Loading... <p> </p> <p>注意:本文仅对WebVPN特性和配置作介绍,不包含SSL VPN配置,SSL VPN配置将在本版的后续文章中进行介绍。 </p> <p><a href="https://www.crazycen.com/usr/uploads/2011/04/457d2bd19e6a143f9b502782.jpg"><img title="457d2bd19e6a143f9b502782" style="border-right: 0px; border-top: 0px; display: inline; border-left: 0px; border-bottom: 0px" height="372" alt="457d2bd19e6a143f9b502782" src="https://www.crazycen.com/usr/uploads/2011/04/457d2bd19e6a143f9b502782_thumb.jpg" width="643" border="0" /></a> </p> <p>在做实验之前让我们先来了解一下SSL VPN。 <br /> 目前市场上VPN产品很多,而且技术各异,就比如传统的 IPSec VPN 来讲, SSL 能让公司实现更多远程用户在不同地点接入,实现更多网络资源访问,且对客户端设备要求低,因而降低了配置和运行支撑成本。很多企业用户采纳 SSL VPN 作为远程安全接入技术,主要看重的是其接入控制功能。 <br />SSL VPN 提供增强的远程安全接入功能。 IPSec VPN 通过在两站点间创建隧道提供直接(非代理方式)接入,实现对整个网络的透明访问;一旦隧道创建,用户 PC 就如同物理地处于企业 LAN 中。这带来很多安全风险,尤其是在接入用户权限过大的情况下。 SSL VPN 提供安全、可代理连接,只有经认证的用户才能对资源进行访问,这就安全多了。 SSL VPN 能对加密隧道进行细分,从而使得终端用户能够同时接入 Internet 和访问内部企业网资源,也就是说它具备可控功能。另外, SSL VPN 还能细化接入控制功能,易于将不同访问权限赋予不同用户,实现伸缩性访问;这种精确的接入控制功能对远程接入 IPSec VPN 来说几乎是不可能实现的。 <br />SSL VPN 基本上不受接入位置限制,可以从众多 Internet 接入设备、任何远程位置访问网络资源。 SSL VPN 通信基于标准 TCP/UDP 协议传输,因而能遍历所有 NAT 设备、基于代理的防火墙和状态检测防火墙。这使得用户能够从任何地方接入,无论是处于其他公司网络中基于代理的防火墙之后,或是宽带连接中。 IPSec VPN 在稍复杂的网络结构中难于实现,因为它很难实现防火墙和 NAT 遍历,无力解决 IP 地址冲突。另外, SSL VPN 能实现从可管理企业设备或非管理设备接入,如家用 PC 或公共 Internet 接入场所,而 IPSec VPN 客户端只能从可管理或固定设备接入。随着远程接入需求的不断增长,远程接入 IPSec VPN 在访问控制方面受到极大挑战,而且管理和运行支撑成本较高,它是实现点对点连接的最佳解决方案,但要实现任意位置的远程安全接入, SSL VPN 要理想得多。 <br />SSL VPN 不需要复杂的客户端支撑,这就易于安装和配置,明显降低成本。 IPSec VPN 需要在远程终端用户一方安装特定设备,以建立安全隧道,而且很多情况下在外部(或非企业控制)设备中建立隧道相当困难。另外,这类复杂的客户端难于升级,对新用户来说面临的麻烦可能更多,如系统运行支撑问题、时间开销问题、管理问题等。 IPSec 解决方案初始成本较低,但运行支撑成本高。如今,已有 SSL 开发商能提供网络层支持,进行网络应用访问,就如同远程机器处于 LAN 中一样;同时提供应用层接入,进行 Web 应用和许多客户端 / 服务器应用访问。</p> <p>了解了上述基本因素之后,下面我们将开始实验:</p> <p>第一步,ASA的基本配置:</p> <p>Archasa(config)# int e0/0</p> <p>Archasa(config-if)# ip add 192.168.0.1 255.255.255.0</p> <p>Archasa(config-if)# nameif outside</p> <p>Archasa(config-if)# no shut</p> <p>Archasa(config-if)# exit</p> <p>Archasa(config)# int e0/1</p> <p>Archasa(config-if)# ip add 172.20.59.10 255.255.255.0</p> <p>Archasa(config-if)# nameif inside</p> <p>Archasa(config-if)# no shut</p> <p>Archasa(config-if)# exit</p> <p>Archasa(config)# webvpn</p> <p>Archasa(config-webvpn)# enable outside</p> <p>Archasa(config-webvpn)# svc image disk0:/sslclient-win-1.1.2.169.pkg</p> <p>Archasa(config-webvpn)# svc enable</p> <p>#上述配置是在外网口上启动WEBVPN,并同时启动SSL VPN功能</p> <p>2、SSL VPN配置准备工作</p> <p>#创建SSL VPN用户地址池</p> <p>Archasa(config)# ip local pool ssl-user 10.10.10.1-10.10.10.50</p> <p>#配置SSL VPN数据流不做NAT翻译</p> <p>Archasa(config)# access-list go-vpn permit ip 172.20.50.0 255.255.255.0 10.10.10.0</p> <p>255.255.255.0</p> <p>Archasa(config)# nat (inside) 0 access-list go-vpn</p> <p>3、WEB VPN隧道组与策略组的配置</p> <p>#创建名为mysslvpn-group-policy的组策略</p> <p>Archasa(config)# group-policy mysslvpn-group-policy internal</p> <p>Archasa(config)# group-policy mysslvpn-group-policy attributes</p> <p>Archasa(config-group-policy)# vpn-tunnel-protocol webvpn</p> <p>Archasa(config-group-policy)# webvpn</p> <p>#在组策略中启用SSL VPN</p> <p>Archasa(config-group-webvpn)# svc enable</p> <p>Archasa(config-group-webvpn)# exit</p> <p>Archasa(config-group-policy)# exit</p> <p>Archasa(config)#</p> <p>#创建SSL VPN用户</p> <p>Archasa(config-webvpn)# username test password woaicisco</p> <p>#把mysslvpn-group-plicy策略赋予用户test</p> <p>Archasa(config)# username test attributes</p> <p>Archasa(config-username)# vpn-group-policy mysslvpn-group-policy</p> <p>Archasa(config-username)# exit</p> <p>Archasa(config)# tunnel-group mysslvpn-group type webvpn</p> <p>Archasa(config)# tunnel-group mysslvpn-group general-attributes</p> <p>#使用用户地址池</p> <p>Archasa(config-tunnel-general)# address-pool ssl-user</p> <p>Archasa(config-tunnel-general)# exit</p> <p>Archasa(config)# tunnel-group mysslvpn-group webvpn-attributes</p> <p>Archasa(config-tunnel-webvpn)# group-alias group2 enable</p> <p>Archasa(config-tunnel-webvpn)# exit</p> <p>Archasa(config)# webvpn</p> <p>Archasa(config-webvpn)# tunnel-group-list enable</p> <p>4、配置SSL VPN隧道分离</p> <p>#注意,SSL VPN隧道分离是可选取的,可根据实际需求来做。</p> <p>#这里的源地址是ASA的INSIDE地址,目标地址始终是ANY</p> <p>Archasa(config)# access-list split-ssl extended permit ip 10.10.1.0 255.255.255.0 any</p> <p>Archasa(config)# group-policy mysslvpn-group-policy attributes</p> <p>Archasa(config-group-policy)# split-tunnel-policy tunnelspecified</p> <p>Archasa(config-group-policy)# split-tunnel-network-list value split-ssl</p> <p>基本上整个配置就完成了,下面可以进行测试:</p> <p>在浏览器中输入<span class="external-link"><a class="no-external-link" href="https://192.168.0.xn--1web-qr9l020c/" target="_blank"><i data-feather="external-link"></i>https://192.168.0.1访问WEB</a></span> VPN,在随后弹出的对话框中输入用户名和密码单击登陆。</p> <p>这时系统会弹出要求安装SSL VPN CLIENT程序,单击“YES”,系统自动安装并连接SSLVPN,在SSLVPN连通之后在您的右下角的任务栏上会出现一个小钥匙状,你可以双击打开查看其状态。</p> <p>有不对的地方请予以指正,谢谢!</p> Last modification:October 6, 2023 © Allow specification reprint Support Appreciate the author AliPayWeChat Like 如果觉得我的文章对你有用,请随意赞赏