Cisco ASA防火墙实现远程访问——SSL 虚拟专用网（内附案例）

之前写过easy 虚拟专用网的原理和配置，easy虚拟专用网的缺点就是需要在用户计算机安装特殊的软件，有时甚至还需要培训如何使用。并且，如果外出办公人员计算机上的终端软件出现问题，而其有不能自行解决时将无法访问公司内部的服务器，最终影响工作。那么，有没有一种更加方便的远程接入方式呢？

可以使用SSL虚拟专用网可以实现更加方便地远程安全接入。SSL虚拟专用网不需要再用户计算机安装特殊软件，可以使用当前用户计算机上的浏览器安全地访问公司内部服务器。SSL虚拟专用网除了浏览器访问外，还有通过浏览器自动安装客户端软件到用户计算机上。

一、SSL虚拟专用网的原理
SSL虚拟专用网是一种新兴技术，此技术通过网页浏览器的本地SSL加密，提供灵活、低成本的基于internet的远程访问解决方案。SSL虚拟专用网不需要在计算机中预先安装专用的客户端软件，任何可以访问internet的计算机都能建立SSL虚拟专用网会话，从而实现随时随地的网络访问。

SSL 虚拟专用网可按照以下三种方法进行部署

无客户端模式
无客户端模式其实并不是完全没有客户端，而是使用用户计算机上的web浏览器进行远程访问，而不需要其他软件

瘦客户端模式（也称为端口转换模式）
瘦客户端模式提供对基于TCP服务的远程访问

胖客户端模式（也称为隧道模式或全隧道客户端模式）
胖客户端模式提供对大量应用程序支持的远程访问，可以通过下载SSL 虚拟专用网客户端，提供对所有应用程序的全网络层（第三层）访问，

配置案例

要求：xp能访问2008R2的ftp服务和web服务

配置IP，除了R1不走默认，其他都走

ASA配置如下：

ciscoasa(config)# int e0/0
ciscoasa(config-if)# ip add 192.168.1.1
ciscoasa(config-if)# no shutdown
ciscoasa(config-if)# nameif inside
ciscoasa(config-if)# security-level 100
ciscoasa(config)# int e0/1
ciscoasa(config-if)# ip add 202.1.1.1
ciscoasa(config-if)# no shutdown
ciscoasa(config-if)# nameif outside
ciscoasa(config-if)# security-level 0
ciscoasa(config)# route outside 0 0 202.1.1.2

R1配置如下：

R1(config)#int f0/0
R1(config-if)#ip add 202.1.1.2 255.255.255.0
R1(config-if)#no shutdown
R1(config)#int f2/0
R1(config-if)#ip add 202.2.2.1 255.255.255.0
R1(config-if)#no shutdown
R1(config)#int f1/0
R1(config-if)#ip add 203.3.3.1 255.255.255.0
R1(config-if)#no shutdown

R2配置如下：

R2(config)#int f0/0
R2(config-if)#ip add 203.3.3.100 255.255.255.0
R2(config-if)#no shutdown
R2(config-if)#exit
R2(config)#ip http server
R2(config)#ip route 0.0.0.0 0.0.0.0 203.3.3.1

打开俩个主机配置IP和服务

XP配置

2008R2配置如下：


安装服务如下：

用XP访问ASA的202.1.1.1

这是已经成功了，可以用XP远程2008R2了