• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 是
  • 否
  • 全部
  • 是
  • 否
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索
问

F1000-ak

2021-11-04提问
  • 0关注
  • 1收藏，1126浏览
打工皇帝
打工皇帝 三段
粉丝：5人 关注：4人

问题描述：

F1000-AK系列的防火墙怎么配置ssl vpn？

组网及组网描述：

F1000-AK系列的防火墙怎么配置ssl vpn？

最佳答案

漓离原上谱
漓离原上谱 九段
粉丝：113人 关注：1人

配置需求及说明

1.1  适用的产品系列

本案例适用于软件平台为Comware V7系列防火墙：本案例适用于如F1000-AK180、F1000-AK170等F1000-AK系列的防火墙。

注：本案例是在F100-C-G2的version 7.1.064, Release 9333P35版本上进行配置和验证的。

1.2  配置需求及实现的效果

路由器设备作为出口设备，防火墙旁挂，外网PC通过inode软件拨SSLVPN，认证成功后可以访问内网的资源。

2 组网图


配置步骤

1 配置步骤

1.1  路由器配置

 设置路由器出0口地址222.1.1.100，配置nat outbound,以及针对内部的提供服务的端口号修改为14433，缺省端口为443，443端口和https端口冲突，然后配置nat server映射对应的端口

[H3C]interface GigabitEthernet0/0

[H3C-GigabitEthernet0/0]ip address 222.1.1.100 255.255.255.0

[H3C-GigabitEthernet0/0] nat outbound

[H3C-GigabitEthernet0/0] nat server protocol tcp global 222.1.1.100 14443 inside 192.168.40.2 14443

设置路由器内网接口地址为192.168.30.2

[H3C]interface GigabitEthernet0/1

[H3C-GigabitEthernet0/1] ip address 192.168.30.2 255.255.255.0

[H3C-GigabitEthernet0/1]

路由器设置针对内网的网段路由：

[H3C] ip route-static 0.0.0.0 0 222.1.1.200

[H3C] ip route-static 192.168.0.0 16 192.168.30.1

 

1.2  配置交换机和防火墙以及路由器互联

#配置策略路由保证内网的数据可以上送到防火墙设备

[H3C]acl ad 3000

[H3C-acl-ipv4-adv-3000] rule 10 permit ip source 192.168.20.0 0.0.0.255 destination 10.10.10.0 0.0.0.255

 [H3C-acl-ipv4-adv-3000]quit

[H3C]policy-based-route aaa permit node 10

[H3C-pbr-aaa-10] if-match acl 3000

[H3C-pbr-aaa-10] apply next-hop 192.168.40.2

[H3C-pbr-aaa-10]quit

#配置对应的ip地址和调用策略路由

[H3C]interface Vlan-interface2

[H3C-Vlan-interface2] ip address 192.168.20.1 255.255.255.0

[H3C-Vlan-interface2] ip policy-based-route aaa

[H3C-Vlan-interface2]quit

[H3C]interface Vlan-interface3

[H3C-Vlan-interface3] ip address 192.168.30.1 255.255.255.0

[H3C-Vlan-interface3]quit

[H3C]interface Vlan-interface4

[H3C-Vlan-interface4] ip address 192.168.40.1 255.255.255.0

[H3C-Vlan-interface4]quit

#配置相应的路由

 [H3C] ip route-static 0.0.0.0 0 192.168.30.2

1.3  配置防火墙静态路由

#配置相应的路由

 [H3C] ip route-static 0.0.0.0 0 192.168.40.1

1.4  配置SSL VPN网关

#SSLVPN网关IP地址填写防火墙1口地址192.168.40.2，端口号修改为14433，缺省端口为443，443端口和https端口冲突，然后使能网关配置。

<H3C>sys

[H3C]sslvpn gateway SSLVPNGW

[H3C-sslvpn-gateway-SSLVPNGW]ip address 192.168。40.2 port 14433

[H3C-sslvpn-gateway-SSLVPNGW]service enable

[H3C-sslvpn-gateway-SSLVPNGW]quit

#创建SSL VPN AC接口1,配置接口IP为10.10.10.1/24

[H3C]interface SSLVPN-AC 1

[H3C-SSLVPN-AC1]ip address 10.10.10.1 255.255.255.0

 [H3C-SSLVPN-AC1]quit

 #创建地址池名称为“SSLPOOL1”，指定IP地址范围为10.10.10.2——10.10.10.254

[H3C]sslvpn ip address-pool SSLPOOL 10.10.10.2 10.10.10.254

 #创建ACL 3999，允许SSL VPN用户访问的内网资源192.168.10.0/24网段

[H3C]acl advanced 3999

[H3C-acl-ipv4-adv-3999]rule permit ip destination 192.168.20.0 0.0.0.255

[H3C-acl-ipv4-adv-3999]quit

1.5  防火墙配置SSL VPN实例

# 配置SSL VPN访问实例“SSLVPNSL”引用SSL VPN网关“SSLVPNGW”

 [H3C] sslvpn context SSLVPN

 [H3C-sslvpn-context-SSLVPN]gateway SSLVPNGW

#引用SSL VPN接口1

 [H3C-sslvpn-context-SSLVPN] ip-tunnel interface SSLVPN-AC1

#引用SSL VPN地址池，掩码和dns

 [H3C-sslvpn-context-SSLVPN]ip-tunnel address-pool SSLPOOL mask 255.255.255.0

 [H3C-sslvpn-context-SSLVPN]ip-tunnel dns-server primary 114.114.114.114

#创建路由列表“NEIWANG”，添加路由表项192.168.20.0/24

 [H3C-sslvpn-context-SSLVPN] ip-route-list NEIWANG

 [H3C-sslvpn-context-SSLVPN-route-list-NEIWANG] include 192.168.20.0 255.255.255.0

# 创建SSL VPN策略组“SSLVPNZIYUAN”，引用路由列表“NEIWANG”，配置ACL限制，只有通过ACL检查的报文才可以访问IP资源

[H3C-sslvpn-context-SSLVPN] policy-group SSLVPNZIYUAN

[H3C-sslvpn-context-SSLVPN-policy-group-SSLVPNZIYUAN]filter ip-tunnel acl 3999

[H3C-sslvpn-context-SSLVPN-policy-group-SSLVPNZIYUAN]ip-tunnel access-route ip-route-list NEIWANG

1.6  新建SSL VPN拨号用户，关联SSL VPN策略组

#创建SSLVPN本地用户,配置用户名密码user1,服务类型sslvpn，引用之前创建的SSLVPN资源组1

[H3C]local-user user1 class network

[H3C-luser-network-user1]password simple user1

[H3C-luser-network-user1]service-type sslvpn

[H3C-luser-network-user1]authorization-attribute sslvpn-policy-group SSLVPNZIYUAN

[H3C-luser-network-user1]quit

 

 

1.7  将SSL VPN端口加入安全域，放通对应安全策略

 #新建安全域，名称为“SSLVPN”，将SSL VPN端口1加入到安全域“SSLVPN”

 [H3C]security-zone name SSLVPN

 [H3C-security-zone-SSLVPN]import interface SSLVPN-AC1

 [H3C-security-zone-SSLVPN]quit

 #创建服务对象组，组名称为14433，匹配SSLVPN端

 [H3C]object-group service 14433

 [H3C-obj-grp-service-14433]service tcp destination eq 14433

 [H3C-obj-grp-service-14433]quit

#配置配置安全策略将Untrust到Local域目的端口为TCP14433端口放通

[H3C]security-policy ip

[H3C-security-policy-ip]rule 5 name Untrst-Local

[H3C-security-policy-ip-5-Untrst-Local]action pass

[H3C-security-policy-ip-5-Untrst-Local]source-zone Untrust

[H3C-security-policy-ip-5-Untrst-Local]destinat1ion-zone Local

[H3C-security-policy-ip-5-Untrst-Local]service 14433

[H3C-security-policy-ip-5-Untrst-Local]quit

#配置配置安全策略,放通源安全域为SSLVPN，目前安全域为“Trust”的数据流量

[H3C-security-policy-ip]rule 10 name SSLVPN-Trust

[H3C-security-policy-ip-10-SSLVPN-Trust] action pass

[H3C-security-policy-ip-10-SSLVPN-Trust] source-zone SSLVPN

[H3C-security-policy-ip-10-SSLVPN-Trust] destination-zone Trust

[H3C-security-policy-ip-10-SSLVPN-Trust]quit

 

 

1.8  配置验证，查看拨号成功的用户

#输入SSLVPN网关地址加端口，输入用户名密码点击连接


拨号成功后获取到SSLVPN地址池中IP地址




 

#此时这个终端可以访问内网192.168.20.0段的资源。


1.9  保存配置

save force


配置关键点

1 注意事项

1、本案例适应的是默认证书，不需要手工导入CA证书和本地正常

2、不需要配置SSL服务器端策略，SSLVPN网关不需要引用SSL服务器端策略

3、交换机上需要将对应的流量通过策略路由形式引到防火墙进行处理，以免数据来回路径不一致.


暂无评论

3 个回答
按时间 按赞数
无名之辈
无名之辈 九段
粉丝：336人 关注：0人

暂无评论

红烧牛肉面
红烧牛肉面 八段
粉丝：11人 关注：0人

参考这个

https://www.h3c.com/cn/d_202108/1449864_30005_0.htm

暂无评论

得闲饮汤127
得闲饮汤127 九段
粉丝：40人 关注：7人

以下是SSL VPN IP接入的配置案例，请参考：


组网说明：

本案例采用H3C HCL模拟器来模拟SSL VPN IP接入（缺省证书）双臂（旁路）典型组网。内网和外网均在网络拓扑图中有了明确的标识。R1和R2分别作为内网1和内网2的出口设备。本案例的SSL VPN网关使用F1060模拟器来实现，SSL VPN网关处在内网2内部的旁路，需要通过R2的NAT server映射发布到外网，内网1的终端通过inode客户端连接到SSL VPN映射出来的网关后，通过SSL VPN的IP分配，来访问内网2的WEB服务器。


特别说明：

1、由于模拟器的局限性，因此使用S5820交换机开启WEB功能模拟成为WEB服务器

2、需要自行在官网下载inode管理中心安装，并定制后生成inode客户端后再安装客户端

配置步骤

配置思路：

1、按照网络拓扑图正确配置IP地址

2、R1配置NAT，并配置默认路由指向ISP

3、SW1开启WEB功能，并创建账户及赋予权限，配置默认路由指向R2

4、SSL_VPN配置默认路由指向R2

5、R2配置NAT，并将SSL_VPN发布到外网，配置默认路由指向ISP

6、SSL_VPN开启SSL VPN功能

配置关键点

1、第一阶段调试（基础网络配置）：

 

R1：

<H3C>sys

System View: return to User View with Ctrl+Z.

[H3C]sysname R1

[R1]int gi 0/0

[R1-GigabitEthernet0/0]ip address 192.168.200.254 24

[R1-GigabitEthernet0/0]quit

[R1]acl basic 2000

[R1-acl-ipv4-basic-2000]rule 0 permit source any

[R1-acl-ipv4-basic-2000]quit

[R1]int gi 0/1

[R1-GigabitEthernet0/1]des <connect to ISP>

[R1-GigabitEthernet0/1]ip address 202.1.100.2 30

[R1-GigabitEthernet0/1]nat outbound 2000

[R1-GigabitEthernet0/1]quit

[R1]ip route-static 0.0.0.0 0.0.0.0 202.1.100.1

 

ISP：

<H3C>sys

System View: return to User View with Ctrl+Z.

[H3C]sysname ISP

[ISP]int gi 0/1

[ISP-GigabitEthernet0/1]des <connect to R1>

[ISP-GigabitEthernet0/1]ip address 202.1.100.1 30

[ISP-GigabitEthernet0/1]quit

[ISP]int gi 0/0

[ISP-GigabitEthernet0/0]des <connect to R2>

[ISP-GigabitEthernet0/0]ip address 202.2.100.1 30

[ISP-GigabitEthernet0/0]quit

[ISP]

 

SW1：

<H3C>sys

System View: return to User View with Ctrl+Z.

[H3C]sysname SW1

[SW1]int gi 1/0/1

[SW1-GigabitEthernet1/0/1]port link-mode route

[SW1-GigabitEthernet1/0/1]des <connect to R2>

[SW1-GigabitEthernet1/0/1]ip address 10.0.0.1 24

[SW1-GigabitEthernet1/0/1]quit

[SW1]ip route-static 0.0.0.0 0.0.0.0 10.0.0.2

[SW1]ip http enable

[SW1]ip https enable

[SW1]local-user admin

New local user added.

[SW1-luser-manage-admin]password simple admin

[SW1-luser-manage-admin]service-type http https

[SW1-luser-manage-admin]authorization-attribute user-role network-admin

[SW1-luser-manage-admin]quit

 

SSL_VPN：

<H3C>sys

System View: return to User View with Ctrl+Z.

[H3C]sysname SSL_VPN

[SSL_VPN]int gi 1/0/2

[SSL_VPN-GigabitEthernet1/0/2]des <connect to R2>

[SSL_VPN-GigabitEthernet1/0/2]ip address 10.1.1.1 24

[SSL_VPN-GigabitEthernet1/0/2]quit

[SSL_VPN]ip route-static 0.0.0.0 0.0.0.0 10.1.1.2

 

[SSL_VPN]security-zone name Trust

[SSL_VPN-security-zone-Trust]import interface GigabitEthernet 1/0/2

[SSL_VPN-security-zone-Trust]quit

 

[SSL_VPN]acl basic 2001

[SSL_VPN-acl-ipv4-basic-2001]rule 0 permit source any

[SSL_VPN-acl-ipv4-basic-2001]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source trust destination untrust

[SSL_VPN-zone-pair-security-Trust-Untrust]packet-filter 2001

[SSL_VPN-zone-pair-security-Trust-Untrust]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source untrust destination trust

[SSL_VPN-zone-pair-security-Untrust-Trust]packet-filter 2001

[SSL_VPN-zone-pair-security-Untrust-Trust]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source trust destination local

[SSL_VPN-zone-pair-security-Trust-Local]packet-filter 2001

[SSL_VPN-zone-pair-security-Trust-Local]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source local destination trust

[SSL_VPN-zone-pair-security-Local-Trust]packet-filter 2001

[SSL_VPN-zone-pair-security-Local-Trust]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source untrust destination local

[SSL_VPN-zone-pair-security-Untrust-Local]packet-filter 2001

[SSL_VPN-zone-pair-security-Untrust-Local]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source local destination untrust

[SSL_VPN-zone-pair-security-Local-Untrust]packet-filter 2001

[SSL_VPN-zone-pair-security-Local-Untrust]quit

 

R2：

<H3C>sys

System View: return to User View with Ctrl+Z.

[H3C]sysname R2

[R2]int gi 0/0

[R2-GigabitEthernet0/0]des <connect to SW1>

[R2-GigabitEthernet0/0]ip address 10.0.0.2 24

[R2-GigabitEthernet0/0]quit

[R2]int gi 0/1

[R2-GigabitEthernet0/1]des <connect to SSL_VPN>

[R2-GigabitEthernet0/1]ip address 10.1.1.2 24

[R2-GigabitEthernet0/1]quit

[R2]acl basic 2000

[R2-acl-ipv4-basic-2000]rule 0 permit source any

[R2-acl-ipv4-basic-2000]quit

[R2]int gi 0/2

[R2-GigabitEthernet0/2]des <connect to ISP>

[R2-GigabitEthernet0/2]ip address 202.2.100.2 28

[R2-GigabitEthernet0/2]nat outbound 2000

[R2-GigabitEthernet0/2]nat server global current-interface inside 10.1.1.1

[R2-GigabitEthernet0/2]quit

[R2]ip route-static 0.0.0.0 0.0.0.0 202.2.100.1

[R2]ip route-static 172.16.1.0 255.255.255.0 10.1.1.1

 

第一阶段测试：

内网1终端填写IP地址：



内网1终端能PING通内网2的外网地址，PING不通内网2的私网地址：



2、第二阶段调试（SSL VPN配置）：

 

SSL_VPN：

 

[SSL_VPN]acl advanced 3000

[SSL_VPN-acl-ipv4-adv-3000]rule 0 permit ip source any

[SSL_VPN-acl-ipv4-adv-3000]quit

 

[SSL_VPN]sslvpn ip address-pool weijianing 172.16.1.2 172.16.1.254

[SSL_VPN]int SSLVPN-AC 1

[SSL_VPN-SSLVPN-AC1]ip address 172.16.1.1 24

[SSL_VPN-SSLVPN-AC1]quit

 

[SSL_VPN]security-zone name Untrust

[SSL_VPN-security-zone-Untrust]import interface SSLVPN-AC 1

[SSL_VPN-security-zone-Untrust]quit

 

[SSL_VPN]sslvpn gateway james

[SSL_VPN-sslvpn-gateway-james]ip address 10.1.1.1

[SSL_VPN-sslvpn-gateway-james]service enable

[SSL_VPN-sslvpn-gateway-james]quit

 

[SSL_VPN]sslvpn context james

[SSL_VPN-sslvpn-context-james]gateway james

[SSL_VPN-sslvpn-context-james]ip-tunnel address-pool weijianing mask 24

[SSL_VPN-sslvpn-context-james]ip-tunnel interface SSLVPN-AC 1

[SSL_VPN-sslvpn-context-james]ip-route-list james

[SSL_VPN-sslvpn-context-james-route-list-james]include 10.0.0.0 24

[SSL_VPN-sslvpn-context-james-route-list-james]quit

[SSL_VPN-sslvpn-context-james-policy-group-ip]ip

[SSL_VPN-sslvpn-context-james-policy-group-ip]ip-tunnel access-route ip-route-list james

[SSL_VPN-sslvpn-context-james-policy-group-ip]filter ip-tunnel acl 3000

[SSL_VPN-sslvpn-context-james-policy-group-ip]quit

[SSL_VPN-sslvpn-context-james]service enable

[SSL_VPN-sslvpn-context-james]quit

 

[SSL_VPN]local-user weijianing class network

New local user added.

[SSL_VPN-luser-network-weijianing]password simple weijianing

[SSL_VPN-luser-network-weijianing]service-type sslvpn

[SSL_VPN-luser-network-weijianing]authorization-attribute sslvpn-policy-group ip

[SSL_VPN-luser-network-weijianing]quit

 

第二阶段测试：

打开浏览器，输入网址：https://202.2.100.2



输入用户名、密码，点击登录：



打开inode智能客户端：



输入网关、用户名、密码，点击“链接”：



隧道建立成功：





此时内网1的终端可以PING通内网2的WEB服务器：



同时也可以打开WEB服务器的网页：



查看SSL VPN的显示信息：







暂无评论

编辑答案

你正在编辑答案

如果你要对问题或其他回答进行点评或询问，请使用评论功能。

✖

分享扩散:

➤

提出建议

✖

    +
网站相关
关于我们
服务条款
帮助中心
经验与权限
积分规则
联系我们
联系我们
建议反馈
常用链接
标杆的神器下载
关注我们
H3C官网
新华三服务公众号
安仔远程运维服务
新华三商城
内容许可
除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

Copyright©2024新华三集团保留一切权利 当前呈现版本 NO.1

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1   浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定
✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub
✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

举报

×

侵犯我的权益 >
对根叔社区有害的内容 >
辱骂、歧视、挑衅等（不友善）

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等（不友善）
骚扰我

泄露了我的隐私

×

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
  • 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

×

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
  • 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
  • 3. 是哪家企业？（营业执照，单位登记证明等证件）
  • 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
  • 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票

不规范转载

×

举报说明