網(wǎng)絡(luò)運(yùn)維|通過(guò)SSL VPN進(jìn)行網(wǎng)絡(luò)擴(kuò)展

2020-06-16 21:20 作者：admin

大家好，我是一枚從事IT外包的網(wǎng)絡(luò)安全運(yùn)維工程師，今天和大家分享的是網(wǎng)絡(luò)安全設(shè)備維護(hù)相關(guān)的內(nèi)容，在這里介紹下通過(guò)SSL VPN進(jìn)行網(wǎng)絡(luò)擴(kuò)展的配置， 網(wǎng)絡(luò)安全運(yùn)維，從Web管理輕松學(xué)起,一步一步學(xué)成網(wǎng)絡(luò)安全運(yùn)維大神。
網(wǎng)絡(luò)維護(hù)是一種日常維護(hù)，包括網(wǎng)絡(luò)設(shè)備管理(如計(jì)算機(jī)，服務(wù)器)、操作系統(tǒng)維護(hù)(系統(tǒng)打補(bǔ)丁，系統(tǒng)升級(jí))、網(wǎng)絡(luò)安全(病毒防范)等。+
北京艾銻無(wú)限科技發(fā)展有限公司為您免費(fèi)提供給您大量真實(shí)有效的北京網(wǎng)絡(luò)維護(hù)服務(wù)，北京網(wǎng)絡(luò)維修信息查詢(xún)，同時(shí)您可以免費(fèi)資訊北京網(wǎng)絡(luò)維護(hù)，北京網(wǎng)絡(luò)維護(hù)服務(wù)，北京網(wǎng)絡(luò)維修信息。專(zhuān)業(yè)的北京網(wǎng)絡(luò)維護(hù)信息就在北京艾銻無(wú)限+
+
北京網(wǎng)絡(luò)維護(hù)全北京朝陽(yáng)豐臺(tái)北京周邊海淀、大興、昌平、門(mén)頭溝、通州、西城區(qū)、燕郊、石景山、崇文、房山、宣武、順義、平谷、延慶全北京網(wǎng)絡(luò)維護(hù)信息

通過(guò)SSL VPN進(jìn)行網(wǎng)絡(luò)擴(kuò)展

在用戶(hù)啟用網(wǎng)絡(luò)擴(kuò)展功能后，網(wǎng)絡(luò)擴(kuò)展客戶(hù)端會(huì)自動(dòng)從網(wǎng)關(guān)上獲得IP地址并激活虛擬網(wǎng)卡進(jìn)行SSL通信，使用戶(hù)如同工作在企業(yè)內(nèi)網(wǎng)一樣，快速、安全地訪問(wèn)企業(yè)內(nèi)網(wǎng)的資源。配置手動(dòng)模式的網(wǎng)絡(luò)擴(kuò)展功能后，除了增加對(duì)遠(yuǎn)程企業(yè)內(nèi)網(wǎng)的訪問(wèn)權(quán)限外，不影響客戶(hù)端原先可訪問(wèn)的網(wǎng)絡(luò)資源，除非網(wǎng)絡(luò)資源與遠(yuǎn)程企業(yè)內(nèi)網(wǎng)沖突。

前提條件

已加載License文件，且USG可以正常訪問(wèn)內(nèi)網(wǎng)資源。
 說(shuō)明：
本舉例中USG內(nèi)網(wǎng)接口IP地址、地址池地址和內(nèi)網(wǎng)服務(wù)器的IP地址在同一網(wǎng)段。如果USG內(nèi)網(wǎng)接口IP地址和內(nèi)網(wǎng)服務(wù)器的IP地址不在同一網(wǎng)段，可以按照如下方法配置：
將地址池和USG內(nèi)網(wǎng)接口配置在同一網(wǎng)段，并保證USG的內(nèi)網(wǎng)接口與內(nèi)網(wǎng)服務(wù)器路由可達(dá)，確保業(yè)務(wù)的連通性。

組網(wǎng)需求

如圖10-94所示，USG作為企業(yè)網(wǎng)絡(luò)的出口網(wǎng)關(guān)連接Internet。
具體需求如下：
外網(wǎng)用戶(hù)會(huì)獲取到192.168.1.50/24～192.168.1.150/24范圍內(nèi)的IP地址，且能夠像工作在內(nèi)網(wǎng)一樣，快速、安全地訪問(wèn)內(nèi)網(wǎng)的192.168.1.0/24網(wǎng)段的資源。
本地PC中已有有效的CA證書(shū)ca.crt。采用用戶(hù)提供證書(shū)和VPNDB結(jié)合的認(rèn)證授權(quán)方式。
由于經(jīng)常受到來(lái)自7.1.1.0/24網(wǎng)段的網(wǎng)絡(luò)攻擊，禁止員工在7.1.1.0/24網(wǎng)段的客戶(hù)端上訪問(wèn)虛擬網(wǎng)關(guān)。
圖  網(wǎng)絡(luò)擴(kuò)展組網(wǎng)圖 

配置思路

在USG創(chuàng)建一個(gè)名為test的虛擬網(wǎng)關(guān)，外網(wǎng)用戶(hù)可通過(guò)此虛擬網(wǎng)關(guān)訪問(wèn)企業(yè)內(nèi)網(wǎng)的資源。虛擬網(wǎng)關(guān)的IP地址為202.10.10.1/24。
配置內(nèi)網(wǎng)的DNS服務(wù)器地址和域名，使用戶(hù)可通過(guò)域名訪問(wèn)虛擬網(wǎng)關(guān)的業(yè)務(wù)。
配置網(wǎng)絡(luò)擴(kuò)展功能，為外網(wǎng)用戶(hù)分配IP地址和添加外網(wǎng)用戶(hù)可訪問(wèn)的內(nèi)網(wǎng)資源。
從本地PC上將有效CA證書(shū)導(dǎo)入設(shè)備中，并進(jìn)行激活。
配置認(rèn)證方式為證書(shū)挑戰(zhàn)（輔助認(rèn)證方式：VPNDB），授權(quán)方式配置為VPNDB。
添加VPNDB用戶(hù)。VPNDB的用戶(hù)名即是客戶(hù)端證書(shū)的名稱(chēng)，VPNDB的密碼即是外網(wǎng)用戶(hù)登錄虛擬網(wǎng)關(guān)時(shí)需要輸入的密碼。
配置虛擬網(wǎng)關(guān)源IP策略，禁止IP網(wǎng)段為7.1.1.0/24的客戶(hù)端訪問(wèn)虛擬網(wǎng)關(guān)。
在需要訪問(wèn)虛擬網(wǎng)關(guān)的PC端安裝CA證書(shū)對(duì)應(yīng)的客戶(hù)端證書(shū)。

操作步驟

配置接口基本參數(shù)。
選擇“網(wǎng)絡(luò) > 接口 > 接口”。
選擇“接口”頁(yè)簽。
在“接口列表”中，單擊GE0/0/1對(duì)應(yīng)的。
在“修改GigabitEthernet”界面中，配置如下：
安全區(qū)域：trust
IP地址：192.168.1.1
子網(wǎng)掩碼：255.255.255.0
其他配置項(xiàng)采用缺省值。
單擊“應(yīng)用”。
在“接口列表”中，單擊GE0/0/2對(duì)應(yīng)的。
在“修改GigabitEthernet”界面中，配置如下：
安全區(qū)域：untrust
IP地址：202.10.10.1
子網(wǎng)掩碼：255.255.255.0
其他配置項(xiàng)采用缺省值。
單擊“應(yīng)用”。
對(duì)于USG系列，配置域間包過(guò)濾，以保證網(wǎng)絡(luò)基本通信正常。對(duì)于USG BSR/HSR系列，不需要執(zhí)行此步驟。
配置Local安全區(qū)域和Untrust安全區(qū)域之間的安全策略。
選擇“防火墻 > 安全策略 > 本地策略”。
在“對(duì)設(shè)備訪問(wèn)控制列表”中，單擊“Untrust”下的“默認(rèn)”所在行的。
在“修改對(duì)設(shè)備訪問(wèn)控制”界面中，選擇“動(dòng)作”為“permit”。
單擊“應(yīng)用”。
配置Trust安全區(qū)域和Untrust安全區(qū)域之間的安全策略。
選擇“防火墻 > 安全策略 > 轉(zhuǎn)發(fā)策略”。
在“轉(zhuǎn)發(fā)策略列表”中，單擊“untrust->trust”下的“默認(rèn)”所在行的。
在“修改轉(zhuǎn)發(fā)策略”界面中，選擇“動(dòng)作”為“permit”。
單擊“應(yīng)用”。
在“轉(zhuǎn)發(fā)策略列表”中，單擊“trust->untrust”下的“默認(rèn)”所在行的。
在“修改轉(zhuǎn)發(fā)策略”界面中，選擇“動(dòng)作”為“permit”。
單擊“應(yīng)用”。
創(chuàng)建虛擬網(wǎng)關(guān)。
選擇“VPN > SSL VPN > 虛擬網(wǎng)關(guān)管理”。
單擊“新建”。
配置虛擬網(wǎng)關(guān)參數(shù)。
單擊“應(yīng)用”。
配置DNS服務(wù)器。
選擇“VPN > SSL VPN > 虛擬網(wǎng)關(guān)列表”。
在“虛擬網(wǎng)關(guān)列表”導(dǎo)航樹(shù)中選擇“虛擬網(wǎng)關(guān)列表 > test > 網(wǎng)絡(luò)配置”。
單擊“首選DNS服務(wù)器 ”和“DNS domain”對(duì)應(yīng)的，配置DNS服務(wù)器地址和域名。
單擊“首選DNS服務(wù)器”和“DNS domain”對(duì)應(yīng)的，完成配置。
配置網(wǎng)絡(luò)擴(kuò)展。
在“虛擬網(wǎng)關(guān)列表”導(dǎo)航樹(shù)中選擇“虛擬網(wǎng)關(guān)列表 > test > 網(wǎng)絡(luò)擴(kuò)展”。
選中“啟用網(wǎng)絡(luò)擴(kuò)展功能”前的復(fù)選框，啟用網(wǎng)絡(luò)擴(kuò)展功能。
選中“保持連接”、“啟用點(diǎn)對(duì)點(diǎn)通訊”前的復(fù)選框。
 說(shuō)明：
啟用保持連接功能后，客戶(hù)端會(huì)定時(shí)向網(wǎng)關(guān)發(fā)送報(bào)文，確保客戶(hù)端和虛擬網(wǎng)關(guān)的網(wǎng)絡(luò)擴(kuò)展連接不會(huì)因?yàn)镾SL會(huì)話超時(shí)而斷開(kāi)。
啟用點(diǎn)對(duì)點(diǎn)通訊功能后，接入同一虛擬網(wǎng)關(guān)的用戶(hù)可以互相通訊，如同在一個(gè)局域網(wǎng)內(nèi)部。
在“客戶(hù)端IP分配方式”區(qū)域框中，分配客戶(hù)端使用的IP地址。
 注意：
在配置虛擬IP地址池時(shí)，虛擬IP地址池范圍內(nèi)的IP地址不能為虛擬網(wǎng)關(guān)或接口的IP地址，也不能為內(nèi)網(wǎng)存在的IP地址。
在“客戶(hù)端路由方式”區(qū)域框中，選中“手動(dòng)模式”前的單選按鈕。
單擊“添加網(wǎng)段”，添加客戶(hù)端可以通過(guò)虛擬網(wǎng)關(guān)訪問(wèn)的內(nèi)網(wǎng)資源。
 說(shuō)明：
選擇“手動(dòng)模式”，外網(wǎng)用戶(hù)可以訪問(wèn)遠(yuǎn)端企業(yè)內(nèi)網(wǎng)特定網(wǎng)段的資源，對(duì)Internet和本地局域網(wǎng)的訪問(wèn)不受影響。網(wǎng)段沖突時(shí)優(yōu)先訪問(wèn)遠(yuǎn)端企業(yè)內(nèi)網(wǎng)。
在“用戶(hù)虛擬IP處理方式”區(qū)域框中，選中“清除不在新地址范圍內(nèi)的用戶(hù)虛擬IP”前的單選按鈕，清除虛擬網(wǎng)關(guān)內(nèi)不在新地址段內(nèi)的用戶(hù)虛擬IP。
單擊“應(yīng)用”。
導(dǎo)入CA證書(shū)。
在“虛擬網(wǎng)關(guān)列表”導(dǎo)航樹(shù)中選擇“虛擬網(wǎng)關(guān)列表 > test > SSL配置”。
在“CA證書(shū)信息”區(qū)域框中，單擊“導(dǎo)入CA證書(shū)”文本框右側(cè)的“瀏覽”，定位CA證書(shū)。
單擊“上傳”。
配置證書(shū)挑戰(zhàn)。
在“虛擬網(wǎng)關(guān)列表”導(dǎo)航樹(shù)中選擇“虛擬網(wǎng)關(guān)列表 > test > 認(rèn)證授權(quán)配置”。
選擇“認(rèn)證授權(quán)方式”頁(yè)簽。
選中“需要用戶(hù)提供證書(shū)”前的復(fù)選框。
單擊優(yōu)先級(jí)“1”對(duì)應(yīng)的操作，選擇認(rèn)證授權(quán)方式為證書(shū)挑戰(zhàn)，輔助認(rèn)證方式為VPNDB。并設(shè)置為需要用戶(hù)提供證書(shū)。
單擊，完成認(rèn)證授權(quán)方式配置。
選擇“證書(shū)認(rèn)證配置”頁(yè)簽。
在“證書(shū)挑戰(zhàn)”區(qū)域框中，單擊“修改”，配置提取證書(shū)用戶(hù)過(guò)濾字段為缺省值。
單擊“確定”，完成證書(shū)挑戰(zhàn)的配置。
配置VPNDB用戶(hù)。
在“虛擬網(wǎng)關(guān)列表”導(dǎo)航樹(shù)中選擇“虛擬網(wǎng)關(guān)列表 > test > VPNDB配置”。
選擇“用戶(hù)管理”頁(yè)簽，單擊“新建”。
在“添加用戶(hù)”區(qū)域框中，配置VPNDB用戶(hù)user，密碼為User12345。 說(shuō)明：
此處的用戶(hù)名要和客戶(hù)端證書(shū)的名稱(chēng)保持一致。
單擊“應(yīng)用”。
重復(fù)上述配置步驟，將所有需要訪問(wèn)內(nèi)網(wǎng)資源的用戶(hù)添加到USG。
 說(shuō)明：
如果用戶(hù)較多，可以在“批量導(dǎo)入用戶(hù)”區(qū)域框中，批量導(dǎo)入用戶(hù)。
配置虛擬網(wǎng)關(guān)源IP策略，禁止IP網(wǎng)段為7.1.1.0/24的客戶(hù)端訪問(wèn)虛擬網(wǎng)關(guān)。
在“虛擬網(wǎng)關(guān)列表”導(dǎo)航樹(shù)中選擇“虛擬網(wǎng)關(guān)列表 > test > 策略配置”。
選擇“虛擬網(wǎng)關(guān)源IP策略”頁(yè)簽，單擊“新建”。
配置源IP策略。
單擊“應(yīng)用”。
在需要訪問(wèn)虛擬網(wǎng)關(guān)的PC端安裝客戶(hù)端證書(shū)。
 注意：
PC端必須要安裝與設(shè)備上導(dǎo)入的CA證書(shū)相對(duì)應(yīng)的客戶(hù)端證書(shū)，才能認(rèn)證通過(guò)。
在PC上打開(kāi)IE瀏覽器，在工具欄中依此選擇“工具 > Internet選項(xiàng)”。
在“內(nèi)容”界面中選擇“證書(shū)”。
單擊“導(dǎo)入”，根據(jù)證書(shū)導(dǎo)入向?qū)В瑥谋镜剡x擇客戶(hù)端證書(shū)user.p12，導(dǎo)入到PC中。
 說(shuō)明：
如果證書(shū)中設(shè)置了私鑰密碼，請(qǐng)?jiān)?ldquo;密碼”界面中輸入相應(yīng)的私鑰密碼。
證書(shū)導(dǎo)入成功后，會(huì)彈出“導(dǎo)入成功”的提示框。
證書(shū)導(dǎo)入完畢后，關(guān)閉“證書(shū)”窗口，并單擊“確定”，退出“Internet選項(xiàng)”窗口。

結(jié)果驗(yàn)證

企業(yè)員工在外部網(wǎng)絡(luò)（非7.1.1.0/24網(wǎng)段）的IE瀏覽器中輸入https://202.10.10.1，進(jìn)入虛擬網(wǎng)關(guān)登錄界面。
輸入在USG上配置的密碼，并在下拉列表中選擇有效證書(shū)為“user”，單擊“登錄”，通過(guò)客戶(hù)端證書(shū)認(rèn)證，登錄虛擬網(wǎng)關(guān)。顯示界面如圖10-103所示。
圖10-103  虛擬網(wǎng)關(guān)客戶(hù)端 

在“網(wǎng)絡(luò)擴(kuò)展”區(qū)域框中，單擊“啟動(dòng)”，啟用網(wǎng)絡(luò)擴(kuò)展功能后，客戶(hù)端可以獲取192.168.1.50/24～192.168.1.150/24范圍內(nèi)的IP地址，訪問(wèn)企業(yè)內(nèi)網(wǎng)資源，同時(shí)訪問(wèn)Internet不受限制。
 說(shuō)明：
客戶(hù)端第一次啟用網(wǎng)絡(luò)擴(kuò)展功能時(shí)，客戶(hù)端可能會(huì)收到虛擬網(wǎng)關(guān)發(fā)送的Active控件，需要按提示安裝后才能正常使用網(wǎng)絡(luò)擴(kuò)展功能。
不同版本的虛擬網(wǎng)關(guān)會(huì)要求客戶(hù)端安裝不同版本的Active控件。當(dāng)客戶(hù)端訪問(wèn)不同版本虛擬網(wǎng)關(guān)時(shí)，請(qǐng)?jiān)谠L問(wèn)新的虛擬網(wǎng)關(guān)前先將舊的Active控件刪除，再安裝新的Active控件，以免由于Active控件版本不一致導(dǎo)致網(wǎng)絡(luò)擴(kuò)展功能不可用。
以客戶(hù)端為一臺(tái)PC為例，執(zhí)行以下命令來(lái)刪除控件：
PC> regsvr32 SVNIEAgt.ocx -u -s
PC> del %systemroot%\SVNIEAgt.ocx /q
PC> del %systemroot%\"Downloaded Program Files"\SVNIEAgt.inf /q
PC> cd  %appdata%
PC> rmdir svnclient /q /s
7.1.1.0/24網(wǎng)段的客戶(hù)端在IE瀏覽器中輸入https://202.10.10.1后，頁(yè)面提示訪問(wèn)受限，無(wú)法訪問(wèn)虛擬網(wǎng)關(guān)。
以上文章由北京艾銻無(wú)限科技發(fā)展有限公司整理