクリプト、およびトランスフォームのダウンロードが含まれます。ソフトウェア更新が許可されていない場合、これらの項目はダウンロードされません。一部のクライアントがスクリプトの更新を許可しない場合、ポリシーの適用にスクリプトを使用しないでください。

• Always-Onを有効にした状態で VPN プロファイルをダウンロードすると、クライアントの他のすべての VPN プロファイルが削除されます。認証されていない、または社外のヘッドエンドからの VPN プロファイルの更新を許可するかどうかを決定する場合は、このことを考慮してください。

• インストールおよび更新ポリシーのために VPN プロファイルがクライアントにダウンロードされない場合、次の機能は使用できません。

  サービス無効化	信頼されていないネットワーク ポリシー
  証明書ストアの上書き	信頼できる DNS ドメイン
  事前接続メッセージの表示	信頼できる DNS サーバ
  ローカル LAN へのアクセス	Always-On
  Start Before Login	キャプティブ ポータル修復
  ローカル プロキシ接続	スクリプティング
  PPP 除外	ログオフ時の VPN の保持
  自動 VPN ポリシー	必要なデバイス ロック
  信頼されたネットワーク ポリシー	自動サーバ選択

• Windows では、ダウンローダーは、ダウンロード履歴を記録する個別のテキストログ（UpdateHistory.log）を作成します。このログは、更新時刻、クライアントを更新した Cisco Secure Firewall ASA、更新されたモジュール、インストールされているバージョン（アップグレードの前および後）を含みます。このログ ファイルは、次の場所に保存されます。

  %ALLUSERESPROFILE%\Cisco\Cisco Secure Client\Logs ディレクトリ。

• ローカルポリシーファイルの変更を反映するには、Cisco Secure Client サービスを再起動する必要があります。

この例では、クライアントの Cisco Secure Client バージョンがさまざまな Cisco Secure Firewall ASA ヘッドエンドと異なる場合のクライアントの更新動作を示します。

VPN ローカル ポリシー XML ファイルでの更新ポリシーが次のようになっているとします。

<?xml version="1.0" encoding="UTF-8"?>
<AnyConnectLocalPolicy acversion="2.4.140"
xmlns=http://schemas.xmlsoap.org/encoding/
xmlns:xsi=http://www.w3.org/2001/XMLSchema-instance
xsi:schemaLocation="http://schemas.xmlsoap.org/encoding/ AnyConnectLocalPolicy.xsd">
<FipsMode>false</FipsMode>
<BypassDownloader>false</BypassDownloader><RestrictWebLaunch>false</RestrictWebLaunch>
<StrictCertificateTrust>false</StrictCertificateTrust>
<RestrictPreferenceCaching>false</RestrictPreferenceCaching>
<RestrictTunnelProtocols>false</RestrictTunnelProtocols>
<UpdatePolicy>
<AllowSoftwareUpdatesFromAnyServer>false</AllowSoftwareUpdatesFromAnyServer>
<AllowComplianceModuleUpdatesFromAnyServer>true</AllowComplianceModuleUpdatesFromAnyServer>
<AllowManagementVPNProfileUpdatesFromAnyServer>true</AllowManagementVPNProfileUpdatesFromAnyServer>
<AllowISEProfileUpdatesFromAnyServer>true</AllowISEProfileUpdatesFromAnyServer>
<AllowServiceProfileUpdatesFromAnyServer>false</AllowServiceProfileUpdatesFromAnyServer>
<AllowScriptUpdatesFromAnyServer>true</AllowScriptUpdatesFromAnyServer>
<AllowHelpUpdatesFromAnyServer>true</AllowHelpUpdatesFromAnyServer>
<AllowResourceUpdatesFromAnyServer>true</AllowResourceUpdatesFromAnyServer>
<AllowLocalizationUpdatesFromAnyServer>true</AllowLocalizationUpdatesFromAnyServer>
<AuthorizedServerList>
<ServerName>seattle.example.com</ServerName>
<ServerName>newyork.example.com</ServerName>
</AuthorizedServerList>
</UpdatePolicy>
</AnyConnectLocalPolicy>

Cisco Secure Firewall ASA ヘッドエンド設定は次のようになっています。

次の更新シーケンスは、クライアントが現在 Cisco Secure Client VPN コアおよび Network Access Manager Module を実行している場合に実行可能です。

• クライアントは、同じバージョンの Cisco Secure Client が設定された、認証されたサーバーである seattle.example.com に接続します。VPN およびNetwork Access Manager プロファイルがダウンロード可能で、かつクライアントのものとは異なる場合、それらのプロファイルもダウンロードされます。

• 次に、クライアントは、Cisco Secure Client の新しいバージョンが設定された、認証された Cisco Secure Firewall ASA である newyork.example.com に接続します。VPN とNetwork Access Managerのモジュールがアップグレードされます。ダウンロード可能で、かつクライアントのものとは異なるプロファイルもダウンロードされます。

• 次に、クライアントは、認証されていない Cisco Secure Firewall ASA である raleigh.example.com に接続します。必要なソフトウェアアップデートが利用可能である場合でも、ポリシーによりバージョンのアップグレードを許可しないと判断されるため、アップデートは許可されません。接続が終了します。