如何在物理PC上通过NAT绕过Cisco Anyconnect的LAN访问限制

核心逻辑和你测试的VBox NAT模式完全一致：Cisco AnyConnect的路由过滤驱动仅拦截物理网卡直接始发的流量，不会捕获经过本机虚拟网卡做NAT源地址转换后的转发流量，且新增虚拟网卡、配置本机NAT规则的操作不会修改AnyConnect内置配置，完全符合合规要求。

方案1：Windows自带功能实现（无需安装第三方软件，适用于Win10/11专业版/企业版/教育版） #

该方案依赖系统自带的Hyper-V虚拟交换机组件，不需要安装额外虚拟化软件：

• 临时获取管理员权限后打开PowerShell，执行以下命令新建内部虚拟交换机：
  New-VMSwitch -SwitchName "LAN_NAT_Switch" -SwitchType Internal
• 给新建的虚拟网卡配置固定网关IP，示例使用192.168.200.1/24网段，可根据实际情况调整：
  New-NetIPAddress -IPAddress 192.168.200.1 -PrefixLength 24 -InterfaceIndex (Get-NetAdapter -Name "vEthernet (LAN_NAT_Switch)").ifIndex
• 配置全局NAT转发规则，将该虚拟网段的流量转发到物理LAN网卡：
  New-NetNat -Name LocalLAN_NAT -InternalIPInterfaceAddressPrefix 192.168.200.0/24
• 后续需要访问LAN资源时，将对应LAN网段的静态路由绑定到该虚拟网卡接口，下一跳填写192.168.200.1即可，这部分路由不会被AnyConnect覆写。

方案2：轻量NAT工具实现（适配全版本Windows，含家庭版） #

如果系统没有Hyper-V组件，可以使用开源轻量NAT工具实现同等效果：

• 临时获取管理员权限安装工具，安装过程仅会新增一块虚拟网卡，不会修改系统或AnyConnect的核心配置。
• 工具配置页选择连接本地LAN的物理网卡作为出口，开启NAT转发，工具会自动给虚拟网卡分配网关IP。
• 将LAN网段的静态路由指向该虚拟网卡的网关地址即可，流量经过NAT转换后不会被AnyConnect拦截。

注意：操作全程不要修改AnyConnect安装目录下的配置文件、不要调整客户端内置的隧道参数，仅新增虚拟网卡和本机NAT规则的操作不会触发客户端合规告警。

内容的提问来源于stack exchange，提问作者Isador