Cisco ASA VPN Remote Access mit IPSEC VPN Client wer hat Erfahrung mit automatischer VPN Client Update Funktion?

Die Cisco ASA als Remote Access Lösung (IPSEC mit Cisco VPN Client, kein AnyConnect) bietet ja eine Autoupdate Funktion.
D.h. wenn ein neuer VPN Client verfügbar ist, kann soviel ich weiss der Client beim nächsten Aufruf des VPN Clients informiert werden dass ein Update bereitsteht, und er kann sich entscheiden das Update zu installieren.

Fragen dazu (Praxiserfahrung ist mir lieber als theoretische "Möglichkeitsstudien"):
- geht der Update auch mit eingeschränkten Userrechten?
- was passiert wenn der client den Update nicht macht? Oder kann der client gezwungen werden das Update zu installieren?
- wer hat Erfahrung mit IPSEC-over-TCP mit 500 concurrent Usern bzw. hat das irgendwelche Nachteile gegenüber NAT-T bzw. IPSEC-over-UDP? Ich seh nur Vorteile..
- kennt jemand eine Möglichkeit zu erzwingen dass der via VPN zugreifende User ein corporate device haben muss (ja, mit Zertifikat, doch wir ham keine PKI...)