H3C MSR30-20关于vpn的问题

设备支持IPSEC、L2TP、SSL、GRE等VPN。

移动终端远程接入首选SSL vpn：

V5版本：

  SSL VPN典型配置举例

1. 组网需求

在SSL VPN中，为了使普通用户能够以HTTPS方式登录SSL VPN网关的Web页面，通过SSL VPN网关访问企业内部资源，需要在SSL VPN网关上进行SSL相关配置，并使能SSL VPN服务。

在本配置举例中：

·     SSL VPN网关的地址为10.1.1.1/24；

·     为SSL VPN网关和远程接入用户颁发证书的CA（Certificate Authority，证书颁发机构）地址为10.2.1.1/24，CA名称为CA server。

2. 组网图

图1-2 SSL VPN配置组网图

3. 配置步骤

(1)     为SSL VPN网关Device申请证书

# 配置PKI实体en，指定实体的通用名为http-server。

<Device> system-view

[Device] pki entity en

[Device-pki-entity-en] common-name http-server

[Device-pki-entity-en] quit

# 配置PKI域sslvpn，指定信任的CA名称为ca server、注册服务器的URL为http://10.2.1.1/certsrv/mscep/mscep.dll、证书申请的注册受理机构为RA、实体名称为en。

[Device] pki domain sslvpn

[Device-pki-domain-sslvpn] ca identifier ca server

[Device-pki-domain-sslvpn] certificate request url http://10.2.1.1/certsrv/mscep/mscep.dll

[Device-pki-domain-sslvpn] certificate request from ra

[Device-pki-domain-sslvpn] certificate request entity en

[Device-pki-domain-sslvpn] quit

# 生成本地的RSA密钥对。

[Device] public-key local create rsa

# 获取CA的证书。

[Device] pki retrieval-certificate ca domain sslvpn

# 为Device申请证书。

[Device] pki request-certificate domain sslvpn

(2)     配置SSL VPN服务使用的SSL服务器端策略

# 创建SSL服务器端策略myssl，并指定该策略使用PKI域sslvpn。

[Device] ssl server-policy myssl

[Device-ssl-server-policy-myssl] pki-domain sslvpn

[Device-ssl-server-policy-myssl] quit

(3)     配置SSL VPN

# 指定SSL VPN服务使用的SSL服务器端策略为myssl，端口号为缺省端口号443。

[Device] ssl-vpn server-policy myssl

# 使能SSL VPN服务。

[Device] ssl-vpn enable

(4)     验证配置结果

远程接入用户在终端主机Host上打开IE浏览器，输入网址https://10.1.1.1/svpn，即可打开SSL VPN网关Device的Web登录页面。

V7版本： IP接入配置举例（缺省证书）

1. 组网需求

Device为SSL VPN网关设备，连接公网用户和企业私有网络。用户通过Device可以通过IP

接入方式安全地访问私有网络内的Server。Device采用本地认证和授权方式对用户进行认证和授权。

2. 组网图

图1-32 IP接入配置组网图（缺省证书）

‌

3. 配置步骤

(1)      配置SSL VPN网关

# 配置SSL VPN网关gw的IP地址为1.1.1.2，端口号为4430。

<Device> system-view

[Device] sslvpn gateway gw

[Device-sslvpn-gateway-gw] ip address 1.1.1.2 port 4430

[Device-sslvpn-gateway-gw] service enable

[Device-sslvpn-gateway-gw] quit

(2)      创建SSL VPN客户端地址池

# 创建为SSL VPN客户端分配地址的地址池sslvpnpool，地址范围为10.1.1.1～10.1.1.10。

[Device] sslvpn ip address-pool sslvpnpool 10.1.1.1 10.1.1.10

(3)      创建SSL VPN AC接口

# 创建SSL VPN AC接口1，配置该接口的IP地址为10.1.1.100/24。

[Device] interface sslvpn-ac 1

[Device-SSLVPN-AC1] ip address 10.1.1.100 24

[Device-SSLVPN-AC1] quit

(4)      配置SSL VPN访问实例

# 配置SSL VPN访问实例ctxip，引用SSL VPN网关gw，指定域名为domainip。

[Device] sslvpn context ctxip

[Device-sslvpn-context-ctxip] gateway gw domain domainip

# 配置IP接入引用的SSL VPN AC接口1.

[Device-sslvpn-context-ctxip] ip-tunnel interface sslvpn-ac 1

# 创建路由表rtlist，并添加路由表项20.2.2.0/24。

[Device-sslvpn-context-ctxip] ip-route-list rtlist

[Device-sslvpn-context-ctxip-route-list-rtlist] include 20.2.2.0 24

[Device-sslvpn-context-ctxip-route-list-rtlist] quit

# 引用SSL VPN客户端地址池sslvpnpool。

[Device-sslvpn-context-ctxip] ip-tunnel address-pool sslvpnpool mask 24

# 创建SSL VPN策略组resourcegrp，引用路由列表rtlist，并同时配置对IP接入进行ACL过滤。

[Device-sslvpn-context-ctxip] policy-group resourcegrp

[Device-sslvpn-context-ctxip-policy-group-resourcegrp] ip-tunnel access-route ip-route-list rtlist

[Device-sslvpn-context-ctxip-policy-group-resourcegrp] filter ip-tunnel acl 3000

[Device-sslvpn-context-ctxip-policy-group-resourcegrp] quit

# 开启SSL VPN访问实例ctxip。

[Device-sslvpn-context-ctxip] service enable

[Device-sslvpn-context-ctxip] quit

# 创建ACL 3000，规则为允许源IP为10.1.1.0/24的报文访问目标IP网段20.2.2.0/24。

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule permit ip source 10.1.1.0 0.0.0.255 destination 20.2.2.0 0.0.0.255

[Device-acl-ipv4-adv-3000] quit

(5)      配置SSL VPN用户

# 创建本地SSL VPN用户sslvpnuser，密码为123456，用户角色为network-operator，授权用户的SSL VPN策略组为resourcegrp。

[Device] local-user sslvpnuser class network

[Device-luser-network-sslvpnuser] password simple 123456

[Device-luser-network-sslvpnuser] service-type sslvpn

[Device-luser-network-sslvpnuser] authorization-attribute sslvpn-policy-group resourcegrp

[Device-luser-network-sslvpnuser] authorization-attribute user-role network-operator

[Device-luser-network-sslvpnuser] quit

4. 验证配置

# 在Device上查看SSL VPN网关状态，可见SSL VPN网关gw处于Up状态。

[Device] display sslvpn gateway

Gateway name: gw

  Operation state: Up

  IP: 1.1.1.2  Port: 4430

  Front VPN instance: Not configured

# 在Device上查看SSL VPN访问实例状态，可见SSL VPN访问实例ctx处于Up状态。

[Device] display sslvpn context

Context name: ctxip

  Operation state: Up

  AAA domain: Not specified

  Certificate authentication: Disabled

  Password authentication: Enabled

  Authentication use: All

  Dynamic password: Disabled

  Code verification: Disabled

  Default policy group: Not configured

  Associated SSL VPN gateway: gw

    Domain name: domainip

  Maximum users allowed: 1048575

  VPN instance: Not configured

  Idle timeout: 30 min

# SSL VPN用户sslvpnuser在PC浏览器上输入https://1.1.1.2:4430/，进入Domain List页面，如下图所示。