问

F1000-AI的SSL VPN配置

SSL VPN

1小时前提问

0关注
0收藏，29浏览

zhiliao_3DW40F

zhiliao_3DW40F 零段

粉丝：0人关注：0人

问题描述：

F1000-AI-05防火墙的基本配置。

F1000-AI-05的SSL VPN配置，包括PC客户端和手机客户端去哪里下载？

包括SSL账号，比如是多人登录一个账号还是一人一个账号？怎么方便且不冲突？

目的就是保证链路加密除了SSL VPN还有其他方式吗？

组网及组网描述：

手机端有鸿蒙4.2-6.0。都是卓易通。其他的有小米，华为等等
PC客户端就只有windows。

5 个回答

按时间按赞数

奔跑的小马

奔跑的小马六段

粉丝：12人关注：7人

F1000-AI-05防火墙基本配置与SSL VPN部署指南

一、F1000-AI-05基本配置

F1000-AI-05属于F1000-AI系列防火墙，支持路由模式、透明模式、混杂模式。基本配置主要包括接口IP地址、安全域和静态路由的配置：

# 配置接口IP地址和安全域
system-view
interface GigabitEthernet1/0/1
 port link-mode route
 ip address 1.1.1.2 255.255.255.0
 security-zone name Untrust
 import interface GigabitEthernet1/0/1
quit

interface GigabitEthernet1/0/2
 port link-mode route
 ip address 3.3.3.3 255.255.255.0
 security-zone name Trust
 import interface GigabitEthernet1/0/2
quit

# 配置静态路由
ip route-static 20.2.2.0 24 2.2.2.3

配置安全策略时，需要放通外网区域访问防火墙本地Local，再放通源SSLVPN区域访问内网资源，共两条规则。

二、SSL VPN客户端下载

SSL VPN客户端可以通过以下方式获取：

PC客户端：用户登录SSL VPN网关的Web页面后，系统会自动提示下载对应操作系统的客户端安装包，也可以由管理员在“全局配置”页面上传自定义IP接入客户端供用户下载使用
手机客户端：同样通过SSL VPN网关Web页面获取，H3C支持与智能终端的对接，用户在移动设备浏览器上访问网关地址即可下载对应版本的客户端

三、SSL VPN账号规划建议

建议一人一个账号，不推荐多人共享同一个账号，原因如下：

便于审计追溯：每个用户独立的账号可以准确记录其访问行为和操作日志
避免冲突：设备缺省支持同时登录的用户数与设备型号有关，F1000-AI系列缺省支持15个在线用户数，购买并安装License后可增加
权限管控：不同用户可被授予不同的SSL VPN策略组（Policy Group），实现差异化的资源访问控制

配置本地用户示例（通过Web或CLI）：

# 创建本地用户
local-user user01 class network
 password cipher YourPassword
 service-type sslvpn
 authorization-attribute user-role network-operator
 authorization-attribute sslvpn-policy-group pgroup1
quit

如需统一管理大量账号，可配置AAA认证对接RADIUS服务器。

四、SSL VPN核心配置流程

SSL VPN相关配置均在SSL VPN网关设备上进行，核心配置任务如下：

1. 配置SSL VPN网关

sslvpn gateway gw
 ip address 1.1.1.2 port 8443
 service enable
quit

2. 配置IP地址池和IP接入接口

sslvpn ip address-pool pool 192.168.10.10 192.168.10.200

interface SSLVPN-AC1
 ip address 192.168.10.1 255.255.255.0
quit
security-zone name Trust
 import interface SSLVPN-AC1
quit

3. 配置SSL VPN访问实例

sslvpn context ctx
 gateway gw domain 1
 ip-tunnel interface SSLVPN-AC1
 ip-tunnel address-pool pool mask 255.255.255.0
 ip-route-list list1 include 192.168.0.0 255.255.0.0
 policy-group pgroup1
 filter ip-tunnel acl 3001
 ip-tunnel access-route ip-route-list list1
 service enable
quit

4. 配置安全策略（关键步骤）

需放通如下两条规则：

外网区域 → Local：放行SSL VPN协商报文
SSLVPN区域 → 内网Trust区域：放行解密后的业务流量

security-policy ip
 rule name untrust-local
  source-zone Untrust
  destination-zone Local
  action pass
 quit
 rule name sslvpn-trust
  source-zone Trust
  destination-zone Trust
  action pass
 quit

五、除SSL VPN外的其他链路加密方式

除SSL VPN外，F1000-AI-05防火墙还支持以下VPN方式：

| VPN类型 | 适用场景 | 特点 |
|---------|---------|------|
| IPsec VPN | 站点到站点（分支机构互连） | 适合固定网络间加密通信，性能高 |
| L2TP VPN | 远程拨号接入 | 可与IPsec结合使用（L2TP over IPsec），支持多种认证方式 |
| GRE VPN | 隧道封装 | 常用于配合IPsec承载组播或动态路由协议 |

对于远程办公场景，若追求简单易用可选择SSL VPN；若为分支互连且感兴趣流量相同，可借助GRE技术实现IPsec双链路备份。

暂无评论

zhiliao_eE5Ptd

zhiliao_eE5Ptd 五段

粉丝：6人关注：1人

https://www.h3c.com/cn/Service/Document_Software/Software_Download/Intelligent_Management/ 客户端这里下载，PC下载后是一个管理中心，软件需要实际需求定制

ssl账号看你实际需求了，一个账号可以设置多人也可以单人，

暂无评论

zhiliao_3DW40F

zhiliao_3DW40F 知了小白

粉丝：0人关注：0人

兄弟们有WEB界面的配置文档么

暂无评论

zhiliao_Gixe

zhiliao_Gixe 九段

粉丝：15人关注：9人

一、F1000-AI-05 SSL VPN基础配置（关键命令）
1. 基本组网+接口/路由/安全策略略。
2. 开启功能：
ssl vpn enable
ip local pool sslpool 10.10.10.1 10.10.10.100
3. 域/用户（建议一人一号）：
domain ssl_domain
authentication lan-access local
authorization lan-access local
accounting lan-access local
local-user user1 class network
password simple P@ssw0rd
service-type sslvpn
authorization-attribute user-role network-operator
4. SSL VPN网关+策略：
ssl vpn gateway gw1
ip address 1.1.1.1 port 443
ssl server-policy default_policy //可自签证书
service enable
ssl vpn context ctx1
gateway gw1
ip-tunnel address-pool sslpool
ip-tunnel network 0.0.0.0 0.0.0.0
policy-group pol1
ip-tunnel
domain ssl_domain
二、客户端下载
1. PC（Windows）：浏览器输https://网关IP，自动跳转下载页面；或官网“支持>文档中心>安全>防火墙>F1000-AI系列”找配套软件。
2. 手机（鸿蒙/安卓）：官网找配套iNode Mobile/SSL VPN APP，或应用商店搜“H3C iNode”。
三、账号与加密替代
1. 账号：一人一号，通过Local User或Radius/LDAP集中管理防冲突。
2. 加密替代：IPSec VPN（点对网/网对网）、L2TP over IPSec。