sslvpn用户权限的问题

可以的

H3C 可以通过配置策略组实现：

白皮书

https://www.h3c.com/cn/Service/Document_Software/Document_Center/Home/Routers/00-Public/Learn_Technologies/White_Paper/SSL_VPN-Long/?CHID=666363

配置举例

https://www.h3c.com/cn/d_202203/1561003_30005_0.htm

从架构设计角度，更推荐sase或者零信任，更适合

创建用户时下滑有个ssl策略组的属性，通过这个规划

创建sslvpn时做几个相应的资源组

1、创建 ACL（用来放行对应网段，拒绝其他）

菜单：对象 → ACL → 高级 ACL

1. 新建 ACL 3000（给用户 A）
   • rule permit ip source any destination 192.168.A.0 0.0.0.255
   • rule deny ip source any destination any
2. 新建 ACL 3001（给用户 B）
   • rule permit ip source any destination 192.168.B.0 0.0.0.255
   • rule deny ip source any destination any

注意：这里目的地址是内网业务网段，源 any 代表 SSLVPN 客户端隧道地址。

2、进入 SSLVPN 配置，新建 2 个策略组

菜单：VPN → SSL VPN → 管理策略组

策略组 A：pgroup_A；策略组 B：pgroup_B

策略组 pgroup_A 配置

1. IP 隧道资源：
   • 访问路由：添加 A 网段 192.168.A.0/24（客户端只推这条路由）
   • IP 隧道过滤 ACL：选择 ACL3000
2. IP 地址池：可以共用一个地址池，也可以分开；
3. 保存策略组。

策略组 pgroup_B 配置

1. IP 隧道资源：
   • 访问路由：添加 B 网段 192.168.B.0/24
   • IP 隧道过滤 ACL：选择 ACL3001
2. 保存策略组。

重点：filter ip-tunnel ACL 是防火墙侧的强制放行 / 拒绝，就算客户端手动加路由，防火墙依然拦截流量，是权限核心。只推路由不配置 ACL 会有绕过风险。

3、创建本地 SSLVPN 用户，绑定对应策略组

菜单：对象 → 用户 → 用户管理 → 本地用户

1. 新建用户 userA
   • 服务类型：勾选 SSL VPN
   • 授权属性：SSLVPN 策略组 → pgroup_A
   • 设置密码，保存
2. 新建用户 userB
   • 服务类型：勾选 SSL VPN
   • 授权属性：SSLVPN 策略组 → pgroup_B
   • 设置密码，保存

4、绑定策略组到 SSLVPN 上下文（context）

菜单：VPN → SSL VPN → SSL VPN 上下文 编辑你的 SSLVPN 上下文（默认一般是 ctx）

• 策略组：把 pgroup_A、pgroup_B 都添加进来；

不要设置 default-policy-group（一旦设置，未指定策略组的用户会默认使用这个组，造成权限泄露）

• 开启 SSL VPN 上下文服务。

5、证书、接口、地址池等基础 SSLVPN 配置（已有则跳过）

• SSL VPN AC 接口、IP 地址池、SSL 服务器策略、外网接口 443 映射，基础 SSLVPN 配置正常完成。

命令行对照（方便排错）

关键注意事项

1. 不要只靠下发路由做权限控制！ 客户端可以手动添加静态路由绕过路由推送，必须配置 filter ip-tunnel ACL 在防火墙层面做访问控制。
2. 认证方式：本地用户如上；如果是 AD/LDAP 远程认证，在 ISP 域授权属性里下发sslvpn-policy-group，按用户组绑定策略组。
3. 测试验证：userA 登录后只能访问 A 网段，无法 ping/telnet B 网段；userB 反之。
4. 其他资源：如果有 Web 代理、TCP 资源（端口转发），同样在策略组内配置独立资源列表隔离。
5. 防火墙域间策略：内网域和 SSLVPN 域（SSLVPN AC 接口所在域）放通，不要写一条 permit all，配合上面 ACL 一起控制。