F1000 AK1120防火墙sslvpn设置

A 厂公网 10.10.10.1:54322 映射访问 B 厂 SSL‑VPN 可行性分析
背景：A/B 厂新增专线互通；B 厂准备撤掉自己互联网专线；目标：外网用户访问10.10.10.1:54322，访问到 B 厂 F1000‑AK1120 SSL VPN。
现有信息：
A 厂公网：10.10.10.1；A 防火墙内网侧：192.168.1.254
B 厂原有公网：20.20.20.1；B 防火墙内网接口：192.168.2.254；原 SSL VPN 网关：20.20.20.1:54321
你的方案：A 防火墙做端口 NAT：10.10.10.1:54322 → 20.20.20.1:54321；B 防火墙修改 SSL VPN 网关地址改为192.168.2.254:54321
一、你的方案能不能直接用？
❌这套方案有两处硬缺陷，不能直接生效
B 厂后面要取消 B 互联网专线，20.20.20.1这个公网 IP 会消失，A 防火墙 NAT 的目的地址20.20.20.1:54321后续不复存在。专线里面 B 防火墙没有20.20.20.1这个 IP，NAT 目的地址不通。
所以 A 防火墙端口映射不能映射到已经作废的 B 公网 IP20.20.20.1。
B 防火墙 SSL VPN 网关配置为192.168.2.254:54321，这个是 B 防火墙内网接口地址；
A 防火墙通过专线把外网流量转发过来给到 B 的内网接口，SSL VPN 接收报文没问题，但SSL VPN 客户端回包、证书、推送资源会出现问题：
SSL‑VPN 的证书里面填写的网关地址，客户端拿到的是192.168.2.254，而用户实际访问域名 / IP 是10.10.10.1:54322，会出现证书不匹配告警；
SSL VPN 推送的网关地址给客户端，会下发内网 IP192.168.2.254，客户端后续隧道建立会异常。
核心：H3C 防火墙 SSL VPN 网关 IP，是 SSL VPN 业务逻辑层参数，不单纯是监听端口，会写到证书、下发给客户端，不能直接填内网接口 IP 对外提供服务。
✅推荐正确方案（A 厂防火墙做端口映射，专线透传至 B 防火墙）
拓扑逻辑
外网客户端 → 10.10.10.1:54322(A 厂公网) → A 防火墙做目的 NAT（端口映射），专线转发到 B 防火墙专线互联接口 IP（B 防火墙的专线侧 IP，不是内网 192.168.2.254）的54321端口。
关键点：
B 防火墙SSL VPN 网关不要改成内网 IP，保留网关虚拟 IP 逻辑，网关对外标识仍然是公网 IP：10.10.10.1:54322
B 防火墙 SSL VPN 监听在专线对接的接口 IP（例如 B 厂专线互联地址172.16.1.2），端口 54321。
A 防火墙：目的 NAT，把10.10.10.1:54322映射到 B 防火墙专线接口 IP172.16.1.2:54321。
A 防火墙配置要点
目的端口 NAT（公网地址 10.10.10.1，端口 54322 映射 B 防火墙专线互联 IP:54321）
plaintext
# 定义流
object-group service SSLVPN-PORT
service tcp port eq 54322

nat server protocol tcp global 10.10.10.1 54322 inside 172.16.1.2 54321
⚠️目的 NAT 的 inside 地址必须填 B 防火墙专线对接的接口 IP，不要填 192.168.2.254，也不要填废弃的 20.20.20.1。
A 防火墙安全策略：允许 Untrust 到 B 厂专线网段，目的 IP 为 B 防火墙专线 IP，目的端口 TCP 54321。
A 防火墙路由：去往 B 厂专线对端网段，下一跳指向专线对端设备。
B 防火墙侧配置（重点，很多人踩坑）
SSL VPN 监听地址：选择 B 防火墙和 A 厂对接的专线接口 IP（172.16.1.2），端口 54321。
不要配置内网业务口192.168.2.254。
SSL‑VPN 网关对外显示地址（网关虚拟 IP）：填写对外访问的公网10.10.10.1，端口 54322。
【非常关键】这个是对外通告给客户端、写入证书的地址，就是用户浏览器访问的地址，不是本机监听 IP。H3C F1000‑AK 系列 SSL VPN 支持 “监听 IP 和网关对外虚拟 IP 不一致”。
监听 IP：本机专线接口 IP172.16.1.2:54321（防火墙真实接收报文的地址）
网关虚拟 IP：10.10.10.1:54322（给到客户端、证书使用的访问地址）
SSL VPN 证书：证书的 SAN / 公用名填写10.10.10.1，避免客户端报证书名称不匹配告警。
B 防火墙安全策略：允许来自 A 厂专线网段的流量访问本机172.16.1.2的 TCP 54321。
B 防火墙回程路由：访问外网客户端地址，下一跳指向专线去往 A 厂方向，保证 SSL VPN 隧道报文回包走专线回 A 防火墙，不能回包走 B 厂旧互联网（后续要删掉）。
二、如果你坚持想把 B SSL VPN 监听在192.168.2.254（内网口）会遇到什么问题
SSL VPN 网关虚拟 IP 如果填192.168.2.254：客户端拿到证书里面是内网 IP，浏览器访问公网 IP，报证书错误；SSL VPN 客户端软件拿到网关地址是内网 IP，隧道建立失败。
网关虚拟 IP 填10.10.10.1:54322，监听在192.168.2.254，技术上可以跑通，但不推荐：
流量要穿过 B 厂内网域到内网接口，风险高；
如果 B 厂内网域策略、域间策略改动，很容易把 SSL‑VPN 流量阻断。
三、额外必须检查的其他修改点
B 防火墙回程路由：SSL VPN 客户端的公网回包，必须走专线送到 A 防火墙，绝对不能走 B 原来的互联网出口。B 厂撤掉互联网专线后这条旧路由要删除。
A、B 之间专线域间策略放行：
A：Untrust→专线域，放行 tcp 54322/54321；
B：专线域→Local 域，放行 tcp 54321。
SSL VPN 证书：证书主体别名 (SAN) 必须包含访问地址10.10.10.1，否则浏览器、客户端报证书风险告警。
关闭 B 防火墙旧公网相关配置：删除20.20.20.1相关 NAT、旧 SSL‑VPN 实例，避免残留配置干扰。
注意源 NAT 问题：A 做目的 NAT 转发到 B，不要做源 NAT，要保留客户端真实公网 IP 给到 B 防火墙；如果 A 防火墙强制做源 NAT，B 防火墙日志看到全部是 A 的地址，SSL VPN 日志无法看到真实客户端 IP。
四、简单对比你的原始方案
你的想法：A:NAT10.10.10.1:54322 →20.20.20.1:54321，B 网关改成192.168.2.254:54321
缺陷 1：B 厂撤专线后20.20.20.1不存在，NAT 目的地址失效。
缺陷 2：监听在内网接口，SSL‑VPN 推送网关、证书会出现 IP 不匹配，客户端报错。
正确方案：
A:NAT10.10.10.1:54322 → B防火墙专线接口IP:54321
B 防火墙：监听在专线接口 IP:54321；网关虚拟对外地址填写 10.10.10.1:54322。
补充：H3C SSL VPN 关键概念区分（容易混淆）
监听 IP 地址：防火墙本机哪个接口接收 SSL VPN 报文（报文真实接收的地址）
网关虚拟 IP（对外网关地址）：下发给 SSL‑VPN 客户端、写入证书，用户访问的地址，可以和监听 IP 不一样。
这个就是跨设备端口映射部署 SSL VPN 的关键特性。