SANGFOR_SSL_v5.8_2013年度渠道初級(jí)認(rèn)證培訓(xùn)10_綜合案例培訓(xùn)_20121224

1、SSL VPN綜合案例培訓(xùn)綜合案例培訓(xùn)培訓(xùn)內(nèi)容培訓(xùn)目標(biāo)SSL VPN 綜合案例1.1. 客戶需求與網(wǎng)絡(luò)環(huán)境 1.2. SSL VPN 部署方案1.3. SSL VPN 配置思路1.4. SSL VPN 配置方法與截圖客戶需求與網(wǎng)絡(luò)環(huán)境深信服公司簡(jiǎn)介SSL VPN 部署方案SSL VPN 配置方法與截圖SANGFOR SSLSSL VPN 配置思路SSL VPN綜合案例培訓(xùn)1.1 客戶需求與網(wǎng)絡(luò)環(huán)境：1.1.1.客戶原有網(wǎng)絡(luò)環(huán)境： 客戶網(wǎng)絡(luò)環(huán)境如右圖所示，防火墻部署在公網(wǎng)出口，內(nèi)網(wǎng)有多個(gè)網(wǎng)段，其中郵件服務(wù)器和CRM服務(wù)器均在172.100.1.0網(wǎng)段，內(nèi)網(wǎng)上網(wǎng)用戶均在172.100.2.0網(wǎng)段。

2、 為了滿足在外地出差和內(nèi)部員工在家均能安全接入內(nèi)網(wǎng)收發(fā)郵件和訪問CRM系統(tǒng)，特選購(gòu)SANGFOR SSL VPN設(shè)備SSL VPN綜合案例培訓(xùn)1.1.2. 客戶需求： 1）部署SSL VPN設(shè)備盡量不改動(dòng)原來的網(wǎng)絡(luò)環(huán)境，只有172.100.2.0網(wǎng)段可以提供給SSL VPN設(shè)備使用。 2）在外出差的員工均分配賬號(hào)和密碼，并需要短信校驗(yàn)才允許接入 3）公司內(nèi)網(wǎng)的用戶僅允許使用自己的賬號(hào)，每個(gè)用戶只允許在指定的2臺(tái)電腦（辦公和家庭電腦）上接入和訪問。 4）內(nèi)網(wǎng)用戶均只允許通過SSL VPN收發(fā)郵件和訪問CRM系統(tǒng) 5）網(wǎng)絡(luò)管理員除了需要訪問郵件和CRM系統(tǒng)，還需要管理郵件服務(wù)器和CRM系統(tǒng)（PIN

3、G測(cè)試，使用遠(yuǎn)程桌面連接服務(wù)器）SSL VPN綜合案例培訓(xùn)1.2 SSL VPN部署方案SSL VPN設(shè)備單臂模式部署在內(nèi)網(wǎng)，公網(wǎng)出口的防火墻設(shè)備做TCP 80和443端口的映射給SSL VPN設(shè)備。在SSL VPN設(shè)備上接短信貓，用來把校驗(yàn)碼通過短信的方式發(fā)給認(rèn)證用戶。SSL VPN綜合案例培訓(xùn)1.3 SSL VPN 配置思路1）設(shè)置部署模式，選擇單臂模式部署，配置設(shè)備LAN口IP和網(wǎng)關(guān)地址。公網(wǎng)出口的防火墻設(shè)備做TCP 80和443端口的映射給SSL VPN設(shè)備2）設(shè)置兩個(gè)用戶組：“出差用戶組”和“辦公用戶組”， “出差用戶組”選擇用戶名密碼和短信認(rèn)證。 “辦公用戶組”選擇用戶名密碼和硬件

4、特征碼認(rèn)證3）設(shè)置TCP應(yīng)用，添加郵件服務(wù)器和CRM服務(wù)器的IP和訪問端口4）設(shè)置TCP應(yīng)用，添加郵件服務(wù)器和CRM服務(wù)器的遠(yuǎn)程桌面應(yīng)用SSL VPN綜合案例培訓(xùn)1.3 SSL VPN 配置思路5）設(shè)置L3VPN應(yīng)用，添加郵件服務(wù)器和CRM服務(wù)器的ICMP應(yīng)用6）設(shè)置角色授權(quán)， 所有用戶組關(guān)聯(lián)郵件服務(wù)器和CRM服務(wù)器訪問的TCP應(yīng)用； 設(shè)置角色授權(quán)， 給管理員關(guān)聯(lián)郵件服務(wù)器和CRM服務(wù)器的遠(yuǎn)程桌面和ICMP應(yīng)用。SSL VPN綜合案例培訓(xùn)1.4 SSL VPN配置方法與截圖1.4.1 配置單臂部署模式和IP配置SSL設(shè)備LAN口的IP和網(wǎng)關(guān)SSL VPN綜合案例培訓(xùn)1.4.2 SSL VPN設(shè)

5、備上架與接線 配置完SSL VPN設(shè)備部署模式后，將設(shè)備的LAN口連接到172.100.2.0這個(gè)網(wǎng)段的交換機(jī)接口，本案例中設(shè)備的WAN口無需接線。 由于要通過短信貓完成短信認(rèn)證，故需要用串口線將短信貓連接到SSL VPN設(shè)備的COM口上。SSL VPN綜合案例培訓(xùn)1.4.3 開啟并設(shè)置硬件特征碼認(rèn)證 限制用戶只能在指定的2臺(tái)電腦登錄SSL VPN綜合案例培訓(xùn)1.4.4 開啟并設(shè)置短信認(rèn)證使用短信貓連接到設(shè)備的情況，請(qǐng)選擇啟用內(nèi)置短信模塊1.4.5 設(shè)置用戶組和相應(yīng)認(rèn)證方式SSL VPN綜合案例培訓(xùn)出差用戶組的用戶使用相同的認(rèn)證方式，不可修改辦公用戶組的用戶使用相同的認(rèn)證方式，不可修改SSL

6、VPN綜合案例培訓(xùn)1.4.6 新建用戶，分別加入到出差用戶組和辦公用戶組中填入用戶對(duì)應(yīng)的手機(jī)號(hào)碼SSL VPN綜合案例培訓(xùn)1.4.7 添加TCP應(yīng)用資源，設(shè)置郵件服務(wù)器和CRM服務(wù)器訪問方式SSL VPN綜合案例培訓(xùn)1.4.8添加TCP應(yīng)用資源，設(shè)置郵件服務(wù)器和CRM服務(wù)器的遠(yuǎn)程桌面訪問方式SSL VPN綜合案例培訓(xùn)1.4.9 添加L3VPN資源，設(shè)置郵件服務(wù)器和CRM服務(wù)器的ICMP訪問方式SSL VPN綜合案例培訓(xùn)1.4.10 設(shè)置角色授權(quán)， 所有用戶關(guān)聯(lián)郵件服務(wù)器和CRM服務(wù)器訪問的TCP應(yīng)用資源， 設(shè)置角色授權(quán)， 給管理員關(guān)聯(lián)郵件服務(wù)器和CRM服務(wù)器的遠(yuǎn)程桌面和ICMP應(yīng)用。SSL VPN綜合案例培訓(xùn)1.4.11 開啟自動(dòng)安裝TCP和L3V