问

sslvpn问题

SSL VPN

2021-07-27提问

0关注
1收藏，1856浏览

zhiliao_OL0E4v

zhiliao_OL0E4v 零段

粉丝：0人关注：0人

问题描述：

两台H3C SecPath F100-C-A3（Version 7.1.064, Release 9524P39）防火墙，A防火墙有公网地址，B防火墙为dhcp分配的小区接入网。用户想在两台防火墙上配置sslvpn，实现B小区用户接在B防火墙上直接访问A防火墙后的资源。请问如何在两台防火墙之间配置ssl，有案例么。

组网及组网描述：

最佳答案

无名之辈

无名之辈九段

粉丝：336人关注：0人

您好，参考

Comware V7防火墙设备作为SSL VPN总部，客户PC通过iNode拨入，采用IP资源方式访问内网，采用本地认证方式认证。

1.F1020上SSL VPN相关配置

# 配置PKI域sslvpn

[F1020] pki domain sslvpn

[F1020-pki-domain-sslvpn] public-key rsa general name sslvpn

[F1020-pki-domain-sslvpn] undo crl check enable

[F1020-pki-domain-sslvpn] quit

# 导入CA证书ca.cer和服务器证书server.pfx

[F1020] pki import domain sslvpn der ca filename ca.cer

[F1020] pki import domain sslvpn p12 local filename server.pfx

# 配置SSL服务器端策略ssl

[F1020] ssl server-policy ssl

[F1020-ssl-server-policy-ssl] pki-domain sslvpn

[F1020-ssl-server-policy-ssl] ciphersuite rsa_aes_128_cbc_sha

[F1020-ssl-server-policy-ssl] quit

# 配置SSL VPN网关gw的IP地址为10.10.254.6，端口号为443，并引用SSL服务器端策略ssl

[F1020] sslvpn gateway gw //默认情况下端口号即为443

[F1020-sslvpn-gateway-gw] ip address 10.10.254.6

[F1020-sslvpn-gateway-gw] ssl server-policy ssl

# 开启SSL VPN网关gw

[F1020-sslvpn-gateway-gw] service enable

[F1020-sslvpn-gateway-gw] quit

# 创建地址池ippool，指定IP地址范围为2.2.2.2～2.2.5.254

[F1020] sslvpn ip address-pool ippool 2.2.2.2 2.2.5.254

# 创建SSL VPN AC接口1，配置接口的IP地址为2.2.2.1/22

[F1020] interface sslvpn-ac 1

[F1020-SSLVPN-AC1] ip address 2.2.2.1 22

[F1020-SSLVPN-AC1] quit

# 配置SSL VPN访问实例ctx引用SSL VPN网关gw

[F1020] sslvpn context ctx

[F1020-sslvpn-context-ctx] gateway gw

#创建路由列表rtlist，并添加路由表项192.168.5.0/24

[F1020-sslvpn-context-ctx] ip-route-list rtlist

[F1020-sslvpn-context-ctx-route-list-rtlist] include 192.168.5.0 255.255.255.0

[F1020-sslvpn-context-ctx-route-list-rtlist] quit

# 配置SSL VPN访问实例ctx引用SSL VPN AC接口1

[F1020-sslvpn-context-ctx] ip-tunnel interface sslvpn-ac 1

# 创建SSL VPN策略组pgroup，引用路由列表rtlist和地址池ippool，并且通过acl限制，保证只有通过ACL检查的报文才可以访问IP资源

[F1020-sslvpn-context-ctx] policy-group pgroup

[F1020-sslvpn-context-ctx-policy-group-pgroup] ip-tunnel address-pool ippool mask 255.255.252.0

[F1020-sslvpn-context-ctx-policy-group-pgroup] ip-tunnel access-route ip-route-list rtlist

[F1020-sslvpn-context-ctx-policy-group-pgroup] filter ip-tunnel acl 3000 //必配

[F1020-sslvpn-context-ctx-policy-group-pgroup] quit

# 开启SSL VPN访问实例ctx。

[F1020-sslvpn-context-ctx] service enable

[F1020-sslvpn-context-ctx] quit

#创建SSLVPN本地用户

local-user h3c class network

password cipher $c$3$UxwgdMpL62TJ3k1ftN3CAHz/CK73/uxD0A==

service-type sslvpn

authorization-attribute user-role network-operator

authorization-attribute sslvpn-policy-group pgroup

2.F1020上安全策略相关配置

# GigabitEthernet1/0/0、GigabitEthernet1/0/1加入Trust区域，SSLVPN-AC1加入SSLVPN区域，并放通策略。

security-zone name Trust

import interface GigabitEthernet1/0/0

import interface GigabitEthernet1/0/1

security-zone name SSLVPN

import interface SSLVPN-AC1

acl number 3000

rule 0 permit ip

acl number 3010

rule 0 permit ip source 2.2.2.2 0.0.3.255 destination 192.168.5.0 0.0.0.255

rule 5 permit ip source 192.168.5.0 0.0.0.255 destination 2.2.2.2 0.0.3.255

zone-pair security source SSLVPN destination Trust

packet-filter 3010

zone-pair security source Trust destination SSLVPN

packet-filter 3010

zone-pair security source Trust destination Local

packet-filter 3000

zone-pair security source Local destination Trust

packet-filter 3000

3.关键路由配置

F1020上配置到内网资源192.168.5.0/24的路由，下一跳为10.10.254.10

Switch上配置回程路由：

ip route-static 2.2.2.2 255.255.252.0 10.10.254.9

4.NAT-1设备上映射SSLVPN对外的地址及端口，此文档中映射10.10.254.6+TCP 443

5.验证

1.内网配置回程路由

2.SSLVPN-AC需加入安全区域并放通策略

3.policy-group视图下针对不同的接入资源配置acl：

filter ip-tunnel acl xx

filter web-access acl xx

filter tcp-access acl xx

请问防火墙可以当终端使用直接接入ssl么。要求用户不用客户端及账号登陆，直接连到防火墙B上访问A防火墙的资源。现在不清楚接用户的防火墙B该怎样配置。

zhiliao_OL0E4v 发表时间：2021-07-27 更多>>

zhiliao_OL0E4v 发表时间：2021-07-27

2 个回答

按时间按赞数

李云龙的意大利炮

李云龙的意大利炮九段

粉丝：96人关注：1人

你这个应该是配置ipsec 而不是sslvpn

组网及说明

1 配置需求及说明

1.1 适用的产品系列

本案例适用于如F1080、F1070、F5040、F5020等F10X0、F50X0系列的防火墙。

注：本案例分支是F100-C-G2的Version 7.1.064, Release 9510P08版本，总部是F1000-C-G2的Version 7.1.064, Release 9323P1801上进行配置和验证的。

1.2 配置需求及实现的效果

总部和分部各有一台防火墙部署在互联网出口，因业务需要两端内网需要通过VPN相互访问。IP地址及接口规划如下表所示：

公司名称	外网接口	公网地址/掩码	公网网关	内网接口	内网地址/掩码
总部	1/0/3	101.88.26.34/30	101.88.26.33	1/0/4	192.168.10.0/24
分部	1/0/3	PPPOE拨号	自动获取网关	1/0/4	192.168.20.0/24

2 组网图

配置步骤

3 配置步骤

3.1 两端防火墙上网配置

防火墙上网配置请参考“2.3.2 防火墙外网使用固定IP地址上网配置方法”及“2.3.1 防火墙外网使用拨号上网配置方法”进行配置，本文只针对IPSEC VPN配置进行介绍。

3.2 总部侧排除IPSEC兴趣流不做NAT

#创建acl 3888调用在外网接口用于排除IPSEC兴趣流不做NAT。

[H3C]acl advanced 3888

[H3C-acl-ipv4-adv-3888]rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255

[H3C-acl-ipv4-adv-3888]rule permit ip source any

[H3C-acl-ipv4-adv-3888]quit

3.3 总部侧创建IPSEC安全提议

#加密类型设置为aes-cbc-128，认证类型设置为sha1。

[H3C]ipsec transform-set GE1/0/3_IPv4_1

[H3C-ipsec-transform-set-1] esp encryption-algorithm aes-cbc-128

[H3C-ipsec-transform-set-1] esp authentication-algorithm sha1

[H3C-ipsec-transform-set-1]quit

3.4 总部侧创建IKE安全提议

#IKE安全提议默认的认证类型为sha1，加密类型为DES-CBC，DH组为DH1，所以不需要配置也存在这些参数。

[H3C]ike proposal 1

[H3C-ike-proposal-1]quit

3.5 总部侧创建IKE安全密钥

#创建IKE密钥，地址填写0.0.0.0/0，密码设置为123456。

[H3C]ike keychain 1

[H3C-ike-keychain-1]pre-shared-key address 0.0.0.0 0.0.0.0 key simple 123456

[H3C-ike-keychain-1]quit

3.6 总部侧创建IKE安全框架

#创建IKE安全框架，协商模式调整为野蛮模式。本端身份识别为center，分部身份识别为branch。

[H3C]ike profile 1

[H3C-ike-profile-1]keychain 1

[H3C-ike-profile-1] exchange-mode aggressive

[H3C-ike-profile-1] local-identity fqdn center

[H3C-ike-profile-1]match remote identity address 0.0.0.0 0.0.0.0

[H3C-ike-profile-1]match remote identity fqdn branch

[H3C-ike-profile-1]proposal 1

[H3C-ike-profile-1]quit

3.7 总部侧创建IPSEC安全策略模板

[H3C]ipsec policy-template GE1/0/3 1

[H3C-ipsec-policy- template-GE1/0/3-1]transform-set GE1/0/3_IPv4_1

[H3C-ipsec-policy- template-GE1/0/3-1]local-address 101.88.26.34

[H3C-ipsec-policy- template-GE1/0/3-1]ike-profile 1

[H3C-ipsec-policy- template-GE1/0/3-1]quit

3.8 总部侧创建IPSEC安全策略

#创建IKE安全策略GE1/0/3将安全策略模板和安全策略绑定。

[H3C]ipsec policy GE1/0/3 1 isakmp template GE1/0/3

3.9 总部侧外网接口调用IPSEC策略和NAT动态转换策略

[H3C]interface GigabitEthernet 1/0/3

[H3C-GigabitEthernet1/0/3]ipsec apply policy GE1/0/3

[H3C-GigabitEthernet1/0/3]nat outbound 3888

[H3C-GigabitEthernet1/0/3]quit

3.10 保存配置

[H3C]save force

3.11 分部侧创建IPSEC兴趣流匹配到总部的数据

#创建IPSEC的感兴趣流，用于匹配IPSEC数据。

<H3C>system

[H3C]acl advanced 3999

[H3C-acl-ipv4-adv-3999]rule permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255

[H3C-acl-ipv4-adv-3999]quit

#创建acl 3888调用在外网接口用于排除IPSEC兴趣流不做NAT。

[H3C]acl advanced 3888

[H3C-acl-ipv4-adv-3888]rule deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255

[H3C-acl-ipv4-adv-3888]rule permit ip source any

[H3C-acl-ipv4-adv-3888]quit

3.12 分部侧创建IPSEC安全提议

#加密类型设置为aes-cbc-128，认证类型设置为sha1。

[H3C]ipsec transform-set GE1/0/3_IPv4_1

[H3C-ipsec-transform-set-1] esp encryption-algorithm aes-cbc-128

[H3C-ipsec-transform-set-1] esp authentication-algorithm sha1

[H3C-ipsec-transform-set-1]quit

3.13 分部侧创建IKE安全提议

#IKE安全提议默认的认证类型为sha1，加密类型为DES-CBC，DH组为DH1，所以不需要配置也存在这些参数。

[H3C]ike proposal 1

[H3C-ike-proposal-1]quit

3.14 分部侧创建IKE安全密钥

#创建IKE密钥，地址填写总部侧设备的公网IP，密码设置为123456。

[H3C]ike keychain 1

[H3C-ike-keychain-1] pre-shared-key address 101.88.26.34 255.255.255.255 key simple 123456

[H3C-ike-keychain-1]quit

3.15 分部侧创建IKE安全框架

#创建IKE安全框架，匹配keychain 1安全密匙，协商模式调整为野蛮模式。本端身份识别为branch，分部身份识别为center，并制定对端地址为总部侧公网地址。

[H3C]ike profile 1

[H3C-ike-profile-1]keychain 1

[H3C-ike-profile-1]exchange-mode aggressive

[H3C-ike-profile-1] local-identity fqdn branch

[H3C-ike-profile-1] match remote identity fqdn center

[H3C-ike-profile-1] match remote identity address 101.88.26.34 255.255.255.255

[H3C-ike-profile-1]proposal 1

[H3C-ike-profile-1]quit

3.16 分部侧创建IPSEC安全策略

#创建IKE安全策略GE1/0/3将transform-set、acl、ike-profile、本端地址、对端地址关联起来。

[H3C]ipsec policy GE1/0/3 1 isakmp

[H3C-ipsec-policy-isakmp-GE1/0/3-1] transform-set GE1/0/3_IPv4_1

[H3C-ipsec-policy-isakmp-GE1/0/3-1]security acl 3999

[H3C-ipsec-policy-isakmp-GE1/0/3-1] remote-address 101.88.26.34

[H3C-ipsec-policy-isakmp-GE1/0/3-1]ike-profile 1

[H3C-ipsec-policy-isakmp-GE1/0/3-1]quit

3.17 分部侧外网接口调用IPSEC策略和NAT动态转换策略

[H3C]interface GigabitEthernet 1/0/3

[H3C-GigabitEthernet1/0/3]ipsec apply policy GE1/0/3

[H3C-GigabitEthernet1/0/3]nat outbound 3888

[H3C-GigabitEthernet1/0/3]quit

3.18 保存配置

[H3C]save force

3.19 隧道验证

#分部通过命令行查看display ike sa可以看到隧道状态为RD状态表示ike建立完成。

分支通过display ipsec sa可以看到IPSEC SA基本状态。

#总部通过命令行查看display ike sa可以看到隧道状态为RD状态表示ike建立完成。

#分支通过display ipsec sa可以看到IPSEC SA基本状态。

得闲饮茶013

得闲饮茶013 九段

粉丝：138人关注：6人

您好，请知：

以下是SSL VPN IP接入的配置案例，请参考：

组网说明：

本案例采用H3C HCL模拟器来模拟SSL VPN IP接入（缺省证书）单臂（直连）的组网。内网和外网均已在网络拓扑图中有了明确的说明。本案例使用F1060防火墙作为SSL_VPN网关，用于提供SSL VPN IP的接入，另外也是内网的出口设备。

特别说明：

1、由于模拟器的局限性，因此使用S5820交换机开启WEB功能模拟成为WEB服务器

2、需要自行在官网下载inode管理中心安装，并定制后生成inode客户端后再安装客户端

配置步骤

1、按照网络拓扑图正确配置IP地址

2、SW1开启WEB功能，并创建账户赋予权限

3、SSL_VPN开启NAT地址转换功能，并配置默认路由指向外网

4、SSL_VPN配置SSL VPN功能

配置关键点

1、第一阶段调试（基础网络配置）

SW1：

<H3C>sys

System View: return to User View with Ctrl+Z.

[H3C]sysname SW1

[SW1]int gi 1/0/1

[SW1-GigabitEthernet1/0/1]port link-mode route

[SW1-GigabitEthernet1/0/1]des <connect to SSL_VPN>

[SW1-GigabitEthernet1/0/1]ip address 10.0.0.1 24

[SW1-GigabitEthernet1/0/1]quit

[SW1]ip route-static 0.0.0.0 0.0.0.0 10.0.0.2

[SW1]ip http enable

[SW1]ip https enable

[SW1]local-user admin

New local user added.

[SW1-luser-manage-admin]password simple admin

[SW1-luser-manage-admin]service-type http https

[SW1-luser-manage-admin]authorization-attribute user-role network-admin

[SW1-luser-manage-admin]quit

SSL_VPN：

<H3C>sys

System View: return to User View with Ctrl+Z.

[H3C]sysname SSL_VPN

[SSL_VPN]int gi 1/0/3

[SSL_VPN-GigabitEthernet1/0/3]des <connect to SW1>

[SSL_VPN-GigabitEthernet1/0/3]ip address 10.0.0.2 24

[SSL_VPN-GigabitEthernet1/0/3]quit

[SSL_VPN]acl basic 2000

[SSL_VPN-acl-ipv4-basic-2000]rule 0 permit source any

[SSL_VPN-acl-ipv4-basic-2000]quit

[SSL_VPN]int gi 1/0/2

[SSL_VPN-GigabitEthernet1/0/2]des <connect to WAN>

[SSL_VPN-GigabitEthernet1/0/2]ip address 192.168.200.200 24

[SSL_VPN-GigabitEthernet1/0/2]nat outbound 2000

[SSL_VPN-GigabitEthernet1/0/2]quit

[SSL_VPN]ip route-static 0.0.0.0 0.0.0.0 192.168.200.1

[SSL_VPN]security-zone name trust

[SSL_VPN-security-zone-Trust]import interface GigabitEthernet 1/0/3

[SSL_VPN-security-zone-Trust]quit

[SSL_VPN]security-zone name Untrust

[SSL_VPN-security-zone-Untrust]import interface GigabitEthernet 1/0/2

[SSL_VPN-security-zone-Untrust]quit

[SSL_VPN]acl basic 2001

[SSL_VPN-acl-ipv4-basic-2001]rule 0 permit source any

[SSL_VPN-acl-ipv4-basic-2001]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source trust destination untrust

[SSL_VPN-zone-pair-security-Trust-Untrust]packet-filter 2001

[SSL_VPN-zone-pair-security-Trust-Untrust]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source untrust destination trust

[SSL_VPN-zone-pair-security-Untrust-Trust]packet-filter 2001

[SSL_VPN-zone-pair-security-Untrust-Trust]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source trust destination local

[SSL_VPN-zone-pair-security-Trust-Local]packet-filter 2001

[SSL_VPN-zone-pair-security-Trust-Local]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source local destination trust

[SSL_VPN-zone-pair-security-Local-Trust]packet-filter 2001

[SSL_VPN-zone-pair-security-Local-Trust]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source untrust destination local

[SSL_VPN-zone-pair-security-Untrust-Local]packet-filter 2001

[SSL_VPN-zone-pair-security-Untrust-Local]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source local destination untrust

[SSL_VPN-zone-pair-security-Local-Untrust]packet-filter 2001

[SSL_VPN-zone-pair-security-Local-Untrust]quit

[SSL_VPN]

第一阶段测试：

外网终端填写IP地址

外网终端能PING通SSL_VPN的外网地址，PING不到私网地址

2、第二阶段调试（SSL VPN配置）：

SSL VPN IP接入配置关键点：

SSL_VPN：

[SSL_VPN]acl advanced 3000

[SSL_VPN-acl-ipv4-adv-3000]rule 0 permit ip source any

[SSL_VPN-acl-ipv4-adv-3000]quit

[SSL_VPN]sslvpn ip address-pool weijianing 172.16.1.2 172.16.1.254

[SSL_VPN]int SSLVPN-AC 1

[SSL_VPN-SSLVPN-AC1]ip address 172.16.1.1 24

[SSL_VPN-SSLVPN-AC1]quit

[SSL_VPN]sslvpn gateway james

[SSL_VPN-sslvpn-gateway-james]ip address 192.168.200.200

[SSL_VPN-sslvpn-gateway-james]service enable

[SSL_VPN-sslvpn-gateway-james]quit

[SSL_VPN]sslvpn context james

[SSL_VPN-sslvpn-context-james]gateway james

[SSL_VPN-sslvpn-context-james]ip-tunnel address-pool weijianing mask 24

[SSL_VPN-sslvpn-context-james]ip-tunnel interface SSLVPN-AC 1

[SSL_VPN-sslvpn-context-james]ip-route-list james

[SSL_VPN-sslvpn-context-james-route-list-james]include 10.0.0.0 24

[SSL_VPN-sslvpn-context-james-route-list-james]quit

[SSL_VPN-sslvpn-context-james]policy-group ip

[SSL_VPN-sslvpn-context-james-policy-group-ip]filter ip-tunnel acl 3000

[SSL_VPN-sslvpn-context-james-policy-group-ip]ip-tunnel access-route ip-route-list james

[SSL_VPN-sslvpn-context-james-policy-group-ip]quit

[SSL_VPN-sslvpn-context-james]service enable

[SSL_VPN-sslvpn-context-james]quit

[SSL_VPN]local-user weijianing class network

New local user added.

[SSL_VPN-luser-network-weijianing]password simple weijianing

[SSL_VPN-luser-network-weijianing]service-type sslvpn

[SSL_VPN-luser-network-weijianing]authorization-attribute sslvpn-policy-group ip

[SSL_VPN-luser-network-weijianing]quit

[SSL_VPN]security-zone name Untrust

[SSL_VPN-security-zone-Untrust]import interface SSLVPN-AC 1

[SSL_VPN-security-zone-Untrust]quit

第二阶段测试：

外网终端打开浏览器，输入网址：https://192.168.200.200

输入用户名、密码，点击“登陆”：

打开inode客户端：

输入网关、用户名、密码，点击“连接”：

SSL VPN建立连接成功

此时外网终端可以PING通内网WEB服务器

同时也可以打开WEB服务器网页：

SSL VPN信息显示：

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

sslvpn问题

问题描述：

组网及组网描述：

组网及说明

1.2 配置需求及实现的效果

配置步骤

3.2 总部侧排除IPSEC兴趣流不做NAT

3.3 总部侧创建IPSEC安全提议

3.4 总部侧创建IKE安全提议

3.5 总部侧创建IKE安全密钥

3.6 总部侧创建IKE安全框架

3.7 总部侧创建IPSEC安全策略模板

3.8 总部侧创建IPSEC安全策略

3.9 总部侧外网接口调用IPSEC策略和NAT动态转换策略

3.11 分部侧创建IPSEC兴趣流匹配到总部的数据

3.12 分部侧创建IPSEC安全提议

3.13 分部侧创建IKE安全提议

3.14 分部侧创建IKE安全密钥

3.15 分部侧创建IKE安全框架

3.16 分部侧创建IPSEC安全策略

3.17 分部侧外网接口调用IPSEC策略和NAT动态转换策略

配置步骤

配置关键点

编辑答案

提出建议