Leaflet

2-43

思科 ASA 系列命令参考，A 至 H 命令

第 2 章 acl-netmask-convert 至 application-access hide-details 命令

anyconnect firewall-rule

请注意每个操作系统的以下行为差异：

• 对于 Windows 计算机，拒绝规则在 Windows 防火墙中优先于允许规则。如果 ASA 将一条允许

规则下推到 AnyConnect 客户端，但用户创建了一条自定义拒绝规则，则不会实施 AnyConnect

规则。

• 在 Windows Vista 中，在创建防火墙规则时，Vista 获取采用逗号分隔字符串形式的端口号范

围（例如 1-300 或者 5000-5300）。允许的最大端口数量是 300。如果您指定的数量大于 300

个端口，则防火墙规则仅应用于前 300 个端口。

• 防火墙服务必须由 AnyConnect 客户端启动（不能由系统自动启动）的 Windows 用户在建立

VPN 连接时所花的时间可能会显著增加。

• 在 Mac 计算机上，AnyConnect 客户端以 ASA 应用规则的顺序来依次应用规则。全局规则始

终都在最后。

• 对于第三方防火墙，只有当 AnyConnect 客户端防火墙和第三方防火墙都允许该流量类型时才

能通过流量。如果第三方防火墙阻止 AnyConnect 客户端允许的指定流量类型，则客户端会阻

止该流量。

有关 AnyConnect 客户端防火墙的详细信息（包括用于本地打印和关联设备支持的 ACL 规则示

例），请参阅 AnyConnect

管理员指南

。

示例以下示例启用 ACL AnyConnect_Client_Local_Print 作为公共防火墙：

ciscoasa(config)# group-policy example_group attributes

ciscoasa(config-group-policy)# webvpn

ciscoasa(config-group-webvpn)# anyconnect firewall-rule client-interface public value

AnyConnect_Client_Local_Print