防火墙F100-E-G3防火墙sslvpn集成AD域用户认证怎么配置？

5.3.1  配置SSL VPN网关

#SSLVPN网关IP地址填写防火墙1口地址222.1.1.1.00，端口号修改为4433，缺省端口为443，443端口和https端口冲突，然后使能网关配置。

<H3C>sys   //进入系统视图

[H3C]sslvpn gateway SSLVPNGW   //创建sslvpn网关 名称SSLVPNGW   

[H3C-sslvpn-gateway-SSLVPNGW]ip address 222.1.1.100 port 4433   // SLVPN网关IP地址填写防火墙1口地址222.1.1.1.00，端口号修改为4433(默认443和网关冲突)

[H3C-sslvpn-gateway-SSLVPNGW]service enable   //使能sslvpn

[H3C-sslvpn-gateway-SSLVPNGW]quit   //退出

#创建SSL VPN AC接口1,配置接口IP为10.10.10.1/24

[H3C]interface SSLVPN-AC 1   //创建SSL VPN AC接口1

[H3C-SSLVPN-AC1] ip address 10.10.10.1 255.255.255.0   //配置接口IP为10.10.10.1 掩码255.255.255.0

[H3C-SSLVPN-AC1]quit  //退出当前视图

 #创建地址池名称为“SSLPOOL”，指定IP地址范围为10.10.10.2——10.10.10.254

[H3C]sslvpn ip address-pool SSLPOOL 10.10.10.2 10.10.10.254

 #创建ACL 3999，允许SSL VPN用户访问的内网资源192.168.10.0/24网段

[H3C]acl advanced 3999   //创建ACL 3999

[H3C-acl-ipv4-adv-3999]rule permit ip destination 192.168.10.0 0.0.0.255   //创建规则,允许SSL VPN用户访问的内网资源192.168.10.0/24网段

[H3C-acl-ipv4-adv-3999]quit  //退出当前视图

5.3.2  配置SSL VPN实例

# 配置SSL VPN访问实例“SSLVPNSL”引用SSL VPN网关“SSLVPNGW”

[H3C] sslvpn context SSLVPN   //创建SSL VPN访问实例“SSLVPNSL”

 [H3C-sslvpn-context-SSLVPN]gateway SSLVPNGW   //引用SSL VPN网关“SSLVPNGW”

#引用SSL VPN接口1

 [H3C-sslvpn-context-SSLVPN] ip-tunnel interface SSLVPN-AC1   //引用SSL VPN接口1

#引用SSL VPN地址池，掩码和dns

 [H3C-sslvpn-context-SSLVPN]ip-tunnel address-pool SSLPOOL mask 255.255.255.0   //引用SSL VPN地址池，掩码

 [H3C-sslvpn-context-SSLVPN]ip-tunnel dns-server primary 114.114.114.114   //设置客户端dns服务器

#创建路由列表“NEIWANG”，添加路由表项192.168.10.0/24

 [H3C-sslvpn-context-SSLVPN] ip-route-list NEIWANG   //创建路由列表“NEIWANG”

 [H3C-sslvpn-context-SSLVPN-route-list-NEIWANG] include 192.168.10.0 255.255.255.0   //添加路由表项192.168.10.0/24

# 创建SSL VPN策略组“SSLVPNZIYUAN”，引用路由列表“NEIWANG”，配置ACL限制，只有通过ACL检查的报文才可以访问IP资源、配置SSL用户认证域为svpn域。

[H3C-sslvpn-context-SSLVPN]policy-group SSLVPNZIYUAN   //创建SSL VPN策略组“SSLVPNZIYUAN”

[H3C-sslvpn-context-SSLVPN-policy-group-SSLVPNZIYUAN]filter ip-tunnel acl 3999   //配置ACL限制，只有通过ACL检查的报文才可以访问IP资源

[H3C-sslvpn-context-SSLVPN-policy-group-SSLVPNZIYUAN]ip-tunnel access-route ip-route-list NEIWANG   //引用路由列表“NEIWANG”

[H3C-sslvpn-context-SSLVPN-policy-group-SSLVPNZIYUAN]quit   //退出

[H3C-sslvpn-context-SSLVPN]aaa domain svpn   //设置aaa认证的域为svpn

[H3C-sslvpn-context-SSLVPN]service enable   //使能sslvpn策略组

[H3C-sslvpn-context-SSLVPN]quit    //退出

5.3.3  创建SSL VPN用户组

创建SSL VPN用户组名称为svpn并与SSL VPN资源“SSLVPNZIYUAN”绑定。

[H3C] user-group svpn   //创建SSL VPN用户组名称为svpn

[H3C-ugroup-svpn]authorization-attribute sslvpn-policy-group SSLVPNZIYUAN   //SSL VPN用户组与SSL VPN资源“SSLVPNZIYUAN”绑定

[H3C-ugroup-svpn]quit  //退出当前视图

5.3.4  创建LDAP服务器

login-dn是LDAP管理账号的路径（要求此管理账号有读权限或者管理员权限）、login-password对应管理员账号的密码、ip对应LDAP服务器的IP地址、search-base-dn表示要查找的用户所在的目录、user-parameters samaccountname参数表示查找用户属性samaccountname值，设备默认查询用户属性查询CN值。

[H3C]ldap server svpn   //创建ldpn服务器svpn

[H3C-ldap-server-svpn]login-dn cn=administrator,cn=users,dc=test,dc=com   //配置具有管理员权限的用户DN, LDAP管理账号的路径

[H3C-ldap-server-svpn]search-base-dn ou=svpn,dc=test,dc=com   //要查找的用户所在的目录

[H3C-ldap-server-svpn]ip 10.88.142.171   //LDAP服务器的IP地址

[H3C-ldap-server-svpn]login-password simple xxxxxxx   //对应管理员账号的密码

[H3C-ldap-server-svpn]user-parameters user-name-attribute samaccountname   //查找用户属性samaccountname值，设备默认查询用户属性查询CN值

[H3C-ldap-server-svpn]quit  //退出当前视图

5.3.5  创建LDAP方案

创建LDAP方案将LDAP认证和授权全部指向LDAP服务器。

[H3C]ldap scheme svpn   //创建LDAP方案svpn

[H3C-ldap-svpn]authentication-server svpn   //认证服务器svpn   

[H3C-ldap-svpn]authorization-server svpn   //授权服务器svpn

5.3.6  创建SSL VPN认证域

创建SSL VPN认证域，将认证授权全部改向svpn方案，并且指定认证用户组为svpn组。

[H3C]domain svpn   //创建SSL VPN认证域svpn

[H3C-isp-svpn]authorization-attribute user-group svpn   //配置授权用户组

[H3C-isp-svpn]authentication sslvpn ldap-scheme svpn   //为SSL VPN用户配置认证方法为ldap-scheme

[H3C-isp-svpn]authorization sslvpn ldap-scheme svpn   ////为SSL VPN用户配置授权方法为ldap-scheme

[H3C-isp-svpn]accounting sslvpn none   //不计费

5.3.7  配置与LDAP服务器互联端口

[H3C]interface GigabitEthernet 1/0/8   //进入接口

[H3C-GigabitEthernet1/0/8]ip address 10.88.142.1 255.255.255.0   //配置地址

[H3C-GigabitEthernet1/0/8]quit  //退出当前视图