一、实验目的
实验目的：在防火墙FW1上进行命令行和图形化界面配置，实现远端用户通过SSLVPN访问服务端，本实验主要实现通过SSLVPN网络扩展模式下远端用户访问服务器
二、基本配置
（一）如图所示配置接口地址
（二）将防火墙g1/0/0加入untrust区域，g1/0/1加入trust区域
（三）cloud1连接虚拟机，cloud2连接网页配置端
修改网管页面超时时间
FW1web-manager timeout 1440
三、详细配置
（一）新建SSLVPN网关
FW1v-gateway SSL_GW interface g1/0/0 private
（二）配置SSLVPN网络扩展模式，选择路由模式为手动路由模式
（三）在默认用于域中采用SSL VPN接入场景新建用户组OA和用户user（密码为Huawei@123）
（四）在SSL VPN配置角色授权用户中新建角色授权列表，新建角色role并关联新创建的默认域中OA用户组并使用网络扩展业务场景
#****BEGIN***ssl_gw**1****#
v-gateway ssl_gw
basic
ssl version tlsv11 tlsv12
ssl timeout 5
ssl lifecycle 1440
ssl ciphersuit custom aes256-sha non-des-cbc3-sha aes128-sha
service
network-extension enable
network-extension keep-alive enable
network-extension keep-alive interval 120
network-extension netpool 192.168.0.1 192.168.0.10 255.255.255.0
netpool 192.168.0.1 default
network-extension mode manual
network-extension manual-route 10.1.12.0 255.255.255.0
security
policy-default-action permit vt-src-ip
certification cert-anonymous cert-field user-filter subject cn group-filter su
bject cn
certification cert-anonymous filter-policy permit-all
certification cert-challenge cert-field user-filter subject cn
certification user-cert-filter key-usage any
undo public-user enable
hostchecker
cachecleaner
vpndb
group /default/oa
group /default
role
role default
role default condition all
#****END****#
（五）配置安全策略
FW1-policy-securitydis th
security-policy
rule name LOCAL_TO_ANY
source-zone local
action permit
rule name OUT_TO_LOCAL
source-zone untrust
destination-zone local
service protocol tcp destination-port 443
action permit
rule name OUT_TO_IN
source-zone untrust
destination-zone trust
source-address 192.168.0.0 mask 255.255.255.0
destination-address 10.1.12.0 mask 255.255.255.0
action permit
（六）手动路由模式
（七）分离路由模式
（八）全路由模式
四、结果验证
通过虚拟机登录防火墙，自动弹出证书并安装出现如下界面，输入创建的用户名及密码
登录结果如下图所示，启动网络扩展安全相应软件
（一）手动路由模式
1、内网可以ping通
PS C:\Users\Administrator> ping 10.1.12.10
正在 Ping 10.1.12.10 具有 32 字节的数据:
请求超时。
来自 10.1.12.10 的回复: 字节=32 时间=15ms TTL=254
来自 10.1.12.10 的回复: 字节=32 时间=8ms TTL=254
2、互联网可以ping通
PS C:\Users\Administrator> ping 150.1.1.1
正在 Ping 150.1.1.1 具有 32 字节的数据:
来自 150.1.1.1 的回复: 字节=32 时间=11ms TTL=255
来自 150.1.1.1 的回复: 字节=32 时间=5ms TTL=255
3、查看虚拟机路由表
PS C:\Users\Administrator> route print
===========================================================================
接口列表
20...00 ff 65 08 54 4e ......SVN Adapter V1.0
4...00 0c 29 d2 15 1d ......Intel(R) 82574L Gigabit Network Connection
1...........................Software Loopback Interface 1
7...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #2
15...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #3
===========================================================================
IPv4 路由表
===========================================================================
活动路由:
网络目标 网络掩码 网关 接口 跃点数
0.0.0.0 0.0.0.0 155.1.2.100 155.1.2.10 281
10.1.12.0 255.255.255.0 在链路上 192.168.0.1 1
10.1.12.255 255.255.255.255 在链路上 192.168.0.1 257
127.0.0.0 255.0.0.0 在链路上 127.0.0.1 331
127.0.0.1 255.255.255.255 在链路上 127.0.0.1 331
127.255.255.255 255.255.255.255 在链路上 127.0.0.1 331
155.1.2.0 255.255.255.0 在链路上 155.1.2.10 281
155.1.2.10 255.255.255.255 在链路上 155.1.2.10 281
155.1.2.255 255.255.255.255 在链路上 155.1.2.10 281
155.1.121.12 255.255.255.255 155.1.2.100 155.1.2.10 257
192.168.0.1 255.255.255.255 在链路上 192.168.0.1 257
224.0.0.0 240.0.0.0 在链路上 127.0.0.1 331
224.0.0.0 240.0.0.0 在链路上 155.1.2.10 281
224.0.0.0 240.0.0.0 在链路上 192.168.0.1 257
255.255.255.255 255.255.255.255 在链路上 127.0.0.1 331
255.255.255.255 255.255.255.255 在链路上 155.1.2.10 281
255.255.255.255 255.255.255.255 在链路上 192.168.0.1 257
===========================================================================
永久路由:
网络地址 网络掩码 网关地址 跃点数
0.0.0.0 0.0.0.0 155.1.2.100 默认
===========================================================================
（二）分离路由模式
PS C:\Users\Administrator> ping 10.1.12.10
正在 Ping 10.1.12.10 具有 32 字节的数据:
来自 10.1.12.10 的回复: 字节=32 时间=9ms TTL=254
来自 10.1.12.10 的回复: 字节=32 时间=6ms TTL=254
PS C:\Users\Administrator> ping 150.1.1.1
正在 Ping 150.1.1.1 具有 32 字节的数据:
请求超时。
请求超时。
PS C:\Users\Administrator> route print
===========================================================================
接口列表
20...00 ff 65 08 54 4e ......SVN Adapter V1.0
4...00 0c 29 d2 15 1d ......Intel(R) 82574L Gigabit Network Connection
1...........................Software Loopback Interface 1
7...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #2
15...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #3
===========================================================================
IPv4 路由表
===========================================================================
活动路由:
网络目标 网络掩码 网关 接口 跃点数
0.0.0.0 0.0.0.0 在链路上 192.168.0.2
127.0.0.0 255.0.0.0 在链路上 127.0.0.1 33
127.0.0.1 255.255.255.255 在链路上 127.0.0.1 33
127.255.255.255 255.255.255.255 在链路上 127.0.0.1 33
155.1.2.0 255.255.255.0 在链路上 155.1.2.10 28
155.1.2.10 255.255.255.255 在链路上 155.1.2.10 28
155.1.2.255 255.255.255.255 在链路上 155.1.2.10 28
155.1.121.12 255.255.255.255 155.1.2.100 155.1.2.10 257
192.168.0.0 255.255.255.0 在链路上 192.168.0.2 25
192.168.0.2 255.255.255.255 在链路上 192.168.0.2 25
192.168.0.255 255.255.255.255 在链路上 192.168.0.2 25
224.0.0.0 240.0.0.0 在链路上 127.0.0.1 33
224.0.0.0 240.0.0.0 在链路上 155.1.2.10 28
224.0.0.0 240.0.0.0 在链路上 192.168.0.2 25
255.255.255.255 255.255.255.255 在链路上 127.0.0.1 33
255.255.255.255 255.255.255.255 在链路上 155.1.2.10 28
255.255.255.255 255.255.255.255 在链路上 192.168.0.2 25
===========================================================================
永久路由:
网络地址 网络掩码 网关地址 跃点数
0.0.0.0 0.0.0.0 155.1.2.100 默认
===========================================================================
（三）全路由模式
虚拟网内网可以ping通
PS C:\Users\Administrator> ping 10.1.12.10
正在 Ping 10.1.12.10 具有 32 字节的数据:
来自 10.1.12.10 的回复: 字节=32 时间=7ms TTL=254
来自 10.1.12.10 的回复: 字节=32 时间=11ms TTL=254
互联网无法ping通
PS C:\Users\Administrator> ping 150.1.1.1
正在 Ping 150.1.1.1 具有 32 字节的数据:
请求超时。
请求超时。
治理内网无法ping通
PS C:\Users\Administrator> ping 155.1.2.100
正在 Ping 155.1.2.100 具有 32 字节的数据:
请求超时。
请求超时。