华为防火墙web配置SSL-在外人员访问内网资源

华为防火墙web配置SSL

拓扑介绍
开启防火墙web管理功能
- 创建web登录用户
- 开启web管理服务
配置SSL
测试SSL连接

拓扑介绍

内网段为10.1.1.0/24，核心LSW1作为内网网关。

公网地址为192.168.88.100，防火墙做为公网出口将内网流量SNAT成公网地址出网

注：192.168.0.0/16实际为内网段，本文只是以此地址举例

SSL地址为10.10.10.10-10.10.10.20

防火墙接交换机端口安全域为trust，接Cloud端口安全域为untrust

需求：在防火墙配置SSL，在外人员连接SSL后，可访问Server1

默认已完成安全域、路由的配置，此处不做配置说明

开启防火墙web管理功能

创建web登录用户

此处的用户并非ssl账号，而是用于登录防火墙web做配置的账户

bash 复制代码

[FW1]aaa
[FW1-aaa]manager-user web
[FW1-aaa]password cipher Huawei@123
[FW1-aaa-manager-user-web]level 15
[FW1-aaa-manager-user-web]service-type web

创建一个账号名为web、密码为Huawei@123，权限为15，服务类型为web的账户

开启web管理服务

bash 复制代码

[FW1]web-manager enable
[FW1]web-manager security enable
[FW1]web-manager security enable port 8443

开启web管理服务，使用https管理，设置管理端口为8443

bash 复制代码

[FW1]interface GigabitEthernet1/0/0
[FW1-GigabitEthernet1/0/0]service-manage https permit

开启接口下的https管理，即允许该接口访问自身的https服务

注：因模拟器配置不便，本文在防火墙WAN口开启https。正常应该在内网地址口（G1/0/1）开启https做配置

配置SSL

登录web界面

1> 访问https://192.168.88.100:8443

2> 使用前面新建的web用户登录

新增SSL用户

1> 依次点击对象、用户、务必勾选SSLVPN、新建

2> 创建一个ssl用户组，将其放在default用户组下

3> 再次点击新建，新建用户

新增一个名称为zhangsan，密码为Huawei@123的用户，将其放在/default/ssl组

用户属性按需选择即可

新增虚拟网关

1> 依次点击网络、SSL、新建

2> 网关配置

名称：按需填写

网关地址：接口务必选择WAN接口

端口：按需填写，此处以44443为例。不能与其他在用端口冲突

ENSP模拟器 中点击下一步会报错服务器繁忙。

可登录防火墙，执行

v-gateway ssl interface GigabitEthernet1/0/0 port 44443 private

先创建一个虚拟网关，再修改参数

真实设备不存在上述问题，后续步骤均为修改ssl网关操作，可按照修改的部分进行配置

3> 启用网络拓展

网络拓展：勾选

可分配IP地址范围：规划给SSL用户的地址段

路由模式（针对用户视图来说）：

手动路由模式：手动配置的路由才会走SSL虚拟网卡，即下面配置的10.1.1.0/24路由。其他流量按照正常路由转发
分离路由模式：真实网卡同段的流量走真实网卡，其他流量全走SSL虚拟网卡
全路由模式：所有流量都走SSL虚拟网卡

此处以手动路由为例，一般也推荐使用手动路由

4> 新增授权用户，即调用之前创建的ssl组

务必勾选网络拓展！

ENSP中点确定会报错参数过多，直接点取消就可以

最终配置完如上图

策略放行

涉及外访内的策略一定要按最小化放行

1> 新增一个服务组，名称44443，允许访问目的端口为TCP 44443

bash 复制代码

[FW1]ip service-set 44443 type object
[FW1-object-service-set-44443]service protocol tcp destination-port 44443

2> 新增一个地址组，名称ssl，地址对象为ssl网段

bash 复制代码

[FW1]ip address-set ssl type object
[FW1-object-address-set-ssl]address range 10.10.10.10 10.10.10.20

3> 新增安全策略，允许WAN发起连接到自身的SSL服务

bash 复制代码

[FW1]security-policy 
[FW1-policy-security]rule name untrust==>ssl
[FW1-policy-security-rule-untrust==>ssl]source-zone untrust
[FW1-policy-security-rule-untrust==>ssl]destination-zone local
[FW1-policy-security-rule-untrust==>ssl]destination-address 192.168.88.100 32
[FW1-policy-security-rule-untrust==>ssl]service 44443
[FW1-policy-security-rule-untrust==>ssl]action permit

允许WAN访问自身地址 192.168.88.100的TCP 44443端口，最小化放行

4> 新增安全策略，允许SSL用户网段访问内网网段

bash 复制代码

[FW1]security-policy 
[FW1-policy-security]rule name ssl==>trust
[FW1-policy-security-rule-ssl==>trust]source-zone untrust
[FW1-policy-security-rule-ssl==>trust]destination-zone trust
[FW1-policy-security-rule-ssl==>trust]source-address address-set ssl
[FW1-policy-security-rule-ssl==>trust]destination-address 10.1.1.0 24
[FW1-policy-security-rule-ssl==>trust]action permit

允许SSL网段访问内网网段，最小化放行

此处要注意，SSL入向流量的安全域为untrust