資源描述:
《usg防火墻ssl vpn配置案例》由會員上傳分享,免費在線閱讀,更多相關內容在教育資源-天天文庫。
1、文檔名稱文檔密級配置SSLVPNSSLVPN通過SSL協(xié)議和代理功能,實現(xiàn)遠程用戶安全地訪問內網資源?!づ渲肳eb代理舉例Web代理支持外網用戶通過USG訪問內網的Web服務器資源,為用戶提供基于HTTP方式的Web應用服務?!づ渲镁W絡擴展舉例網絡擴展是指用戶在本地PC上安裝USG的網絡擴展客戶端后,生成一個虛擬網卡,用戶通過該虛擬網卡與企業(yè)內網進行SSL數(shù)據通信?!づ渲枚丝谵D發(fā)舉例端口轉發(fā)業(yè)務是提供基于TCP的應用程序的安全接入,是一種非Web的應用方式。端口轉發(fā)在應用級對用戶訪問進行控制,控制是否提供各種應用的服務
2、,如:Telnet、遠程桌面、FTP、Email等服務?!づ渲梦募蚕砼e例文件共享的主要功能是將不同系統(tǒng)的服務器(如支持SMB協(xié)議的Windows系統(tǒng),支持NFS協(xié)議的Linux系統(tǒng))的共享資源以網頁的形式提供給用戶訪問。配置Web代理舉例Web代理支持外網用戶通過USG訪問內網的Web服務器資源,為用戶提供基于HTTP方式的Web應用服務。組網需求當USG接收到用戶的HTTP請求時,USG作為Web代理從內網Web服務器上獲取正確的Web資源返回給用戶。如圖1所示,在USG創(chuàng)建一個名為test的虛擬網關,用戶可通過此
3、虛擬網關訪問企業(yè)內網的Web資源。虛擬網關的IP地址為202.1.1.1/24。具體業(yè)務需求如下:·企業(yè)內部有眾多Web應用,希望用戶能在企業(yè)外部訪問這些資源,例如Web郵件系統(tǒng),外網用戶可在登錄虛擬網關后通過http://10.1.1.5或http://webmail.internal.com訪問?!て髽I(yè)內網的DNS地址為10.1.1.2/24,域名為internal.com。·虛擬網關采用VPNDB的認證授權方式。用戶abc的密碼為123。2021-6-18華賽機密,未經許可不得擴散第22頁,共22頁文檔名稱文檔密
4、級·只允許用戶abc通過IP地址2.2.2.1/24訪問虛擬網關。圖1配置Web代理組網圖配置思路1.配置USG相關接口的IP地址,把接口加入相應的安全域,并配置域間包過濾規(guī)則。2.創(chuàng)建虛擬網關,配置虛擬網關屬性。3.配置DNS服務器。4.配置Web代理功能,使用戶可訪問內網Web資源。5.配置認證授權方式為VPNDB。6.配置添加VPNDB用戶。7.配置用戶源IP型策略,只允許用戶通過特定IP地址訪問虛擬網關。8.配置用戶源IP策略默認行為為“限制”,限制其他用戶訪問內網資源。操作步驟1.配置USG的基本數(shù)據。#配置
5、以太網接口GigabitEthernet0/0/0的IP地址。system-view[USG]interfaceGigabitEthernet0/0/0[USG-GigabitEthernet0/0/0]ipaddress202.1.1.124[USG-GigabitEthernet0/0/0]quit#配置以太網接口GigabitEthernet0/0/1的IP地址。[USG]interfaceGigabitEthernet0/0/1[USG-GigabitEthernet0/0/1]ipaddress10
6、.1.1.1242021-6-18華賽機密,未經許可不得擴散第22頁,共22頁文檔名稱文檔密級[USG-GigabitEthernet0/0/1]quit#配置以太網接口GigabitEthernet0/0/0加入Unrust域。[USG]firewallzoneuntrust[USG-zone-untrust]addinterfaceGigabitEthernet0/0/0[USG-zone-untrust]quit#配置以太網接口GigabitEthernet0/0/1加入Trust域。[USG]firewallz
7、onetrust[USG-zone-trust]addinterfaceGigabitEthernet0/0/1USG-zone-trust]quit#配置USG缺省域間包過濾規(guī)則。[USG]firewallpacket-filterdefaultpermitinterzonelocaltrust[USG]firewallpacket-filterdefaultpermitinterzonelocaluntrust1.創(chuàng)建虛擬網關test。#添加名稱為test的虛擬網關,虛擬網關URL為www.test.com,虛擬網
8、關IP地址為202.1.1.1/24,選擇獨占型。[USG]v-gatewaytest202.1.1.1privatewww.test.com[USG-test]quit2.配置虛擬網關信息。#修改虛擬網關最大用戶數(shù)。[USG]v-gatewaytestmax-user100#修改虛擬網關最大并發(fā)用戶數(shù)。[USG]v-gatewa