SSL VPN 的web接入、tcp接入、ip接入的区别是什么？

可以参考：

https://www.h3c.com/cn/d_202309/1919330_30005_1.htm

1. Web接入方式

Web接入方式是指用户使用浏览器，通过HTTPS协议访问SSL VPN网关提供的Web资源。用户登录后，Web页面上会显示用户可访问的资源列表，用户可以选择需要访问的资源直接访问。Web接入方式中，所有数据的显示和操作都是通过Web页面进行的。

Web接入方式下，管理员需要在SSL VPN网关上创建URL列表，URL表项为企业网内部服务器的IP地址（或域名）。

Web方式接入过程如下：

(1)     用户使用浏览器，通过HTTPS协议登录SSL VPN网关。

(2)     SSL VPN网关对用户进行认证，并对允许用户访问的URL资源进行授权，授权的URL资源以URL链接的形式展示在网关的Web页面上。

(3)     用户在SSL VPN网关的Web页面上访问经过授权的URL资源。

(4)     SSL VPN网关解析接收到的Web请求，并使用HTTP或HTTPS协议向Web服务器发送Web请求。

(5)     SSL VPN网关接收到Web服务器的应答报文后，通过SSL连接将其转发给用户浏览器。

图1-4 Web接入方式示意图

目前，通过Web接入方式可以访问的资源只有Web服务器。

2. TCP接入方式

TCP接入方式是指用户对企业内部服务器开放端口的安全访问。通过TCP接入方式，用户可以访问任意基于TCP的服务，包括远程访问服务（如Telnet）、桌面共享服务、电子邮件服务、Notes服务以及其他使用固定端口的TCP服务。

用户利用TCP接入方式访问内网服务器时，需要在SSL VPN客户端（用户使用的终端设备）上安装专用的TCP接入客户端软件，由该软件实现使用SSL连接传送应用层数据。

TCP接入方式下，管理员需要在SSL VPN网关上创建端口转发规则，将企业网内部服务器的IP地址（或域名）和端口号映射为SSL VPN客户端的本地IP地址（或主机名）和本地端口号。

TCP方式接入过程如下：

(1)     用户使用浏览器，通过HTTPS协议登录SSL VPN网关。

(2)     SSL VPN网关对用户进行认证，并对允许用户访问的TCP接入服务（即端口转发规则）进行授权。

(3)     用户在SSL VPN网关的Web页面上下载TCP接入客户端软件

(4)     用户在SSL VPN客户端上启动TCP接入客户端软件，可以看到授权访问的TCP接入服务。TCP接入客户端软件在SSL VPN客户端上打开授权的端口转发规则中指定的本地端口号。

(5)     用户访问本地IP地址（或主机名）和本地端口号时，TCP接入客户端软件将访问请求通过SSL连接发送给SSL VPN网关。

(6)     SSL VPN网关解析接收到的请求，并根据本地配置的端口转发规则，将该请求转发给对应的内部服务器。

(7)     SSL VPN网关接收到服务器的应答报文后，通过SSL连接将其转发给SSL VPN客户端。

如图1-5所示，在SSL VPN网关上配置端口转发规则后，当用户在SSL VPN客户端上Telnet访问本地地址127.0.0.1、本地端口号2000时，TCP接入客户端软件将访问请求发送给SSL VPN网关。SSL VPN网关将请求转换为对Telnet服务器10.1.1.2、端口23的访问，并转发给Telnet服务器。Telnet服务器的应答报文同样通过SSL VPN网关转发给SSL VPN客户端。

图1-5 TCP接入方式示意图

如图1-6所示，移动客户端均通过TCP接入方式访问内网资源。对于移动客户端，不需要在SSL VPN网关上配置端口转发规则，只需要在客户端上安装移动客户端专用的客户端软件，并在SSL VPN网关上为客户端指定EMO（Endpoint Mobile Office，终端移动办公）服务器。移动客户端通过EMO服务器来获取可以访问的内网资源。

图1-6 移动客户端访问企业内部资源

3. IP接入方式

IP接入方式用来实现远程主机与企业内部服务器网络层之间的安全通信，进而实现所有基于IP的远程主机与服务器的互通，如在远程主机上ping内网服务器。

用户通过IP接入方式访问内网服务器前，需要安装专用的IP接入客户端软件，该客户端软件会在SSL VPN客户端上安装一个虚拟网卡。

IP接入方式下，管理员在SSL VPN网关上创建SSL VPN AC接口，并配置下发给SSL VPN客户端的路由表项。

如图1-7所示，IP方式接入过程如下：

(1)     用户在客户端上安装IP接入客户端软件后，启动该软件并登录。

(2)     SSL VPN网关对其进行认证和授权。认证、授权通过后，SSL VPN网关为客户端的虚拟网卡分配IP地址，并将授权用户访问的IP接入资源（即路由表项）发送给客户端。

(3)     客户端为虚拟网卡设置IP地址，并添加路由表项，路由的出接口为虚拟网卡。

(4)     用户在客户端上访问企业内网服务器时，访问请求报文匹配添加的路由表项，该报文将进行SSL封装，并通过虚拟网卡发送给SSL VPN网关的SSL VPN AC接口。

(5)     SSL VPN网关对SSL报文进行解封装，并将IP报文转发给内网服务器。

(6)     内网服务器将应答报文发送给SSL VPN网关。

(7)     SSL VPN网关对报文进行SSL封装后，通过SSL VPN AC接口将其发送给客户端。

图1-7 IP接入方式的工作过程