一、高校图书馆SSLvpn配置案例

 1、组网需求

       某高校有一台RGFW-1600系列防火墙放置于互联网出口，拓扑如下图：

    

 

 

       现需求通过组建sslvpn web代理模式和隧道模式以实现：

       1.web代理模式：能访问http://lib.xxxx.edu.cn（位于校园网内）该网址，并通过该网址跳转到校外的中国知网等互联网及校园网地址（目标地址不固定，为all）

       2.在web代理的模式下，实现用学校防火墙出口ip访问目标网站资源，可实现互联网受限文档的查阅下载。

       2.隧道模式：访问校园网内部固定IP地址段的服务器server-2，同时隧道模式下启用隧道分割，客户端获取明细路由，访问非校园网络时步骤sslvpn隧道

 

2、配置要点

1.sslvpn 界面设置：web代理模式下，目标地址为all，同时隧道模式下又要启用隧道分割，则不能在一条sslvpn界面里同时启用web代理模式及隧道模式（目标地址为all，无法启用隧道分割，防火墙会报错）：需添加两条sslvpn界面，这里添加 web 为web代理模式的       sslvpn；添加 tunnel 隧道模式sslvpn；

       2. 防火墙 sslvpn策略设置：建立两条sslvpn防火墙策略，一条匹配web代理模式sslvpn，一条匹配隧道模式sslvpn；

            a. web代理模式和隧道模式的源地址均来自互联网，均为all

            b.web代理模式sslvpn策略：既要访问内网，也需访问互连网，则目标端口为all，目的地址也为all；

            c. 隧道模式sslvpn策略：目标端口为防火墙连接校园网的端口，目标地址为server-2；

            d.由于这里有两条sslvpn策略，且源地址相同，为了避免sslvpn流量匹配出错，需用认证用户进行区分：user1用于web代理模式登录，user3用于隧道模式登录；

 

3、配置步骤 

 1、基本上网配置

             配置详细过程请参照 “路由模式典型功能--单线上网--静态地址线路上网配置“一节：

        2、配置用户

             1）定义用户

             菜单：设置用户--设置用户--设置用户：点击“新建”

            

             添加用户名：user1，密码 11111111用于web代理登录；user3，密码11111111，用于隧道模式登录

            

             2）定义用户组

             菜单：设置用户--用户组--用户组：点击“新建”

       添加用户组: sslvpngroup1,添加user1用户到该组；添加sslvpntunnel， 添加user3用户到该组

         

    

     3、sslvpn相关配置

 

      1）建立SSL VPN用户地址池

             菜单： 防火墙--地址--地址， 点击“新建”

             按如下方式添加sslvpn地址池

            

             类型：选择 IP Range（必须选择IP Range ，不能选择subnet）

             子网/IP范围：10.0.0.10-10.0.0.100

    

      2）SSL 界面配置

  

             菜单： 虚拟专网--SSL--界面，点击“新建”

            

            

          添加隧道模式的界面  tunnel

            

名称： 自己定义，这里设置 tunnel。

登陆信息： 可以自定义设置为所需提示信息。

主题:  页面风格，如蓝色，红色等。

启用隧道模式： 选择该模式，客户端从防火墙上获得IP地址，与防火墙之间建立一个安全的VPN通道，来访问内部网络资源。

启用分隔隧道： 客户端只有访问内部资源的时候，才会将流量发往SSL VPN通道，其他网络流量依然通过本地连接，是有拨入vpn后依然统统本地网络访问互联资源。

IP池: 定义分配各客户端的IP地址范围，用于隧道分割，选择sslvpnpool

允许每个用户多并发会话： 是否允许同一个账号，在同一时间并发使用。

 

 添加隧道模式的界面  tunnel

 

 

勾选  包括书签  按钮后 ，点击 新建 来添加所选通过ssl 代理模式所访问的网站，如

 

  4、配置SSL　VPN参数

      菜单：虚拟专网--SSL--设置

      按如下方式配置

 

     链接设置

             监听接口：用户可以从该接口连接VPN，如wan1口。

             监听端口：SSL VPN的访问端口，默认为443，如果接口开启https服务端口会冲突，可以修改https 服务的管理端口或者修改该端口为其他端口，

             如1443。

             限制访问： 对发起SSL链接用户的IP地址范围进行限制，一般选择　允许从任何主机接入。

             空闲登出： 当VPN隧道内没有数据流量的时候，是否会自动登出VPN。默认为３００秒。也可以选择从不登出。

             服务器证书：一般使用Ruijie_local ,企业也可以使用自有的“本地证书”

             要求客户端认证：是否要求对客户端进行证书认证，一般不选择。

 

     隧道模式客户端设置：

             地址范围：自动分配，系统则会使用预定义的 SSLVPN_TUNNEL_ADDR1，可以选择“特定自定义IP范围”

                     IP池： 定义分配给用户端的地址范围，一般会在SSL界面内定义的IP池。

             DNS服务器，WINS服务器：如果需使用域名来访问内部资源的时候，需要配置内部DNS

 

    认证/界面映射

              点击“新建”，来为不同的用户组定义不同的portal界面。全部其他用户/组   为默认组，如果为设定，也需要设定。

 

 

      

    

      5、配置策略和路由

 

      1）.代理模式添加普通防火墙策略

　　　

 

　　　　源接口： ssl.root

            源地址： 分配给ssl vpn用户的ip地址，也可以选择all。

            目的接口/区：需要通过SSLVPN访问的内网接口，OA服务器位于internal口

            用户/组： 用户所在的用户组sslvpngroup1，必选,需要与ssl vpn设置内 认证/界面映射 一致。。

            目的地址： ALL。

            动作： 允许

            NAT： 一般不需要使用NAT。

 

      2）.隧道模式添加普通防火墙策略

 

      

 

       源接口： ssl.root

            源地址： 分配给ssl vpn用户的ip地址，也可以选择all。

            目的接口/区：需要通过SSLVPN访问的内网接口

            用户/组： 用户所在的用户组sslvpntunnel，必选,需要与ssl vpn设置内 认证/界面映射 一致。。

            目的地址：被访问的内部地址server2。 注意：当启用ssl vpn的隧道分割功能后， 目的地址不可以为all，需要写详细的目的IP，这些IP 会作为隧道分割的目的路由表，也就是防火墙会自动将 目的地址 的路由表注入的client的主机。 只有去往这些地址的数据，才会进入ssl vpn隧道。

            动作： 允许

            NAT： 一般不需要使用NAT。 

      

 

 

      3）隧道模式添加路由

           

             目的IP/子网掩码：10.0.0.0/24，为SSL用户地址池网段。

             设备：选择ssl.root接口

             其他默认，点击“确定”

   6、功能验证

            1）使用user1登录sslvpn 的web界面，访问http://lib.xxxx.edu.cn

            

            页面显示欢迎xx学校， 说明已成功实现防火墙sslvpn代理，并实现用防火墙出口IP访问目标网站

 

         

      2）用user3账号登录客户端，访问内网资源

        

 

        客户端获取到的明细路由