SSLvpin

使用场景

远程用户通过SSLV批N接入内网

拓扑搭建

SSL VPiN配置

1. 创建SSL VPiN网关

• SSL VPiN 网关(接口地址) – 客户端在向公司进行SSL链接的一个公有地址
• SSL VPiN网关链接端口 - 客户端在向公司进行SSL链接使用的访问端口， 在防火墙的设置中和客户端在进行SSL拨号的配置中需要一致。

[FW1]v-gateway sslvpn interface  GigabitEthernet 1/0/1 port  11443 private  www.abc.com

注：在真机中，可以使用WEB界面/CLI命令行创建,在模拟器中，必须使用CLI命令行创建

2. 创建登录用户

3. 调整 SSL VPiN网关关联 – 用户-认证 / 并发数量等

4. 调整 SSL VPiN网关关联 – 开启服务-网络扩展

网络扩展功能通过在客户端安装虚拟网卡，从SSL VPiN网关获取虚拟IP地址，实现了对所有基于IP的内网业务的全面访问，用户远程访问内网资源就像访问本地局域网一样方便。 （SSL VPiN网段 不可以和内网的网段冲突，使用私有地址。）

5. 调整防火墙的安全策略
防火墙默认情况下local接口入方向流量策略受到接口 service-manage管控，不受到防火墙安全策略管控。

[FW1-GigabitEthernet1/0/1]service-manage  enable (默认配置)

service-manage 能够放行的入方向流量只有如下几种
http HTTP service
https HTTPS service
ping Ping service
snmp SNMP service
ssh SSH service
telnet Telnet service

如果需要放行SSL流量，必须通过防火墙安全策略来进行管理，必须关闭service-manage enable。

[FW1-GigabitEthernet1/0/1]undo service-manage  enable



security-policy
 rule name ssl
  source-zone untrust
  destination-zone local
  destination-address 1.1.1.1 mask 255.255.255.255
  action permit

6. 放行VPiN客户端访问服务器的流量

rule name u2t
  source-zone untrust
  destination-zone trust
  source-address 172.16.0.0 mask 255.255.0.0
  destination-address 10.1.1.0 mask 255.255.255.0
  action permit

SSL客户端拨号：
播号前：

windows系统 同样存在路由信息 – route print

播号后：
本地连接2 – SSL-VPN拨号之后自动产生的虚拟网卡 – 隧道接口

本地连接2 – 隧道接口

多产生了一个内网的路由信息
10.1.1.0/24 – 下一跳 172.16.1.1 （隧道接口的地址）
如果主机向10.1.1.0/24子网发送数据，相当于把数据送入到主机的隧道中
step01 先进入到VPN网卡
[src-ip 172.16.1.1 | des-ip 10.1.1.1][ping]
单层地址
step02 再进入到物理网卡（公有地址）
[src-ip 100.1.1.1（本机公有） | des-ip 1.1.1.1（SSL-VPN-GW）]【SSL-VPN [src-ip 172.16.1.1 | des-ip 10.1.1.1][HTTP]】
[src-ip 100.1.1.1（本机公有） | des-ip 1.1.1.1（SSL-VPN-GW）]【SSL-VPN [src-ip 172.16.1.1 | des-ip 10.1.1.1][ping]】
外层IP地址