【数通】SSL VPN

SSL VPN 是什么？

是采用SSL/TLS协议来实现远程接入的一种轻量级 VPN 技术。
利用 SSL 协议提供的基于证书的身份认证、数据加密和消息完整性验证机制，可以为应用层之间的通信建立安全连接。因为 SSL 协议内置于浏览器中，使用 SSL VPN 可以免于安装客户端。
使用终端（笔记本等）与企业内部的 SSL VPN 服务器建立 SSL VPN 隧道后，即可通过该隧道远程访问企业内网的 Web 等服务器。

SSL VPN 的工作方式

终端用户访问企业内网服务器时，首先与 SSL VPN 服务器建立隧道，采用标准的 SSL 协议对传输的数据包进行加密。
在用户登录 SSL VPN 服务器时，SSL VPN 服务器对用户身份进行认证。
SSL VPN 服务器将报文发送至特定服务器进行验证，用户通过验证后即可访问（企业内网管理员分配指定的）服务器资源。

SSL VPN 特点

安全性：利用 SSL/TLS 协议为应用层之间的通信建立安全连接。访问控制细分程度可达 URL 或文件级别，大大提高企业远程加入的安全级别。

便携性（成本）：SSL VPN 基于 B/S 架构，因此无需安装客户端，使用普通浏览器即可访问。

跨平台兼容：只要支持 SSL 协议，无论是Windows、Mac、Linux，还是Android、IOS，都能使用 SSL VPN。

SSL VPN 玩法

部署方式：出口防火墙

出口防火墙配置

bash 复制代码

# 配置接口 IP 地址
 
# 开启防火墙 Web 页面
[USG6000V1-GigabitEthernet0/0/0]service-manage enable
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit

# 创建区域（trust、untrust）
[USG6000V1]firewall zone trust
[USG6000V1-zone-trust]add interface GigabitEthernet 0/0/0
[USG6000V1-zone-trust]add interface GigabitEthernet 1/0/1
[USG6000V1]firewall zone untrust
[USG6000V1-zone-trust]add interface GigabitEthernet 1/0/0

# 配置安全策略
[USG6000V1]security-policy
[USG6000V1-policy-security]rule name trust-untrust
[USG6000V1-policy-security-rule-trust-untrust]source-zone trust
[USG6000V1-policy-security-rule-trust-untrust]destination-zone untrust
[USG6000V1-policy-security-rule-trust-untrust]action permit

[USG6000V1-policy-security]rule name untrust-local
[USG6000V1-policy-security-rule-untrust-local]source-zone untrust
[USG6000V1-policy-security-rule-untrust-local]destination-zone local 
[USG6000V1-policy-security-rule-untrust-local]action permit

[USG6000V1-policy-security]rule name untrust-trust
[USG6000V1-policy-security-rule-untrust-trust]source-zone untrust
[USG6000V1-policy-security-rule-untrust-trust]destination-zone trust
[USG6000V1-policy-security-rule-untrust-trust]action permit

# 配置 nat 策略
[USG6000V1]nat-policy
[USG6000V1-policy-nat]rule name trust-untrust
[USG6000V1-policy-nat-rule-trust-untrust]source-zone trust
[USG6000V1-policy-nat-rule-trust-untrust]destination-zone untrust 
[USG6000V1-policy-nat-rule-trust-untrust]act source-nat easy-ip

# 配置缺省路由
[USG6000V1]ip route-static 0.0.0.0 0 100.100.100.1

# 创建 sslvpn 策略
# 注：ensp的防火墙在web页面配置会闪退，因此采用命令行模式。实际两种都可行。
[USG6000V1]v-gateway sslvpn interface GigabitEthernet 1/0/0 private

[USG6000V1]v-gateway sslvpn interface GigabitEthernet 1/0/0 private

输入以上命令，在 Web 页面会出现以下信息，也就是添加成功。

接下来启用网络扩展服务

配置可分配方位

选择手动路由模式

配置可访问网络列表

创建 SSL VPN 用户组与 test01 用户（注：名字随便）

截止至以上配置，已经可以实现 SSL VPN 的基本使用。

首先，PC 设备打开浏览器，直接访问防火墙网关，https:// 网关 IP 地址

使用刚刚创建的 test01 用户登录，开启网络扩展。

访问内网服务