SSL VPN

组网图

需求

云7通过VPN隧道访问服务器

实验思路

1、基础网络配置

2、配置SSL 网关

3、配置SSL协议版本等参数

4、配置网络扩展

5、配置用户和认证

6、配置SSL角色授权/用户

7、配置安全策略

8、用户访问

基础网络配置

云设置（两个云绑定的一个环回网络，通过 不断切换环回网络地址来完成此实验，因为使用虚拟网卡 ensp容易卡，所以此实验使用一个环回网络不断切换地址，先设置环回网络地址再设置云，设置完一个云再改一下环回网络地址，再添加另一个云进行端口 绑定添加，不然绑定的地址就是一个）

防火墙

int  g1/0/0
ip ad 10.1.1.1  24
service-manage  all permit 
int g1/0/1
ip ad 1.1.1.1  24
service-manage ping permit
int g0/0/0
service-manage all permit
q

//设置 安全区域
firewall  zone  untrust
add int g1/0/0
q
firewall  zone  dmz
add int g1/0/1
q

//设置web界面登陆的用户名、密码、权限等级
aaa
manage-user  huawei //自定义
password  cipher  huawei@123  //自定义
service-type  web
level  15
q
q

接口G0/0/0有默认配置，直接使用即可，如果修改将无法登陆web界面

设置SSL  VPN网关

//防火墙上通过命令行设置，ensp有bug，web界面设置会报错服务器繁忙
v-gateway sslvpn interface g1/0/0 port 4430 private  www.test.com    //设置SSL  VPN网关 ，后面的网址可以不设置    

登陆防火墙web界面内

https:192.168.0.1:8443

登陆 防火墙web界面时需要把环回地址改为192.168.0.0网段，不然无法加载出来

进来时会提示网站不安全，直接点高级，继续访问就进来了，进来以后输入创建的管理员账号和密码登陆。

点击网络->SSL  VPN(左侧)->SSL VPN（左下）

显示的网关是我们通过命令行添加的网关

选择网关，点击右侧的编辑

点击网络扩展，启用网络扩展，编辑可分配IP地址范围（防火墙给客户端分配的地址，类似于公私网转换），下面的可访问内外地址列表为访问的目的IP网段

配置用户

正上方点击对象->用户（左侧）->default->新建->新建用户

新建用户

输入账户名->密码->确认密码->确定

网络->SSL VPN->SSL  VPN->角色授权/用户->用户/用户组列表->新建->选择创建好的用户->应用

策略->安全策略->全部允许通过（动作拒绝改为允许）

UNIVPN连接工具连接测试

打开APP->新建连接

输入连接名称、web界面设置的网关地址（防火墙出接口地址）

需要把环回接口的地址改为云7的地址，不然无法建立连接

SSL  VPN  新建的用户名和密码

点继续

连接成功

172.16.0.2为防火墙分配的地址

抓包ping测（抓防火墙连接服务器一侧的出接口）

至此配置完成。