AnyConnect 在中国能用吗？被封了怎么办
更新于
能用。AnyConnect 是思科的企业 VPN 协议，全世界的公司都靠它让员工远程办公，在中国大陆被整体禁掉的可能性很低；真正会被封的是某一个服务器地址，不是这个协议。所以「AnyConnect 能不能用」这个问题的答案取决于服务商有没有足够多的地址、换得够不够快。下面讲它为什么耐封、连不上时怎么排查、客户端怎么装和更新。
为什么 AnyConnect 比私有 VPN App 更耐封
AnyConnect 的流量走标准 TLS，从外面看和访问一个 HTTPS 网站没有区别。它是跨国企业内网的标配，大量外企在华分支每天都在用，整体封锁的代价太高。
私有 VPN App 的问题正相反：协议是自家的，特征固定，一旦被识别就整个 App 失效，而且 App 本身会从应用商店下架。AnyConnect 客户端由思科发布，开源替代品 OpenConnect 在 Windows、macOS、Linux、iOS、Android 上都有，客户端这一层不会被拿走。
会被封的是服务器地址。一个地址被识别后，这一台连不上，其他地址不受影响。蓝盾 在 24 个地区运营自己的机器，地址被标记就换新地址，域名指向自动更新，客户端里保存的地址不用改。
客户端怎么装
- 到本站的 AnyConnect 页面下载对应系统的安装包。Windows 10 及以上、macOS、iOS、Android、Linux 都有；Windows 7 和 8 只能用最后支持它们的 4.9 版本。
- 安装后打开客户端，在地址栏填服务商给的服务器地址。蓝盾 用户在本站点击地区国旗即可复制该地区的地址。
- 输入账号密码连接。AnyConnect 不需要证书文件，也不需要导入配置；同一账号在任何设备上都是这两样。
- 看到「已连接」后，打开一个查 IP 的网页确认出口在你选的地区。
连不上时按这个顺序排查
- 换一个地区的地址再连。这是最快的判断：另一个地区能连，说明只是那台服务器暂时不可达，等几分钟或者换着用。
- 换网络。家里宽带连不上就切手机流量试一次，反过来也一样。不同运营商的封锁情况经常不同步。
- 看客户端报的错。「Login failed」是账号密码或账号过期；「Untrusted server certificate」多半是系统时间不对，或者当前网络在中间拦截 TLS，换网络再试；「Connection attempt has failed」才是地址不可达。
- 把客户端更新到最新版。老版本对新系统的兼容问题会表现成连不上，尤其是系统大版本升级之后。
- 以上都不行，换一种接入方式。同一个账号还可以用 OpenVPN 或 sing-box 连同样的服务器，三种协议的封锁情况彼此独立。
更新 Cisco AnyConnect
思科把 AnyConnect 改名成了 Cisco Secure Client，功能和用法没变。更新不需要先卸载：直接安装新版本，它会覆盖旧版并保留你保存的服务器地址。
Windows 10 及以上、macOS 用 5.x 版本；Windows 7 和 8 停留在 4.9，这是最后一个支持它们的版本，不会再有新版。手机上通过 App Store 或 Google Play 更新即可。
如果手机所在地区的应用商店搜不到 Cisco Secure Client，可以用开源的 OpenConnect 客户端，协议相同，账号密码通用。
常见问题
AnyConnect 在中国是合法的企业软件吗？
AnyConnect 是思科面向企业的远程接入软件，全球大量公司用它连接内网，中国大陆的外企分支也在用。它是标准商业软件，可以从思科和各应用商店正常下载。
连接以后速度慢是被限速了吗？
更多时候是跨境线路在晚高峰拥塞。先换一个地区试，再看是不是只有某个应用慢。蓝盾 的地区列表会用红黄绿灯显示每个地区当前的负载，挑绿灯的地区。
为什么每次打开客户端地址都一样却时而连得上时而连不上？
地址是域名，域名指向的机器会随着封锁和负载自动更换，你看到的地址不变，后面的机器已经换过了。连不上时等一两分钟再试，通常就是切换过程。
AnyConnect、OpenVPN、sing-box 该选哪个？
AnyConnect 最省事，客户端成熟、不用导入配置；OpenVPN 适合需要在路由器或 Linux 服务器上跑的场景；sing-box 用 hysteria2 协议，丢包严重的网络下速度最好。同一个账号三种都能用，连不上就换另一种。
长时间连着会不会自动断？
AnyConnect 本身不会因为时间断开。账号到期时服务器会主动断开连接，续费后重新连接即可。