1.21  SSL VPN典型配置举例

1.21.1  Web接入配置举例（缺省证书）

1. 组网需求

Device为SSL VPN网关设备，连接公网用户和企业私有网络。SSL VPN用户通过Device能够安全地访问位于企业私有网络内的Server A和Server B。其中，Server A和Server B均为Web服务器，Sever A使用HTTP协议和80端口号，Sever B使用HTTPS协议和443端口号。具体需求如下：

·            Device对SSL VPN用户进行本地认证和本地授权；

·            User1仅能访问Server A；

·            User2仅能访问Server B。

2. 组网图

图1-11 Web接入组网图（缺省证书）

‌

3. 配置步骤

(1)       配置SSL VPN网关

# 配置SSL VPN网关gw的IP地址为1.1.1.2，端口号为4430。

<Device> system-view

[Device] sslvpn gateway gw

[Device-sslvpn-gateway-gw] ip address 1.1.1.2 port 4430

[Device-sslvpn-gateway-gw] service enable

[Device-sslvpn-gateway-gw] quit

(2)       配置SSL VPN访问实例

# 配置SSL VPN访问实例ctxweb1，引用SSL VPN网关gw，指定域名为domainweb1。

[Device] sslvpn context ctxweb1

[Device-sslvpn-context-ctxweb1] gateway gw domain domainweb1

# 创建URL表项urlitem，并配置资源的URL。

[Device-sslvpn-context-ctxweb1]url-item urlitem

[Device-sslvpn-context-ctxweb1-url-item-urlitem]url http://20.2.2.2

[Device-sslvpn-context-ctxweb1-url-item-urlitem]quit

# 创建URL列表urllist。

[Device-sslvpn-context-ctxweb1] url-list urllist

# 配置URL列表标题为web。

[Device-sslvpn-context-ctxweb1-url-list-urllist] heading web

# 配置URL列表引用的URL表项。

[Device-sslvpn-context-ctxweb1-url-list-urllist]resources url-item urlitem

[Device-sslvpn-context-ctxweb1-url-list-urllist] quit

# SSL VPN访问实例ctxweb1下创建策略组resourcegrp1，引用URL列表urllist。

[Device-sslvpn-context-ctxweb1] policy-group resourcegrp1

[Device-sslvpn-context-ctxweb1-policy-group-resourcegrp1] resources url-list urllist

[Device-sslvpn-context-ctxweb1-policy-group-resourcegrp1] quit

# 开启SSL VPN访问实例ctxweb1。

[Device-sslvpn-context-ctxweb1] service enable

[Device-sslvpn-context-ctxweb1] quit

# 配置SSL VPN访问实例ctxweb2，引用SSL VPN网关gw，指定域名为domainweb2。

[Device] sslvpn context ctxweb2

[Device-sslvpn-context-ctxweb2] gateway gw domain domainweb2

# 创建URL列表urllist。

[Device-sslvpn-context-ctxweb2] url-list urllist

# 配置URL列表标题为web。

[Device-sslvpn-context-ctxweb2-url-list-urllist] heading web

# 创建一个URL表项，链接名为serverB，对应的URL为https://30.3.3.3。

[Device-sslvpn-context-ctxweb2-url-list-urllist] url serverB url-value https://30.3.3.3

[Device-sslvpn-context-ctxweb2-url-list-urllist] quit

# SSL VPN访问实例ctxweb2下创建策略组resourcegrp2，引用URL列表urllist。

[Device-sslvpn-context-ctxweb2] policy-group resourcegrp2

[Device-sslvpn-context-ctxweb2-policy-group-resourcegrp2] resources url-list urllist

[Device-sslvpn-context-ctxweb2-policy-group-resourcegrp2] quit

# 开启SSL VPN访问实例ctxweb2。

[Device-sslvpn-context-ctxweb2] service enable

[Device-sslvpn-context-ctxweb2] quit

(3)       配置SSL VPN用户

# 创建SSL VPN用户sslvpnuser1，密码为123456，用户角色为network-operator，授权用户的SSL VPN策略组为resourcegrp1。

[Device] local-user sslvpnuser1 class network

[Device-luser-network-sslvpnuser1] password simple 123456

[Device-luser-network-sslvpnuser1] service-type sslvpn

[Device-luser-network-sslvpnuser1] authorization-attribute user-role network-operator

[Device-luser-network-sslvpnuser1] authorization-attribute sslvpn-policy-group resourcegrp1

[Device-luser-network-sslvpnuser1] quit

# 创建SSL VPN用户sslvpnuser2，密码为123456，用户角色为network-operator，授权用户的SSL VPN策略组为resourcegrp2。

[Device] local-user sslvpnuser2 class network

[Device-luser-network-sslvpnuser2] password simple 123456

[Device-luser-network-sslvpnuser2] service-type sslvpn

[Device-luser-network-sslvpnuser2] authorization-attribute user-role network-operator

[Device-luser-network-sslvpnuser2] authorization-attribute sslvpn-policy-group resourcegrp2

[Device-luser-network-sslvpnuser2] quit

4. 验证配置

# 在Device上查看SSL VPN网关状态，可见SSL VPN网关gw处于Up状态。

[Device] display sslvpn gateway

Gateway name: gw

  Operation state: Up

  IP: 1.1.1.2  Port: 4430

  Front VPN instance: Not configured

# 在Device上查看SSL VPN访问实例状态，可见SSL VPN访问实例ctxweb1和ctxweb2均处于Up状态。

[Device] display sslvpn context

Context name: ctxweb1

  Operation state: Up

  AAA domain: Not specified

  Certificate authentication: Disabled

  Password authentication: Enabled

  Authentication use: All

  Dynamic password: Disabled

  Code verification: Disabled

  Default policy group: Not configured

  Associated SSL VPN gateway: gw

    Domain name: domainweb1

  Maximum users allowed: 1048575

  VPN instance: Not configured

  Idle timeout: 30 min

Context name: ctxweb2

  Operation state: Up

  AAA domain: Not specified

  Certificate authentication: Disabled

  Password authentication: Enabled

  Authentication use: All

  Dynamic password: Disabled

  Code verification: Disabled

  Default policy group: Not configured

  Associated SSL VPN gateway: gw

    Domain name: domainweb2

  Maximum users allowed: 1048575

  VPN instance: Not configured

  Idle timeout: 30 min

# SSL VPN用户sslvpnuser1在PC浏览器上输入https://1.1.1.2:4430/，进入Domain List页面，如下图所示。

图1-12 Domain List页面

# 选择domainweb1进入登录页面，输入用户sslvpnuser1和密码123456。

图1-13 登录页面

# 单击<登录>按钮，可以成功登录SSL VPN网关。网关首页的“书签”栏显示用户可以访问的Web资源serverA，如下图所示。

图1-14 网关首页

# 单击链接“serverA”，即可访问企业私网服务器Server A，显示信息略。

# SSL VPN用户sslvpnuser2在PC浏览器上输入https://1.1.1.2:4430/，进入Domain List页面，如下图所示。

图1-15 Domain List页面

# 选择domainweb2进入登录页面，输入用户sslvpnuser2和密码123456。

图1-16 登录页面

# 单击<登录>按钮，可以成功登录SSL VPN网关。网关首页的“书签”栏显示用户可以访问的Web资源serverB，如下图所示。

图1-17 网关首页

# 单击链接“serverB”，即可访问企业私网服务器Server B，显示信息略。

# 用户登录成功后，在Device上可以看到用户会话信息。

[Device] display sslvpn session

Total users: 2

SSL VPN context: ctxweb1

Users: 1

Username        Connections  Idle time   Created       User IP

sslvpnuser1     6            0/00:00:23  0/00:00:23    40.1.1.1

SSL VPN context: ctxweb2

Users: 1

Username        Connections  Idle time   Created       User IP

sslvpnuser2     6            0/00:00:03  0/00:00:03    50.1.1.1

1.21.2  Web接入配置举例（非缺省证书）

1. 组网需求

Device为SSL VPN网关设备，连接公网用户和企业私有网络VPN 1、VPN 2。用户通过Device能够安全地访问位于VPN 1内的Server A和VPN 2内的Server B。其中，Server A和Server B均为Web服务器，Sever A使用HTTP协议和80端口号，Sever B使用HTTPS协议和443端口号；Device对用户进行本地认证和本地授权。

2. 组网图

图1-18 Web接入组网图（非缺省证书）

‌

3. 配置步骤

(1)       配置PKI域

# 配置PKI域sslvpn。

<Device> system-view

[Device] pki domain sslvpn

[Device-pki-domain-sslvpn] public-key rsa general name sslvpn

[Device-pki-domain-sslvpn] undo crl check enable

[Device-pki-domain-sslvpn] quit

# 导入CA证书ca.cer和服务器证书server.pfx。

[Device] pki import domain sslvpn der ca filename ca.cer

[Device] pki import domain sslvpn p12 local filename server.pfx

(2)       配置SSL服务器端策略

# 配置SSL服务器端策略ssl。

[Device] ssl server-policy ssl

[Device-ssl-server-policy-ssl] pki-domain sslvpn

[Device-ssl-server-policy-ssl] quit

(3)       配置SSL VPN网关

# 配置SSL VPN网关gw的IP地址为1.1.1.2，端口号为2000，并引用SSL服务器端策略ssl。

[Device] sslvpn gateway gw

[Device-sslvpn-gateway-gw] ip address 1.1.1.2 port 2000

[Device-sslvpn-gateway-gw] ssl server-policy ssl

# 开启SSL VPN网关gw。

[Device-sslvpn-gateway-gw] service enable

[Device-sslvpn-gateway-gw] quit

(4)       配置SSL VPN访问实例

# 配置SSL VPN访问实例ctx1引用SSL VPN网关gw，指定域名为domain1，并配置SSL VPN访问实例关联的VPN实例为VPN1。

[Device] sslvpn context ctx1

[Device-sslvpn-context-ctx1] gateway gw domain domain1

[Device-sslvpn-context-ctx1] vpn-instance VPN1

# 创建URL表项urlitem，并配置资源的URL。

[Device-sslvpn-context-ctx1]url-item urlitem

[Device-sslvpn-context-ctx1-url-item-urlitem]url http://20.2.2.2

[Device-sslvpn-context-ctx1-url-item-urlitem]quit

# 创建URL列表urllist。

[Device-sslvpn-context-ctx1] url-list urllist

# 配置URL列表标题为web。

[Device-sslvpn-context-ctx1-url-list-urllist] heading web

# 配置URL列表引用的URL表项。

[Device-sslvpn-context-ctx1-url-list-urllist]resources url-item urlitem

[Device-sslvpn-context-ctx1-url-list-urllist] quit

# SSL VPN访问实例ctx1下创建策略组pgroup，引用Web资源，并指定其为缺省策略组。

[Device-sslvpn-context-ctx1] policy-group pgroup

[Device-sslvpn-context-ctx1-policy-group-pgroup] resources url-list urllist

[Device-sslvpn-context-ctx1-policy-group-pgroup] quit

[Device-sslvpn-context-ctx1] default-policy-group pgroup

# 开启SSL VPN访问实例ctx1。

[Device-sslvpn-context-ctx1] service enable

[Device-sslvpn-context-ctx1] quit

# 配置SSL VPN访问实例ctx2引用SSL VPN网关gw，指定域名为domain2，并配置SSL VPN访问实例关联的VPN实例为VPN2。

[Device] sslvpn context ctx2

[Device-sslvpn-context-ctx2] gateway gw domain domain2

[Device-sslvpn-context-ctx2] vpn-instance VPN2

# 创建URL列表urllist。

[Device-sslvpn-context-ctx2] url-list urllist

# 配置URL列表标题为web。

[Device-sslvpn-context-ctx2-url-list-urllist] heading web

# 添加一个URL表项，链接名为serverB，对应的URL为https://30.3.3.3。

[Device-sslvpn-context-ctx2-url-list-urllist] url serverB url-value https://30.3.3.3

[Device-sslvpn-context-ctx2-url-list-urllist] quit

# SSL VPN访问实例ctx2下创建策略组pgroup，引用Web资源，并指定其为缺省策略组。

[Device-sslvpn-context-ctx2] policy-group pgroup

[Device-sslvpn-context-ctx2-policy-group-pgroup] resources url-list urllist

[Device-sslvpn-context-ctx2-policy-group-pgroup] quit

[Device-sslvpn-context-ctx2] default-policy-group pgroup

# 开启SSL VPN访问实例ctx2。

[Device-sslvpn-context-ctx2] service enable

[Device-sslvpn-context-ctx2] quit

(5)       配置SSL VPN用户

# 创建本地SSL VPN用户sslvpn，密码为123456，用户角色为network-operator，授权用户的SSL VPN策略组为pgroup。

[Device] local-user sslvpn class network

[Device-luser-network-sslvpn] password simple 123456

[Device-luser-network-sslvpn] service-type sslvpn

[Device-luser-network-sslvpn] authorization-attribute user-role network-operator

[Device-luser-network-sslvpn] authorization-attribute sslvpn-policy-group pgroup

[Device-luser-network-sslvpn] quit

4. 验证配置

# 在Device上查看SSL VPN网关状态，可见SSL VPN网关gw处于Up状态。

[Device] display sslvpn gateway

Gateway name: gw

  Operation state: Up

  IP: 1.1.1.2  Port: 2000

  SSL server policy configured: ssl

  SSL server policy in use: ssl

  Front VPN instance: Not configured

# 在Device上查看SSL VPN访问实例状态，可见SSL VPN访问实例ctx1和ctx2均处于Up状态。

[Device] display sslvpn context

Context name: ctx1

  Operation state: Up

  AAA domain: Not specified

  Certificate authentication: Disabled

  Password authentication：Enabled

  Authentication use: All

  Dynamic password: Disabled

  Code verification: Disabled

  Default policy group: pgroup

  Associated SSL VPN gateway: gw

    Domain name: domain1

  SSL client policy configured: ssl

  SSL client policy in use: ssl

  Maximum users allowed: 1048575

  VPN instance: VPN1

  Idle timeout: 30 min

Context name: ctx2

  Operation state: Up

  AAA domain: Not specified

  Certificate authentication: Disabled

  Password authentication：Enabled

  Authentication use: All

  Dynamic password: Disabled

  Code verification: Disabled

  Default policy group: pgroup

  Associated SSL VPN gateway: gw

    Domain name: domain2

  SSL client policy configured: ssl

  SSL client policy in use: ssl

  Maximum users allowed: 1048575

  VPN instance: VPN2

  Idle timeout: 30 min

# 用户在PC浏览器上输入https://1.1.1.2:2000/，进入Domain List页面。

图1-19 Domain List页面

# 用户选择domain1进入登录页面，输入用户sslvpn和密码123456，点击<登录>按钮，可以成功登录。

图1-20 登录页面

# 用户登录成功后，在Device上可以看到用户会话信息。

[Device] display sslvpn session context ctx1

SSL VPN context: ctx1

Users: 1

Username        Connections  Idle time   Created       User IP

sslvpn          6            0/00:12:05  0/00:04:14    40.1.1.1

# 网关首页的“书签”栏显示用户可以访问的远端web资源。

图1-21 网关首页

# 点击serverA，可以进入Web服务器Server A的HTTP网站首页面，且在浏览器的地址栏中显示如下格式的URL：https://1.1.1.2:2000/_proxy2/http/80/20.2.2.2/。

# 用户退出登录，重启浏览器，重新输入https://1.1.1.2:2000/，选择domain2进入登录页面，输入用户名sslvpn和密码123456，可以登录成功。

# 用户登录成功后，在Device上可以看到用户会话信息。

[Device] display sslvpn session context ctx2

SSL VPN context: ctx2

Users: 1

Username        Connections  Idle time   Created       User IP

sslvpn          6            0/00:02:05  0/00:01:11    40.1.1.1

# 网关首页的“书签”栏显示用户可以访问的远端web资源。

图1-22 网关首页

# 点击serverB，可以进入Web服务器Server B的HTTPS网站页面，且在浏览器的地址栏中显示如下格式的URL：https://1.1.1.2:2000/_proxy2/https/443/30.3.3.3/。

1.21.3  TCP接入配置举例（缺省证书）

1. 组网需求

Device为SSL VPN网关设备，连接公网用户和企业私有网络。用户通过Device可以安全地访问私有网络内的Telnet服务器Server。Device采用本地认证和授权方式对用户进行认证和授权。

2. 组网图

图1-23 TCP接入配置组网图（缺省证书）

‌

3. 配置步骤

(1)       配置SSL VPN网关

# 配置SSL VPN网关gw的IP地址为1.1.1.2，端口号为4430。

<Device> system-view

[Device] sslvpn gateway gw

[Device-sslvpn-gateway-gw] ip address 1.1.1.2 port 4430

[Device-sslvpn-gateway-gw] service enable

[Device-sslvpn-gateway-gw] quit

(2)       配置SSL VPN访问实例

# 配置SSL VPN访问实例ctxtcp，引用SSL VPN网关gw，指定域名为domaintcp。

[Device] sslvpn context ctxtcp

[Device-sslvpn-context-ctxtcp] gateway gw domain domaintcp

# 创建端口转发表项pfitem。

[Device-sslvpn-context-ctxtcp] port-forward-item pfitem

# 添加端口转发实例，将20.2.2.2提供的Telnet服务映射到本地地址127.0.0.23、本地端口2323。

[Device-sslvpn-context-ctxtcp-port-forward-item-pfitem] local-port 2323 local-name 127.0.0.23 remote-server 20.2.2.2 remote-port 23

[Device-sslvpn-context-ctxtcp-port-forward-item-pfitem] quit

# 配置端口转发列表pflist，并引用端口转发表项pfitem。

[Device-sslvpn-context-ctxtcp] port-forward pflist

[Device-sslvpn-context-ctxtcp-port-forward-pflist] resources port-forward-item pfitem

[Device-sslvpn-context-ctxtcp-port-forward-pflist] quit

# 创建SSL VPN策略组resourcegrp，并引用端口转发列表pflist。

[Device-sslvpn-context-ctxtcp] policy-group resourcegrp

[Device-sslvpn-context-ctxtcp-policy-group-resourcegrp] resources port-forward pflist

[Device-sslvpn-context-ctxtcp-policy-group-resourcegrp] quit

# 开启SSL VPN访问实例ctxtcp。

[Device-sslvpn-context-ctxtcp] service enable

[Device-sslvpn-context-ctxtcp] quit

(3)       配置SSL VPN用户

# 创建本地SSL VPN用户sslvpnuser，密码为123456，用户角色为network-operator，授权用户的SSL VPN策略组为resourcegrp。

[Device] local-user sslvpnuser class network

[Device-luser-network-sslvpnuser] password simple 123456

[Device-luser-network-sslvpnuser] service-type sslvpn

[Device-luser-network-sslvpnuser] authorization-attribute sslvpn-policy-group resourcegrp

[Device-luser-network-sslvpnuser] authorization-attribute user-role network-operator

[Device-luser-network-sslvpnuser] quit

4. 验证配置

# 在Device上查看SSL VPN网关状态，可见SSL VPN网关gw处于Up状态。

[Device] display sslvpn gateway

Gateway name: gw

  Operation state: Up

  IP: 1.1.1.2  Port: 4430

  Front VPN instance: Not configured

# 在Device上查看SSL VPN访问实例状态，可见SSL VPN访问实例ctx处于Up状态。

[Device] display sslvpn context

Context name: ctxtcp

  Operation state: Up

  AAA domain: Not specified

  Certificate authentication: Disabled

  Password authentication: Enabled

  Authentication use: All

  Dynamic password: Disabled

  Code verification: Disabled

  Default policy group: Not configured

  Associated SSL VPN gateway: gw

    Domain name: domaintcp

  Maximum users allowed: 1048575

  VPN instance: Not configured

  Idle timeout: 30 min

# SSL VPN用户sslvpnuser在PC浏览器上输入https://1.1.1.2:4430/，进入Domain List页面，如下图所示。

图1-24 Domain List页面

# 选择domaintcp进入登录页面，输入用户sslvpnuser和密码123456。

图1-25 登录页面

# 单击<登录>按钮，可以成功登录SSL VPN网关。在网页的应用程序栏中选择“启动TCP客户端应用程序”，如下图所示。

图1-26 应用程序列表

# 单击<启动>按钮，下载TCP接入客户端软件并运行。

图1-27 TCP接入客户端软件

# 用户在PC上执行telnet 127.0.0.23 2323，可以远程连接到Server，显示信息略。

# 在Device上可以看到用户会话信息。

[Device] display sslvpn session

Total users: 1

SSL VPN context: ctxtcp

Users: 1

Username        Connections  Idle time   Created       User IP

sslvpnuser      5            0/00:00:51  0/00:17:26    40.1.1.1

# 在Device上可以看到TCP端口转发的连接信息。

[Device] display sslvpn port-forward connection

SSL VPN context: ctxtcp

 Client address: 40.1.1.1

 Client port   : 50335

 Server address: 20.2.2.2

 Server port   : 23

 State         : Connected

1.21.4  TCP接入配置举例（非缺省证书）

1. 组网需求

Device为SSL VPN网关设备，连接公网用户和企业私有网络VPN 1。用户通过Device可以安全地访问VPN 1内的Telnet服务器Server。Device采用本地认证和授权方式对用户进行认证和授权。

2. 组网图

图1-28 TCP接入配置组网图（非缺省证书）

‌

3. 配置步骤

(1)       配置PKI域

# 配置PKI域sslvpn。

<Device> system-view

[Device] pki domain sslvpn

[Device-pki-domain-sslvpn] public-key rsa general name sslvpn

[Device-pki-domain-sslvpn] undo crl check enable

[Device-pki-domain-sslvpn] quit

# 导入CA证书ca.cer和服务器证书server.pfx。

[Device] pki import domain sslvpn der ca filename ca.cer

[Device] pki import domain sslvpn p12 local filename server.pfx

(2)       配置SSL服务器端策略

# 配置SSL服务器端策略ssl。

[Device] ssl server-policy ssl

[Device-ssl-server-policy-ssl] pki-domain sslvpn

[Device-ssl-server-policy-ssl] quit

(3)       配置SSL VPN网关

# 配置SSL VPN网关gw的IP地址为1.1.1.2，端口号为2000，并引用SSL服务器端策略ssl。

[Device] sslvpn gateway gw

[Device-sslvpn-gateway-gw] ip address 1.1.1.2 port 2000

[Device-sslvpn-gateway-gw] ssl server-policy ssl

# 开启SSL VPN网关gw。

[Device-sslvpn-gateway-gw] service enable

[Device-sslvpn-gateway-gw] quit

(4)       配置SSL VPN访问实例

# 配置SSL VPN访问实例ctx引用SSL VPN网关gw，并配置SSL VPN访问实例关联的VPN实例为VPN1。

[Device] sslvpn context ctx

[Device-sslvpn-context-ctx] gateway gw

[Device-sslvpn-context-ctx] vpn-instance VPN1

# 创建端口转发表项pfitem1。

[Device-sslvpn-context-ctx] port-forward-item pfitem1

# 添加端口转发实例，将20.2.2.2提供的Telnet服务映射到本地地址127.0.0.1、本地端口2323。

[Device-sslvpn-context-ctx-port-forward-item-pfitem1] local-port 2323 local-name 127.0.0.1 remote-server 20.2.2.2 remote-port 23 description telnet

[Device-sslvpn-context-ctx-port-forward-item-pfitem1] quit

# 创建端口转发列表plist，并引用端口转发表项pfitem1。

[Device-sslvpn-context-ctx] port-forward plist

[Device-sslvpn-context-ctx-port-forward-plist] resources port-forward-item pfitem1

[Device-sslvpn-context-ctx-port-forward-plist] quit

# 创建SSL VPN策略组pgroup，并引用端口转发列表plist。

[Device-sslvpn-context-ctx] policy-group pgroup

[Device-sslvpn-context-ctx-policy-group-pgroup] resources port-forward plist

[Device-sslvpn-context-ctx-policy-group-pgroup] quit

# 开启SSL VPN访问实例ctx。

[Device-sslvpn-context-ctx] service enable

[Device-sslvpn-context-ctx] quit

(5)       配置SSL VPN用户

# 创建本地SSL VPN用户sslvpn，密码为123456，用户角色为network-operator，授权用户的SSL VPN策略组为pgroup。

[Device] local-user sslvpn class network

[Device-luser-network-sslvpn] password simple 123456

[Device-luser-network-sslvpn] service-type sslvpn

[Device-luser-network-sslvpn] authorization-attribute user-role network-operator

[Device-luser-network-sslvpn] authorization-attribute sslvpn-policy-group pgroup

[Device-luser-network-sslvpn] quit

4. 验证配置

# 在Device上查看SSL VPN网关状态，可见SSL VPN网关gw处于Up状态。

[Device] display sslvpn gateway

Gateway name: gw

  Operation state: Up

  IP: 1.1.1.2  Port: 2000

  SSL server policy configured: ssl

  SSL server policy in use: ssl

  Front VPN instance: Not configured

# 在Device上查看SSL VPN访问实例状态，可见SSL VPN访问实例ctx处于Up状态。

[Device] display sslvpn context

Context name: ctx

  Operation state: Up

  AAA domain: Not specified

  Certificate authentication: Disabled

  Password authentication：Enabled

  Authentication use: All

  Dynamic password: Disabled

  Code verification: Disabled

  Default policy group: Not configured

  Associated SSL VPN gateway: gw

  SSL client policy configured: ssl

  SSL client policy in use: ssl

  Maximum users allowed: 1048575

  VPN instance: VPN1

  Idle timeout: 30 min

# 用户在PC浏览器上输入https://1.1.1.2:2000/，进入登录页面后，输入用户名sslvpn和密码123456，用户可以成功登录。

图1-29 登录页面

# 用户登录成功后，在网页的应用程序栏中选择“启动TCP客户端应用程序”，如下图所示。

图1-30 应用程序列表

# 单击<启动>按钮，下载TCP接入客户端软件并运行。

图1-31 TCP接入客户端软件

# 用户在PC上执行telnet 127.0.0.1 2323，可以远程连接到Server，显示信息略。

# 在Device上可以看到用户会话信息。

[Device] display sslvpn session context ctx

SSL VPN context: ctx

Users: 1

Username        Connections  Idle time   Created       User IP

sslvpn          6            0/00:12:05  0/00:04:14    40.1.1.1

# 在Device上可以看到TCP端口转发的连接信息。

[Device] display sslvpn port-forward connection

SSL VPN context  : ctx

  Client address : 40.1.1.1

  Client port    : 50788

  Server address : 20.2.2.2

  Server port    : 23

  State          : Connected

1.21.5  IP接入配置举例（缺省证书）

1. 组网需求

Device为SSL VPN网关设备，连接公网用户和企业私有网络。用户通过Device可以通过IP

接入方式安全地访问私有网络内的Server。Device采用本地认证和授权方式对用户进行认证和授权。

2. 组网图

图1-32 IP接入配置组网图（缺省证书）

‌

3. 配置步骤

(1)       配置SSL VPN网关

# 配置SSL VPN网关gw的IP地址为1.1.1.2，端口号为4430。

<Device> system-view

[Device] sslvpn gateway gw

[Device-sslvpn-gateway-gw] ip address 1.1.1.2 port 4430

[Device-sslvpn-gateway-gw] service enable

[Device-sslvpn-gateway-gw] quit

(2)       创建SSL VPN客户端地址池

# 创建为SSL VPN客户端分配地址的地址池sslvpnpool，地址范围为10.1.1.1～10.1.1.10。

[Device] sslvpn ip address-pool sslvpnpool 10.1.1.1 10.1.1.10

(3)       创建SSL VPN AC接口

# 创建SSL VPN AC接口1，配置该接口的IP地址为10.1.1.100/24。

[Device] interface sslvpn-ac 1

[Device-SSLVPN-AC1] ip address 10.1.1.100 24

[Device-SSLVPN-AC1] quit

(4)       配置SSL VPN访问实例

# 配置SSL VPN访问实例ctxip，引用SSL VPN网关gw，指定域名为domainip。

[Device] sslvpn context ctxip

[Device-sslvpn-context-ctxip] gateway gw domain domainip

# 配置IP接入引用的SSL VPN AC接口1.

[Device-sslvpn-context-ctxip] ip-tunnel interface sslvpn-ac 1

# 创建路由表rtlist，并添加路由表项20.2.2.0/24。

[Device-sslvpn-context-ctxip] ip-route-list rtlist

[Device-sslvpn-context-ctxip-route-list-rtlist] include 20.2.2.0 24

[Device-sslvpn-context-ctxip-route-list-rtlist] quit

# 引用SSL VPN客户端地址池sslvpnpool。

[Device-sslvpn-context-ctxip] ip-tunnel address-pool sslvpnpool mask 24

# 创建SSL VPN策略组resourcegrp，引用路由列表rtlist，并同时配置对IP接入进行ACL过滤。

[Device-sslvpn-context-ctxip] policy-group resourcegrp

[Device-sslvpn-context-ctxip-policy-group-resourcegrp] ip-tunnel access-route ip-route-list rtlist

[Device-sslvpn-context-ctxip-policy-group-resourcegrp] filter ip-tunnel acl 3000

[Device-sslvpn-context-ctxip-policy-group-resourcegrp] quit

# 开启SSL VPN访问实例ctxip。

[Device-sslvpn-context-ctxip] service enable

[Device-sslvpn-context-ctxip] quit

# 创建ACL 3000，规则为允许源IP为10.1.1.0/24的报文访问目标IP网段20.2.2.0/24。

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule permit ip source 10.1.1.0 0.0.0.255 destination 20.2.2.0 0.0.0.255

[Device-acl-ipv4-adv-3000] quit

(5)       配置SSL VPN用户

# 创建本地SSL VPN用户sslvpnuser，密码为123456，用户角色为network-operator，授权用户的SSL VPN策略组为resourcegrp。

[Device] local-user sslvpnuser class network

[Device-luser-network-sslvpnuser] password simple 123456

[Device-luser-network-sslvpnuser] service-type sslvpn

[Device-luser-network-sslvpnuser] authorization-attribute sslvpn-policy-group resourcegrp

[Device-luser-network-sslvpnuser] authorization-attribute user-role network-operator

[Device-luser-network-sslvpnuser] quit

4. 验证配置

# 在Device上查看SSL VPN网关状态，可见SSL VPN网关gw处于Up状态。

[Device] display sslvpn gateway

Gateway name: gw

  Operation state: Up

  IP: 1.1.1.2  Port: 4430

  Front VPN instance: Not configured

# 在Device上查看SSL VPN访问实例状态，可见SSL VPN访问实例ctx处于Up状态。

[Device] display sslvpn context

Context name: ctxip

  Operation state: Up

  AAA domain: Not specified

  Certificate authentication: Disabled

  Password authentication: Enabled

  Authentication use: All

  Dynamic password: Disabled

  Code verification: Disabled

  Default policy group: Not configured

  Associated SSL VPN gateway: gw

    Domain name: domainip

  Maximum users allowed: 1048575

  VPN instance: Not configured

  Idle timeout: 30 min

# SSL VPN用户sslvpnuser在PC浏览器上输入https://1.1.1.2:4430/，进入Domain List页面，如下图所示。

图1-33 Domain List页面

# 选择domainip进入登录页面，输入用户sslvpnuser和密码123456。

图1-34 登录页面

# 单击<登录>按钮，可以成功登录SSL VPN网关。在网页的应用程序栏中选择“启动IP客户端应用程序”，如下图所示。

图1-35 应用程序列表

# 单击<启动>按钮，下载IP接入客户端软件Svpnclient并安装，安装完成后，启动iNode客户端，输入如下图所示的参数。

图1-36 iNode客户端

# 单击<连接>按钮，成功登录SSL VPN客户端，如下图所示。

图1-37 成功登录SSL VPN网关

# SSL VPN用户sslvpnuser可以Ping通服务器地址20.2.2.2。

C:\>ping 20.2.2.2

Pinging 20.2.2.2 with 32 bytes of data:

Reply from 20.2.2.2: bytes=32 time=31ms TTL=254

Reply from 20.2.2.2: bytes=32 time=18ms TTL=254

Reply from 20.2.2.2: bytes=32 time=15ms TTL=254

Reply from 20.2.2.2: bytes=32 time=16ms TTL=254

Ping statistics for 20.2.2.2:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 15ms, Maximum = 31ms, Average = 20ms

# 在Device上可以看到SSL VPN用户sslvpnuser的会话信息。

[Device] display sslvpn session user sslvpnuser

User              : sslvpnuser

Context           : ctxip

Policy group      : resourcegrp

Idle timeout      : 30 min

Created at        : 16:38:48 UTC Wed 07/26/2017

Lastest           : 16:47:41 UTC Wed 07/26/2017

User IPv4 address : 172.16.1.16

Allocated IP        : 10.1.1.1

Session ID        : 14

Web browser/OS    : Windows

1.21.6  IP接入配置举例（非缺省证书）

1. 组网需求

Device为SSL VPN网关设备，连接公网用户和企业私有网络VPN 1。用户通过Device可以通过IP接入方式安全地访问VPN 1内的Server。Device通过RADIUS server采用远程认证和授权方式对用户进行认证和授权。

2. 组网图

图1-38 IP接入配置组网图（非缺省证书）

‌

3. 配置步骤

(1)       配置PKI域

# 配置PKI域sslvpn。

<Device> system-view

[Device] pki domain sslvpn

[Device-pki-domain-sslvpn] public-key rsa general name sslvpn

[Device-pki-domain-sslvpn] undo crl check  enable

[Device-pki-domain-sslvpn] quit

# 导入CA证书ca.cer和服务器证书server.pfx。

[Device] pki import domain sslvpn der ca filename ca.cer

[Device] pki import domain sslvpn p12 local filename server.pfx

(2)       配置SSL服务器端策略

# 配置SSL服务器端策略ssl。

[Device] ssl server-policy ssl

[Device-ssl-server-policy-ssl] pki-domain sslvpn

[Device-ssl-server-policy-ssl] quit

(3)       配置SSL VPN网关

# 配置SSL VPN网关gw的IP地址为1.1.1.2，端口号为2000，并引用SSL服务器端策略ssl。

[Device] sslvpn gateway gw

[Device-sslvpn-gateway-gw] ip address 1.1.1.2 port 2000

[Device-sslvpn-gateway-gw] ssl server-policy ssl

# 开启SSL VPN网关gw。

[Device-sslvpn-gateway-gw] service enable

[Device-sslvpn-gateway-gw] quit

(4)       创建SSL VPN客户端地址池

# 创建地址池ippool，指定IP地址范围为10.1.1.1～10.1.1.10。

[Device] sslvpn ip address-pool ippool 10.1.1.1 10.1.1.10

(5)       创建SSL VPN AC接口

# 创建SSL VPN AC接口1，配置该接口绑定VPN实例VPN1，并配置接口的IP地址为10.1.1.100/24。

[Device] interface sslvpn-ac 1

[Device-SSLVPN-AC1] ip binding vpn-instance VPN1

[Device-SSLVPN-AC1] ip address 10.1.1.100 24

[Device-SSLVPN-AC1] quit

(6)       配置SSL VPN访问实例

# 配置SSL VPN访问实例ctx引用SSL VPN网关gw，并配置SSL VPN访问实例关联的VPN实例为VPN1。

[Device] sslvpn context ctx

[Device-sslvpn-context-ctx] gateway gw

[Device-sslvpn-context-ctx] vpn-instance VPN1

# 配置SSL VPN访问实例使用ISP域domain1进行AAA认证。

[Device-sslvpn-context-ctx] aaa domain domain1

# 创建路由列表rtlist，并添加路由表项20.2.2.0/24。

[Device-sslvpn-context-ctx] ip-route-list rtlist

[Device-sslvpn-context-ctx-route-list-rtlist] include 20.2.2.0 255.255.255.0

[Device-sslvpn-context-ctx-route-list-rtlist] quit

# 创建名称为uriacl的URI ACL，并创建对应的URI ACL过滤规则。

[Device-sslvpn-context-ctx] uri-acl uriacl

[Device-sslvpn-context-ctx-uri-acl-uriacl] rule 1 permit uri icmp://20.2.2.0

[Device-sslvpn-context-ctx-uri-acl-uriacl] quit

# 配置SSL VPN访问实例ctx引用SSL VPN AC接口1

[Device-sslvpn-context-ctx] ip-tunnel interface sslvpn-ac 1

# 配置SSL VPN访问实例ctx引用地址池ippool。

[Device-sslvpn-context-ctx] ip-tunnel address-pool ippool mask 255.255.255.0

# 创建SSL VPN策略组pgroup，引用路由列表rtlist，并同时配置对IP接入进行URI ACL过滤。

[Device-sslvpn-context-ctx] policy-group pgroup

[Device-sslvpn-context-ctx-policy-group-pgroup] ip-tunnel access-route ip-route-list rtlist

[Device-sslvpn-context-ctx-policy-group-pgroup] filter ip-tunnel uri-acl uriacl

[Device-sslvpn-context-ctx-policy-group-pgroup] quit

# 开启SSL VPN访问实例ctx。

[Device-sslvpn-context-ctx] service enable

[Device-sslvpn-context-ctx] quit

(7)       配置RADIUS

# 配置Radius方案rscheme，指定认证和授权服务器地址均为3.3.3.2、认证和授权的共享密钥均为123456、发送给RADIUS服务器的用户名格式为不携带ISP域名。

[Device] radius scheme rscheme

[Device-radius-rscheme] primary authentication 3.3.3.2

[Device-radius-rscheme] primary accounting 3.3.3.2

[Device-radius-rscheme] accounting-on enable

[Device-radius-rscheme] key authentication simple 123456

[Device-radius-rscheme] key accounting simple 123456

[Device-radius-rscheme] user-name-format without-domain

[Device-radius-rscheme] quit

(8)       配置用户组

# 配置用户组group1，授权给该用户组的策略组为pgroup。

[Device] user-group group1

[Device-ugroup-group1] authorization-attribute sslvpn-policy-group pgroup

[Device-ugroup-group1] quit

(9)       配置ISP域

# 配置ISP域domain1，指定用户授权属性为用户组group1，认证、授权和计费使用的RADIUS方案为rscheme。

[Device] domain domain1

[Device-isp-domain1] authorization-attribute user-group group1

[Device-isp-domain1] authentication sslvpn radius-scheme rscheme

[Device-isp-domain1] authorization sslvpn radius-scheme rscheme

[Device-isp-domain1] accounting sslvpn radius-scheme rscheme

[Device-isp-domain1] quit

4. 验证配置

# 在Device上查看SSL VPN网关状态，可见SSL VPN网关gw处于Up状态。

[Device] display sslvpn gateway

Gateway name: gw

  Operation state: Up

  IP: 1.1.1.2  Port: 2000

  SSL server policy configured: ssl

  SSL server policy in use: ssl

  Front VPN instance: Not configured

# 在Device上查看SSL VPN访问实例状态，可见SSL VPN访问实例ctx处于Up状态。

[Device] display sslvpn context

Context name: ctx

  Operation state: Up

  AAA domain: domain1

  Certificate authentication: Disabled

  Password authentication：Enabled

  Authentication use: All

  Dynamic password: Disabled

  Code verification: Disabled

  Default policy group: Not configured

  Associated SSL VPN gateway: gw

  SSL client policy configured: ssl

  SSL client policy in use: ssl

  Maximum users allowed: 1048575

  VPN instance: VPN1

  Idle timeout: 30 min

# 用户在PC上启动IP接入客户端软件，输入访问地址1.1.1.2、端口号2000、用户名sslvpn、密码123456，登录成功。

# 在Device上可以看到用户会话信息。

[Device] display sslvpn session context ctx

SSL VPN context: ctx

Users: 1

Username        Connections  Idle time   Created       User IP

sslvpn          6            0/00:02:05  0/00:03:14    40.1.1.1

# 在PC上查看IPv4路由表，其中40.1.1.1/24为本地网卡地址，10.1.1.1/24为SSL VPN网关设备分配给用户的地址，20.2.2.0/24为到达内部服务器Server的路由。

>route -4 print

IPv4 Route Table

===========================================================================

Active Routes:

Network Destination        Netmask          Gateway       Interface  Metric

         10.1.1.0    255.255.255.0         On-link      10.1.1.1        276

         10.1.1.1  255.255.255.255         On-link      10.1.1.1        276

       10.1.1.255  255.255.255.255         On-link      10.1.1.1        276

         20.2.2.0    255.255.255.0         On-link      10.1.1.1        276

       20.2.2.255  255.255.255.255         On-link      10.1.1.1        276

         40.1.1.0    255.255.255.0         On-link      40.1.1.1        276

         40.1.1.1  255.255.255.255         On-link      40.1.1.1        276

       40.1.1.255  255.255.255.255         On-link      40.1.1.1        276

===========================================================================

# 在PC上可以Ping通服务器地址20.2.2.2。

C:\>ping 20.2.2.2

Pinging 20.2.2.2 with 32 bytes of data:

Reply from 20.2.2.2: bytes=32 time=197ms TTL=254

Reply from 20.2.2.2: bytes=32 time=1ms TTL=254

Reply from 20.2.2.2: bytes=32 time=1ms TTL=254

Reply from 20.2.2.2: bytes=32 time=186ms TTL=254

Ping statistics for 20.2.2.2:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 1ms, Maximum = 197ms, Average = 96ms