深信服SSL-VPN使用手册

SSL5.5用片手册SANGFOR■dT深信服科技2012年3月目录SSL5.5用户手册1声明8.错误!未定义书签。错误!未定义书签。错误!未定义书签。错误!未定义书签。错误!未定义书签。错误!未定义书签。错误!未定义书签。手册内容本书约定图形界面格式约定各类标志技术支持致谢第1章VPN设备的安装错误!未定义书签。错误!未定义书签。错误!未定义书签。错误!未定义书签。错误!未定义书签。错误!未定义书签。9环境要求电源产品外观TOC\o"1-5"\h\z配置与管理.设备接线方式第2章控制台的使用HYPERLINK\l"bookmark4"\o"CurrentDocument"登录WebUI配置界面9HYPERLINK\l"bookmark8"\o"CurrentDocument"运行状态10系统状态错误!未定义书签。在线用户错误!未定义书签。告警日志错误!未定义书签。远程应用错误!未定义书签。第3章系统设置11系统配置错误!未定义书签。序列号管理错误!未定义书签。日期与时间错误!未定义书签。控制台配置错误!未定义书签。外置数据中心错误!未定义书签。设备证书错误!未定义书签。邮件服务器错误!未定义书签。网络配置错误!未定义书签。部署模式错误!未定义书签。多线路错误!未定义书签。路由设置错误!未定义书签。HOSTS错误!未定义书签。DHCP错误!未定义书签。本地子网错误!未定义书签。时间计划错误!未定义书签。管理员账号错误!未定义书签。SSLVPN选项错误!未定义书签。系统选项错误!未定义书签。接入选项错误!未定义书签。客户端选项错误!未定义书签。虚拟IP池错误！未定义书签。内网域名解析错误!未定义书签。单点登录设置错误！未定义书签。资源服务选项错误！未定义书签。WEB应用错误！未定义书签。TCP应用错误！未定义书签。L3VPN应用错误！未定义书签。其他设置错误！未定义书签。网络传输优化错误！未定义书签。传输优化错误！未定义书签。WEB优化错误！未定义书签。WEBCache错误！未定义书签。登录策略错误！未定义书签。登录策略错误！未定义书签。模板管理错误！未定义书签。图标管理错误！未定义书签。集群部署错误！未定义书签。集群中的各元素定义与简介错误！未定义书签。集群的主要特性错误！未定义书签。部署方式错误！未定义书签。集群部署设置错误！未定义书签。集群部署状态错误！未定义书签。集群在线用户错误！未定义书签。分布式部署错误！未定义书签。第4章SSLVPN设置错误！未定义书签。用户管理错误！未定义书签。新建用户组错误！未定义书签。新建用户错误！未定义书签。高级搜索错误！未定义书签。特征码管理错误！未定义书签。导入用户错误！未定义书签。其他操作错误！未定义书签。导出错误！未定义书签。绑定角色错误！未定义书签。从账号设置错误！未定义书签。批量生成证书错误！未定义书签。批量创建USB-KEY错误！未定义书签。查看资源错误！未定义书签。资源管理错误！未定义书签。资源组错误！未定义书签。WEB应用错误！未定义书签。TCP应用错误！未定义书签。L3VPN错误！未定义书签。远程应用错误!未定义书签。其它操作错误!未定义书签。导出操作错误!未定义书签。导入操作错误!未定义书签。资源排序错误!未定义书签。角色授权错误!未定义书签。新建角色错误!未定义书签。生成权限报告错误!未定义书签。认证设置错误!未定义书签。主要认证错误!未定义书签。本地密码认证错误!未定义书签。LDAP认证错误!未定义书签。RADIUS认证错误!未定义书签。证书与USB-KEY认证错误!未定义书签。辅助认证错误!未定义书签。短信验证码错误!未定义书签。通过设备内置短信模块发送错误!未定义书签。通过安装在外部服务器上的短信模块发送错误!未定义书签。使用运营商短信网关错误!未定义书签。硬件特征码错误!未定义书签。动态令牌认证错误!未定义书签。认证选项设置错误!未定义书签。LDAP与Radius服务器认证优先级设置错误!未定义书签。密码认证选项错误!未定义书签。匿名登录设置错误!未定义书签。策略组管理错误!未定义书签。客户端选项错误!未定义书签。账号控制错误!未定义书签。安全桌面错误!未定义书签。远程应用错误!未定义书签。终端服务器管理错误!未定义书签。新增远程应用服务器错误!未定义书签。新增远程存储服务器错误!未定义书签。端点安全错误!未定义书签。端点安全规则错误!未定义书签。端点安全策略错误!未定义书签。内置规则库升级错误!未定义书签。第5章VPN信息设置12运行状态12基本设置错误!未定义书签。虚拟IP池错误!未定义书签。用户管理错误!未定义书签。连接管理错误!未定义书签。隧道间路由错误!未定义书签。选路策略错误!未定义书签。算法设置错误!未定义书签。内网服务错误!未定义书签。组播服务错误!未定义书签。TOC\o"1-5"\h\zHYPERLINK\l"bookmark16"\o"CurrentDocument"RIP设置13HYPERLINK\l"bookmark20"\o"CurrentDocument"VPN接口15HYPERLINK\l"bookmark22"\o"CurrentDocument"LDAP设置15HYPERLINK\l"bookmark24"\o"CurrentDocument"Radius设置18生成证书18三方对接20一阶段20二阶段22安全选项24第6章防火墙设置错误!未定义书签。服务定义错误!未定义书签。IP组定义错误!未定义书签。过滤规则设置错误!未定义书签。案例学习错误!未定义书签。NAT设置错误!未定义书签。代理上网设置错误!未定义书签。端口映射设置错误!未定义书签。案例学习错误!未定义书签。IPMAC绑定设置错误!未定义书签。HTTP端口设置错误!未定义书签。URL组设置错误!未定义书签。外部服务组设置错误!未定义书签。用户上网权限设置错误!未定义书签。访问监控错误!未定义书签。流量排名错误!未定义书签。访问记录错误!未定义书签。防DOS攻击错误!未定义书签。QOS级别设置错误!未定义书签。QOS上传规则设置错误!未定义书签。QOS下载规则设置错误!未定义书签。第7章系统维护错误!未定义书签。日志查看错误!未定义书签。配置备份/恢复错误!未定义书签。重启/重启服务/关机错误!未定义书签。系统更新错误!未定义书签。第8章SSLVPN客户端使用26环境要求错误!未定义书签。典型使用方法举例错误!未定义书签。SSLVPN客户端使用说明30第9章案例集错误!未定义书签。部署配置案例错误!未定义书签。网关单线路模式部署错误!未定义书签。网关多线路模式部署错误!未定义书签。单臂单线路模式部署错误!未定义书签。单臂多线路模式部署错误!未定义书签。系统路由案例错误!未定义书签。虚拟门户配置案例错误!未定义书签。负载均衡集群部署案例错误!未定义书签。网关模式部署集群错误!未定义书签。单臂模式部署集群错误!未定义书签。网关模式多线路集群部署错误!未定义书签。单臂模式多线路集群部署错误!未定义书签。新建用户配置案例错误!未定义书签。资源配置案例错误!未定义书签。WEB应用错误!未定义书签。WEB应用配置案例错误!未定义书签。资源地址伪装案例错误!未定义书签。WEB文件共享配置案例错误!未定义书签。EasyLink配置案例错误!未定义书签。TCP应用错误!未定义书签。TCP应用配置案例错误!未定义书签。URL访问控制配置案例错误!未定义书签。L3VPN应用错误!未定义书签。L3VPN应用配置案例错误!未定义书签。远程应用错误!未定义书签。远程应用配置案例错误!未定义书签。外部认证配置案例错误!未定义书签。结合第三方CA实现数字证书认证错误!未定义书签。CA中心映射规则配置案例错误!未定义书签。单点登录配置案例错误!未定义书签。单点登录配置案例错误!未定义书签。远程发布的单点登录配置案例错误!未定义书签。安全桌面配置案例错误!未定义书签。PPTP方式接入SSLVPN的配置案例错误！未定义书签。EasyConnect使用方法错误！未定义书签。IPSECVPN配置案例错误！未定义书签。隧道内NAT配置案例错误！未定义书签。通过隧道间路由实现VPN客户端之间互访的案例错误！未定义书签。内网权限的设置案例错误！未定义书签。IPSECVPN互连配置案例错误！未定义书签。防火墙配置案例错误！未定义书签。过滤规则设置案例错误！未定义书签。代理上网设置案例错误！未定义书签。端口映射设置案例错误！未定义书签。1综合案例错误!未定义书签。客户环境与需求错误!未定义书签。配置思路错误!未定义书签。SSL设备配置步骤错误!未定义书签。第10章附录：网关升级客户端的使用错误!未定义书签。产品升级步骤错误!未定义书签。声明Copyright?2012深圳市深信服电子科技有限公司及其许可者版权所有，保留一切权利。未经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式传播。SINFOR、SANGFOR及零图标为深圳市深信服电子科技有限公司的商标。对于本手册出现的其他公司的商标、产品标识和商品名称，由各自权利人拥有。除非另有约定，本手册仅作为使用指导，本手册中的所有陈述、信息和建议不构成任何明示或暗示的担保。本手册内容如发生更改，恕不另行通知。如需要获取最新手册，请联系深信服电子科技有限公司客户服务部。第1章控制台的使用1.1.登录WebUI配置界面按照前面所示方法接好线后，通过Web界面来配置VPN设备。方法如下：首先为本机器配置一个10.254.254.X网段的IP（如配置10.254.254.100）,掩码配置为255.255.255.0,然后在IE浏览器中输入网关的默认登录IP及端口，输入http://1。254.254.254:1000,页面如下：在登录框输入『用户名』和『密码』，点击卷函钮即可登录VPN网关进行配置,默认情况下的用户名和密码均为：Admin。如果需要查看当前网关的版本号，可点击查看板本，即显示当前硬件的版本信息。登录WebUI配置界面后，可以看到有以下配置内容:如下图所示:『运行状态』：此处可以查看当前设备的运行状态。『系统设置』：此处可设置设备的序列号、网络配置及各种常见全局性配置。『SSLVPN设置』：设置SSLVPN相关信息。『IPSECVPN设置』：设置IPSECVPN互联信息。『防火墙设置』：设置设备内置的防火墙规则及策略。『系统维护』：用来查看日志、备份/恢复设备的配置信息，重启设备/服务或关闭设备。△注意：所有配置界面中如果有［确定］、［保存］、［配置生效］按钮，则配置完毕后，必须要点击该按钮才能使设置保存并生效，后面的文档不再赘述。运行状态『SSLVPN运行状态』里面可以查看『系统状态』，『在线用户』，『告警日志』，『远程应用』。界面如下图所示：第2章系统设置『系统设置』包含『系统配置』，『网络配置』，『时间计划』，『管理员账号』，『SSLVPN选项』五个大模块。如下图：，系统设置*第绩系量网霜配爱3时闾计划管理员帐号[SSLVPV选项第3章VPN信息设置运行状态此页面可以查看当前的VPN连接状态和网络流量信息。页面如下:点击卡支NAT下研I以查看当前分支NAT状态，包括用户名、原子网网段、代理子网网段、网络类型和子网掩码。页面如下:点击查找用户输入用户名，可以快速找到当前用户的连接情况。页面如下:点击显示选项，可以对显示的列进行筛选。页面如下:点击停止服务可暂时停止VPN服务。然后在『用户管理』新建用户时，在『组播服务』里选择刚定义好的组播服务。页面如下：RIP设置用于设置SANGFORVPN设备通过RIPv2协议向其它路由设备通告路由信息，以实现内网路由设备RIP路由信息的动态更新。»动态路由选择信息恤谀设f?□启用路由选择信息协议启用密口购证HF地址：需裁蛾更新更器周期骷）:□记聂日志［启用路由选择信息协议］:是整个动态路由更新功能的开关，激活后，SANGFORVPN设备会向所设置的内网路由设备通告已与本端建立VPN连接的对端网络的信息（更新其他设备的路由表，添加到VPN对端的路由指向SANGFORVPN设备，VPN连接断开后会通告路由设备删除该路由）。忙设备本身不接收RIP路由协议的动态更新，VPN设备要跟其他启用了RIP协议的内网路由器通讯，则需要在VPN设备上手动添加静态路由。［启用密码验证］:用于设置交换RIPv2协议信息时需要验证的密码，可视具体情况进行设置。『IP地址』和『端口』：用于设置主动向哪个IP（路由设备IP）发布路由更新信息。［需要触发更新］:勾选后，VPN设备在路由信息有变化时会触发路由更新信息过程，这时下面设置的RIP更新周期参数失效。［记录日志］:勾选，则VPN设备会记录RIP路由更新的日志信息。最后点击碓回存配置。VPN接口VPN接口设置，用于设置VPN服务虚拟网卡IP。页面如下:注意：默认情况下请设置为[使用自动分配的VPN接口IP],如果出现IP冲突的提示，可改为自定义IP并进行设置。3VPN接口是VPN硬件网关系统的虚拟接口，外观上并不存在对应的真实物理接口。LDAP设置SANGFORVPN设备的VPN服务支持使用第三方LDAP认证。如需要启用第三方认证，请在『LDAP服务器设置』中正确设置第三方LDAP服务器信息（包括LDAP服务器IP、LDAP服务器端口、LDAP管理员密码），页面如下:其中，管理员名称需使用域管理员帐号，并且填写完整的格式，例如："”（不包括引号）设置好LDAP服务器信息后，请点击高区T邛示【LDAP高级设置】对话框，按照实际需求设置LDAP高级信息，页面如下：『用户过滤参数』和『登录名属性』保留默认值即可，填写好用户根目录及查询目录（用户接入校验时都是使用查询目录来查询并校验的，只有有当查询目录为空的时候才用根目录，导入用户的时候使用用户根目录来导入）。下:点击叵）输入一个域用户名及密码，如果测试通过，则LDAP配置正确，页面如点确定丰成配置。荀LDAP认证仅支持微软的AD和Novell的eDirectory两种，OpenLDAP等暂不支持。Radius设置设置界面如下:填写『Radius服务器IP』、『Radius服务器端口』、『认证共享密钥』和『Radius认证协议』。勾选［启用Radius认证］即可。生成证书基于硬件特性的证书认证系统是深信服公司的发明专利之一。SANGFORSSLVPN硬件设备和SANGFORDLANVPN软件一样，都采用了该技术用于不同VPN节点之间的身份认证。该证书提取了SSLVPN设备或安装DLANVPN软件的计算机的部分硬件特性（如网卡、硬盘等）生成加密的认证证书。由于硬件特性的唯一性，使得该证书也是唯一的、不可伪造的。通过对该硬件特性的验证，就保障了只有指定的硬件设备才能接入授权的网络，避免了安全隐患。页面如下：点击不成证书，।选择证书保存路径,点击保存恒口万1登寺整奕C/1,'桌面卜证书保存到本地后，还需要将该证书通过某种方式（如电子邮件或U盘等）提供给需要接入的站点管理员，由该站点管理员将证书与用户名绑定（即在总部建用户时，启用硬件捆绑鉴权，详见5.4章节）。以后该用入接入总部时，会自动验证接入的计算机身份的合法性。第三方对接SANGFORVPN硬件网关提供了与第三方VPN设备互联的功能，能与第三方的标准IPSECVPN设备建立VPN连接。第一阶段『第一阶段』用于设置需要与SANGFORVPN网关建立标准IPSec连接的对端VPN设备的相关信息，也就是标准IPSec协议协商的第一阶段。页面如下：选择线路出口，点击新:曾，显示『设备列表设置』对话框，页面如下:a设备列表设置--网页时话框设备名酬：cisco旌设备地址类型：网端星痢F"・回定EF:191200.200,236「认证方式债共享密钥：［二二•••••；确认密钥回启用设备口启用主动连接aoH确隹-sTS点击区］显示『高级选项』对话框，可进行其它高级设置，页面如下:第二阶段第二阶段主要配置VPN的『入站策略』和『出站策略』，如下图:9WeI人瑞防喻*irAM・安£i£拨住片后曰idklW255.25^.^6.0聃荷IE等际曾子临出NtirHI补・明3RSll-aciii=alitiyaaOiO/2S52嘉255.0-cins.拧E生再mi五主酋上落地土皆u«『入站策略』用于设置由对端发到本端的数据包规则，点击新增，叵）策略设置】对话框，页面如下:刍第唱设置一网页对话柩策喀名痂：Fmm由q口I描在；-n源工F类型：子网+掩码v子网：10.M,0庵码.[255.255.2550对嫡设备：ciscoV-入站服务：回有服务J*生效时间：|全天I3◎在时间生效范圉内允许C在时间生效范围内拒细□启用过期时间过期时间■|口・口mju|*|；RH启用通策喀碉定取消『出站策略』用于设置从本端发往对端的数据包规则，点击新增，叵）策略设置】对话框，页面如下:3策略设詈-网页对话枢策喀乌豌：叵cisco出站策略描世I」派"奘型：型十楂蚂V_子网；［l9Z168J00推吗：|255,255.255.0对端设备；i?i.scov|3性的同28800秒出站服务：所有服③飞安全选项：默M安全选项［寸］生魏时间：全天〜®在时间生效范围内允许。在时间生效范围内孑蹬□吕用过期时间过期时间：卜」-■口口-口口"||口|：|o：|口|0启用读策略H启用密钥完美向前保密u।‘।'I±安全选项『安全选项』用于设置与对端建立标准IPSec连接时所使用的安全参数。页面如下:战安全选项⑦重助名稚杨谀认证菖法加密算法茹述揉作默认安全选项ESTMBS3DES编辑在建立与第三方设备的IPSec连接前，请先确定对端设备采用何种连接策略，包括：使用的『协议』（AH或ESP）、『认证算法』（MD5或SHA-1）、『加密算法』（DES、3DES、AES）,点击标厂|添加新的选项,页面如下：SANGFORVPN网关会使用设置好的连接策略与对端协商建立IPSec连接。『安全选项』中的『加密算法』用于设置标准IPSec连接的第二阶段所使用的需要分别将各个设备使用的数据加密算法，如果要与多个采用不同连接策略的设备互联,连接策略添加到『安全选项』中。『出站策略』和『入站策略』中策略所对应的源IP地址是指『源IP类型』和『本/、『入站服务』和『时间设在与第三方设备建立VPN对端服务』。A注意：『出站策略』和『入站策略』中的『出站服务』置』均为SANGFOR扩展的规则，此类规则仅在本端设备生效,连接的过程中不会协商此类规则。第4章SSLVPN客户端使用SANGFOR登录SSLVPN苴它登录方式二证书壹录USB-Key要录T^U&a-Kev^手动安嗫蛆件下载益ngforTudl工具输入用户名密码及校验码后，点击登录「丽卜登陆SSLVPN。『证书登录』连接用于数字证书认证用户登录（数字证书手动安装在IE上的用户）。『USB-Key登录』用于使用USB-Key认证的用户登录（包括有驱USB-Key和无驱USB-Key）。登录成功后会出现SSLVPN资源列表界面如下:SANGFOR■jJ34[WTMpTrAPI>J界面会显示该SSLVPN用户可用的SSLVPN内网资源列表，对于Web类型或B/S结构的资源，直接点击资源列表中的超链接即可访问，对于其它C/S结构的资源，则可直接打开Client客户端，通过连接服务器的内网IP来访问。如果登录SSLVPN的用户需要访问总部定义好的『TCP应用』和『L3VPN应用』，则登录成功后，会自动安装控件或者需要点击启用|TCP服务叫口斗用L3VPN服务控阳如下图所示：.生境也也无司寺安曩庄耳，:力之丁，月尤的登祐楠上虑期J.,门户同刈HTTP)V注：若在『系统设置』一『SSLVPN选项』一『系统选项』一『客户端选项』勾选了用户登录后，自动安装TCP、L3VPN应用组件，那么SSL客户端登陆时，会自动安装上述两个组件。若没有勾选，则需要在上述页面手动安装。如下图：客户瑞自主义1/1爱有证书吏只有一个证书的时际单出证书范W断线自动重试连搜启用•‘斛统自动重温连接'Ml允许用户选择自动建录伯用■外许用户选择，"I允许用户保存密码川用户登录后,自动安装TCF•5VFH应用组件至此，完成了一次SSLVPN用户登陆的过程。需要退出SSLVPN时，点击右上角的川销按忸,即可安全退出SSLVPN。注销之后,用户将不能访问SSLVPN的资源。资源列表上方的设置按俎，可让用户自行修改密码，界面如下:3更蹩翼m1怖】择讦信旦用件组止吗厘如摩点击［修改］,如下图所示:［关谕修改置码当前密码确认定码修改后，点击保住叶成功修改用户的登录密码。『系统设置』下，显示的内容与SSLVPN配置有关，请以实际显示的为准。对于使用USB-KEY的用户登录SSLVPN的过程，和普通用户登录稍有不同。USB-KEY用户登录时，打开浏览器输入SSLVPN登录网址，在登录界面处，插入USB-Key,点击USB-KEY登录如进入USB-KEY用户的登录界面，（或前面直接取消修改PIN的操作），界面如下:输入用户USB-Key的PIN码，设备会自动校验客户端信息，校验成功能，即远成SSLVPN客户端登陆。USB-Key用户登录后，点击资源列表上方的设置恒可让用户自行修改密码和USB-Key的PIN码，界面如下：系统设置S'.TTEH5E-Tlf用户名!皿im口刎工另前温午说件的码智出值翔Sift号望年女2£点击修改，如下图所示:［关闭】修改USB-KoyPIN码输入旧FU码:(USI-Keypin码字母百大小写之分,4-15位］确M新FU吗.保存取消输入［旧PIN码］和［新PIN码］,点击他存W修改成功。修改血力V?F工N码成功帐号信息用户名■sangforHT码；"**料［修改］◎《注意：登录SSLVPN之后，如果相隔一段时间，没有访问SSLVPN内网资源，或者客户端这边没有任何操作，SSLVPN会超时，自动注销。超日^时间设置请参考4.5早下。4.1.SSLVPN客户端使用说明用户通过IE登陆了SSLVPN后，会自动在电脑上安装SSLVPN客户端组件。在『系统设置』一『SSLVPN选项』一『系统选项』一『客户端选项』。可选择［由用户手动安装组件］或［自动安装组件］。若选择为手动安装，则在登陆时，会提示:碑件特征码认证您需要支羽配苴1田组住点击安装硬件特征码组件，弹出如下图提示:点击安装,I弹出如下初始化下载、安装界面:下载并安装完成后，在开始-＞程序下可以找到如下目录：J第LVPN登录客户谎Q冠德声送图卸费善户法g在安装SSLVPN组件的过程中，请先关闭本机的防火墙及杀毒软件，否则可能会安装不成功。选择［启动客户端］,即打开SSLVPN客户端程序，如下图:在『SSLVPN地址』中输入连接VPN的地址，点击）接，|弹出【登录SSLVPN】对话框。若为用户名密码登录，则选择【账号】，并在用户名和密码框中填入对应的用户名”和密码”。如下图：忙’如果需要，用户可以勾选［记住密码］和［自动登陆］,那么下次点开SSLVPN客户端，不需再输一次地址和用户名密码，将自动连接到SSLVPNo该项选择需要在设备上进行相应的配置，具体可参考3.5.1.2章节。若为证书登陆，则选择【证书】，并选择好证书文件”和填入证书密码如下图：若为USB-KEY登陆，则选择为【USB-KEY],并输入USB-KEY的PIN码。如下图:上建立SSLVPN用户，请参考4.1.2章节。按实际情况选择上述中的一种登录方式，成功能登录后，有如下提示:若在设备里设置了客户端启用系统托盘，则登录后在电脑桌面的右下角显示SSLVPN客户端图标，将鼠标移上去，显示SSLVPN的流速信息，如下图:SSLVP-N逑：［发送B岱星吧笠@前另亘右击该图标，可查看SSLVPN状态及对SSLVPN进行相关设置，如下图:上图中显示的项与SSLVPN配置有关，以实际应用中显示的为准。