防火墙 SSL VPN

您好，请知：

双向证书的话需要想CA证书服务器申请。当然也可自行搭建CA服务器。

以下是配置举例，请参考：

1.21.3  Web接入配置举例

1. 组网需求

Device为SSL VPN网关设备，连接公网用户和企业私有网络VPN 1、VPN 2。用户通过Device能够安全地访问位于VPN 1内的Server A和VPN 2内的Server B。其中，Server A和Server B均为Web服务器，Sever A使用HTTP协议和80端口号，Sever B使用HTTPS协议和443端口号；Device对用户进行本地认证和本地授权。

2. 组网图

图1-11 Web接入组网图

‌

3. 配置步骤

(1)     配置路由、安全域及域间策略保证网络可达，具体配置步骤略

(2)     配置PKI域

# 配置PKI域sslvpn。

<Device> system-view

[Device] pki domain sslvpn

[Device-pki-domain-sslvpn] public-key rsa general name sslvpn

[Device-pki-domain-sslvpn] undo crl check enable

[Device-pki-domain-sslvpn] quit

# 导入CA证书ca.cer和服务器证书server.pfx。

[Device] pki import domain sslvpn der ca filename ca.cer

[Device] pki import domain sslvpn p12 local filename server.pfx

(3)     配置SSL服务器端策略

# 配置SSL服务器端策略ssl。

[Device] ssl server-policy ssl

[Device-ssl-server-policy-ssl] pki-domain sslvpn

[Device-ssl-server-policy-ssl] quit

(4)     配置SSL VPN网关

# 配置SSL VPN网关gw的IP地址为1.1.1.2，端口号为2000，并引用SSL服务器端策略ssl。

[Device] sslvpn gateway gw

[Device-sslvpn-gateway-gw] ip address 1.1.1.2 port 2000

[Device-sslvpn-gateway-gw] ssl server-policy ssl

# 开启SSL VPN网关gw。

[Device-sslvpn-gateway-gw] service enable

[Device-sslvpn-gateway-gw] quit

(5)     配置SSL VPN访问实例

# 配置SSL VPN访问实例ctx1引用SSL VPN网关gw，指定域名为domain1，并配置SSL VPN访问实例关联的VPN实例为VPN1。

[Device] sslvpn context ctx1

[Device-sslvpn-context-ctx1] gateway gw domain domain1

[Device-sslvpn-context-ctx1] vpn-instance VPN1

# 创建URL表项urlitem，并配置资源的URL。

[Device-sslvpn-context-ctx1] url-item urlitem

[Device-sslvpn-context-ctx1-url-item-urlitem] url http://20.2.2.2

[Device-sslvpn-context-ctx1-url-item-urlitem] quit

# 创建URL列表urllist。

[Device-sslvpn-context-ctx1] url-list urllist

# 配置URL列表标题为web。

[Device-sslvpn-context-ctx1-url-list-urllist] heading web

# 配置URL列表引用的URL表项。

[Device-sslvpn-context-ctx1-url-list-urllist] resources url-item urlitem

[Device-sslvpn-context-ctx1-url-list-urllist] quit

# SSL VPN访问实例ctx1下创建策略组pgroup，引用Web资源，并指定其为缺省策略组。

[Device-sslvpn-context-ctx1] policy-group pgroup

[Device-sslvpn-context-ctx1-policy-group-pgroup] resources url-list urllist

[Device-sslvpn-context-ctx1-policy-group-pgroup] quit

[Device-sslvpn-context-ctx1] default-policy-group pgroup

# 开启SSL VPN访问实例ctx1。

[Device-sslvpn-context-ctx1] service enable

[Device-sslvpn-context-ctx1] quit

# 配置SSL VPN访问实例ctx2引用SSL VPN网关gw，指定域名为domain2，并配置SSL VPN访问实例关联的VPN实例为VPN2。

[Device] sslvpn context ctx2

[Device-sslvpn-context-ctx2] gateway gw domain domain2

[Device-sslvpn-context-ctx2] vpn-instance VPN2

# 创建URL表项urlitem，并配置资源的URL。

[Device-sslvpn-context-ctx1] url-item urlitem

[Device-sslvpn-context-ctx1-url-item-urlitem] url https://30.3.3.3

[Device-sslvpn-context-ctx1-url-item-urlitem] quit

# 创建URL列表urllist。

[Device-sslvpn-context-ctx2] url-list urllist

# 配置URL列表标题为web。

[Device-sslvpn-context-ctx2-url-list-urllist] heading web

# 配置URL列表引用的URL表项。

[Device-sslvpn-context-ctx1-url-list-urllist] resources url-item urlitem

[Device-sslvpn-context-ctx1-url-list-urllist] quit

# SSL VPN访问实例ctx2下创建策略组pgroup，引用Web资源，并指定其为缺省策略组。

[Device-sslvpn-context-ctx2] policy-group pgroup

[Device-sslvpn-context-ctx2-policy-group-pgroup] resources url-list urllist

[Device-sslvpn-context-ctx2-policy-group-pgroup] quit

[Device-sslvpn-context-ctx2] default-policy-group pgroup

# 开启SSL VPN访问实例ctx2。

[Device-sslvpn-context-ctx2] service enable

[Device-sslvpn-context-ctx2] quit

(6)     配置SSL VPN用户

# 创建本地SSL VPN用户sslvpn，密码为123456，用户角色为network-operator，授权用户的SSL VPN策略组为pgroup。

[Device] local-user sslvpn class network

[Device-luser-network-sslvpn] password simple 123456

[Device-luser-network-sslvpn] service-type sslvpn

[Device-luser-network-sslvpn] authorization-attribute user-role network-operator

[Device-luser-network-sslvpn] authorization-attribute sslvpn-policy-group pgroup

[Device-luser-network-sslvpn] quit

4. 验证配置

# 在Device上查看SSL VPN网关状态，可见SSL VPN网关gw处于Up状态。

[Device] display sslvpn gateway

Gateway name: gw

  Operation state: Up

  IP: 1.1.1.2  Port: 2000

  SSL server policy configured: ssl

  SSL server policy in use: ssl

  Front VPN instance: Not configured

# 在Device上查看SSL VPN访问实例状态，可见SSL VPN访问实例ctx1和ctx2均处于Up状态。

[Device] display sslvpn context

Context name: ctx1

  Operation state: Up

  AAA domain: Not specified

  Certificate authentication: Disabled

  Password authentication：Enabled

  Authentication use: All

  Dynamic password: Disabled

  Code verification: Disabled

  Default policy group: pgroup

  Associated SSL VPN gateway: gw

    Domain name: domain1

  SSL client policy configured: ssl

  SSL client policy in use: ssl

  Maximum users allowed: 1048575

  VPN instance: VPN1

  Idle timeout: 30 min

Context name: ctx2

  Operation state: Up

  AAA domain: Not specified

  Certificate authentication: Disabled

  Password authentication：Enabled

  Authentication use: All

  Dynamic password: Disabled

  Code verification: Disabled

  Default policy group: pgroup

  Associated SSL VPN gateway: gw

    Domain name: domain2

  SSL client policy configured: ssl

  SSL client policy in use: ssl

  Maximum users allowed: 1048575

  VPN instance: VPN2

  Idle timeout: 30 min

# 用户在PC浏览器上输入https://1.1.1.2:2000/，进入Domain List页面。

图1-12 Domain List页面

# 用户选择domain1进入登录页面，输入用户sslvpn和密码123456，点击<登录>按钮，可以成功登录。

图1-13 登录页面

# 用户登录成功后，在Device上可以看到用户会话信息。

[Device] display sslvpn session context ctx1

SSL VPN context: ctx1

Users: 1

Username        Connections  Idle time   Created       User IP

sslvpn          6            0/00:12:05 0/00:04:14    40.1.1.1

# 网关首页的“书签”栏显示用户可以访问的远端web资源。

图1-14 网关首页

# 点击serverA，可以进入Web服务器Server A的HTTP网站首页面，且在浏览器的地址栏中显示如下格式的URL：https://1.1.1.2:2000/_proxy2/http/80/20.2.2.2/。

# 用户退出登录，重启浏览器，重新输入https://1.1.1.2:2000/，选择domain2进入登录页面，输入用户名sslvpn和密码123456，可以登录成功。

# 用户登录成功后，在Device上可以看到用户会话信息。

[Device] display sslvpn session context ctx2

SSL VPN context: ctx2

Users: 1

Username        Connections  Idle time   Created       User IP

sslvpn          6            0/00:02:05 0/00:01:11    40.1.1.1

# 网关首页的“书签”栏显示用户可以访问的远端web资源。

图1-15 网关首页

# 点击serverB，可以进入Web服务器Server B的HTTPS网站页面，且在浏览器的地址栏中显示如下格式的URL：https://1.1.1.2:2000/_proxy2/https/443/30.3.3.3/。