神州数码防火墙(DCN)NAT SSL-VPN配置

实验拓扑图

一、什么是SNAT？

SNAT，全称Source Network Address Translation，即源网络地址转换，是一种网络地址转换技术。其主要功能是将IP数据包的源地址转换成另外一个地址。在某些方案中，如虚拟机或计算实例需要与Internet建立出站连接时，可以使用SNAT。具体的操作过程是通过公共负载均衡器的前端IP为后端实例提供到Internet的出站连接，然后使用SNAT将虚拟机的专用IP转换为负载均衡器的公共IP地址。这样，SNAT就可以防止外部源直接访问后端实例，确保了安全性。

二、SSL VPN基本相关知识？

SSL-VPN是基于应用层的VPN，采用SSL协议来实现远程接入的一种新型VPN技术，比L2TP更加灵活的VPN方案。是天然的安全远程接入方案。用户可以通过浏览器的HTTPSs登录VPN的网址。SSL-VPN的认证方式包括LDAP，radius，CA，USB Key等方式。
SSL VPN的主要应用场景是保证远程用户能够在企业外部安全\高效的访问企业内部的网络资源

三、SNAT配置步骤

1.ip地址配置

2.配置默认路由

3.SNAT配置

4.放行NAT策略

5.测试NAT

四、SSL VPN 配置步骤

1.ip地址配置

隧道1主要用于SSL VPN用户的接入地址

2.新建SSL VPN 用户接入地址池

3.新建用户,用于SSL VPN连接

4.新建SSL VPN

接入用户认证选择本地认证(local)
隧道路由就是防火墙下发给到客户端的本地路由,这里直接默认,点击完成

5.放行SSL VPN策略

默认情况下SSL VPN用户是无法访问到内网资源,这时候就必须给外网用户放行一定的安全策略

6.使用外网客户端测试SSL VPN

特别注意:神州数码防火墙SSL VPN 不能使用高版本浏览器去访问,这里我推荐使用360浏览器去访问

登录成功之后,下载内置的SSL VPN客户端

使用客户端VPN去连接SSL VPN

SSL VPN已经连接成功

使用ping命令去ping内网服务器地址192.168.1.100,访问内网WEB服务器

SSL VPN已经配置完成.我们发现一个新的问题,就是当我们连接上SSL VPN后,我们电脑就无法访问互联网

五、解决SSL VPN 不能访问互联网

1.给SSL VPN用户网段配置NAT策略

2.放行SSL VPN用户能访问互联网策略

3.测试SSL VPN用户是否能访问互联网

总结

SSL VPN和SNAT都是网络技术，分别用于不同的目的。SSL VPN，全称Secure Socket Layer Virtual Private Network，是一种轻量级的VPN技术，它利用安全套接字层（SSL）/传输层安全（TLS）协议实现远程接入。这种技术充分利用了SSL协议提供的基于证书的身份认证、数据加密和消息完整性验证机制，为应用层之间的通信建立安全连接。具体来说，SSL VPN不需要安装其他的客户端软件，只要有支持SSL的浏览器就行，从而节省了IT人员大量的时间和精力。

另一方面，SNAT（源网络地址转换）的主要功能是将IP数据包的源地址转换成另外一个地址。在某些方案中，如虚拟机或计算实例需要与Internet建立出站连接时，可以使用SNAT。具体的操作过程是通过公共负载均衡器的前端IP为后端实例提供到Internet的出站连接，然后使用SNAT将虚拟机的专用IP转换为负载均衡器的公共IP地址。这样，SNAT就可以防止外部源直接访问后端实例，确保了安全性。