SANGFOR_SSL_v70_2016年度渠道初級(jí)認(rèn)證培訓(xùn)02_基本網(wǎng)絡(luò)環(huán)境部署和配置

1、SANGFOR SSL VPN設(shè)備部署培訓(xùn)SANGFOR SSL 部署模式介紹深信服公司簡(jiǎn)介SANGFOR SSL 部署模式配置SANGFOR SSL 動(dòng)動(dòng)手SANGFOR SSLSANGFOR SSL 部署案例SANGFOR SSL部署模式介紹部署模式介紹 部署模式_簡(jiǎn)介1、部署模式是指設(shè)備以什么樣的工作模式部署到客戶網(wǎng)絡(luò)中去，不同的部署方式對(duì)客戶的網(wǎng)絡(luò)影響各有不同，具體以何種部署方式需要綜合客戶具體的網(wǎng)絡(luò)環(huán)境和客戶的功能需求而定。2、SSL VPN支持網(wǎng)關(guān)（單線路和多線路）模式、單臂(單線路和多線路)模式部署。 網(wǎng)關(guān)模式特點(diǎn) 1、網(wǎng)關(guān)模式部署時(shí)SSL設(shè)備工作層次基本與路由器或包過(guò)濾防火墻相

2、當(dāng)，具備基本的路由轉(zhuǎn)發(fā)及NAT功能。一般在客戶原有網(wǎng)絡(luò)環(huán)境中添加部署SSL設(shè)備時(shí)不采用這種模式，因?yàn)檫@種部署模式需要對(duì)客戶的網(wǎng)絡(luò)環(huán)境作較大的改動(dòng)。 2、一般此種部署模式的客戶網(wǎng)絡(luò)環(huán)境規(guī)模比較小，用SSL設(shè)備替換原有部署在出口的路由器，或者是客戶在規(guī)劃新網(wǎng)絡(luò)建設(shè)時(shí)將SSL部署為路由模式。 如客戶出口有前置防火墻或網(wǎng)絡(luò)規(guī)模比較大建議用單臂模式。SANGFOR SSL部署模式介紹SANGFOR SSL部署模式介紹部署模式介紹單臂模式特點(diǎn) 1、單臂模式時(shí)SSL設(shè)備工作模式基本與一臺(tái)內(nèi)網(wǎng)服務(wù)器相當(dāng)，由前置設(shè)備將SSL服務(wù)對(duì)外發(fā)布，該模式下僅處理VPN數(shù)據(jù)。一般在客戶原有網(wǎng)絡(luò)環(huán)境中添加部署SSL設(shè)備時(shí)將采

3、用這種模式，因?yàn)檫@種部署模式對(duì)客戶的網(wǎng)絡(luò)環(huán)境無(wú)變動(dòng)，哪怕設(shè)備宕機(jī)也不會(huì)影響網(wǎng)絡(luò)。 2、單臂模式部署只需要連接LAN口到內(nèi)網(wǎng)，如果需要通過(guò)DMZ口管理設(shè)備，可將DMZ口也連接到局域網(wǎng)交換機(jī)。SANGFOR SSL部署配置單線路多線路單臂模式網(wǎng)關(guān)模式單線路多線路注：本PPT只介紹單線路環(huán)境部署，多線路環(huán)境請(qǐng)參考高級(jí)認(rèn)證PPT。SANGFOR SSL部署配置（網(wǎng)關(guān)模式）部署配置（網(wǎng)關(guān)模式）SANGFOR SSL部署配置（網(wǎng)關(guān)模式部署配置（網(wǎng)關(guān)模式）非直連公網(wǎng)方式的網(wǎng)關(guān)模式部署（應(yīng)用場(chǎng)景非常少，對(duì)網(wǎng)絡(luò)改動(dòng)較大，需要在前置設(shè)備上做端口映射）SANGFOR SSL部署配置（網(wǎng)關(guān)模式）部署配置（網(wǎng)關(guān)模式）1

4、、網(wǎng)關(guān)模式配置：確定設(shè)備外網(wǎng)口（WAN1口）是固定IP還是ADSL撥號(hào)獲取IP方式，取得相應(yīng)運(yùn)營(yíng)商給的IP地址信息或者是撥號(hào)的帳號(hào)密碼；確定內(nèi)網(wǎng)口（LAN口）的IP地址信息。2、上網(wǎng)配置：代理上網(wǎng)（NAT），確定內(nèi)網(wǎng)是否多網(wǎng)段網(wǎng)絡(luò)環(huán)境，如果是的話需要添加相應(yīng)的回包路由回指給設(shè)備下接的核心交換機(jī)。網(wǎng)關(guān)單線路配置思路：SSL部署配置（網(wǎng)關(guān)單線路模式）部署配置（網(wǎng)關(guān)單線路模式） 網(wǎng)關(guān)單線路模式配置截圖設(shè)置內(nèi)網(wǎng)接口IP地址SSL部署配置（網(wǎng)關(guān)單線路模式）部署配置（網(wǎng)關(guān)單線路模式） 代理上網(wǎng)配置截圖選擇代理LAN或DMZ口下的網(wǎng)段上網(wǎng)SANGFOR SSL部署配置（單臂單線路模式）部署配置（單臂單線路模

5、式）1、單臂模式配置：給設(shè)備LAN口分配一個(gè)可以上網(wǎng)的IP地址，填寫正確的網(wǎng)關(guān)IP、DNS；2、前置網(wǎng)關(guān)做TCP 443和80端口映射（如果用到IPSEC VPN 還需要映射TCP / UDP 4009端口）單臂單線路部署配置思路：SSL部署配置（單臂單線路模式）部署配置（單臂單線路模式） 單臂單線路模式配置截圖給設(shè)備LAN口分配一個(gè)可以上網(wǎng)的IP，正確填寫網(wǎng)關(guān)和DNS地址。配置DMZ口IP，可通過(guò)DMZ口管理設(shè)備案例一：網(wǎng)關(guān)單線路部署案例案例一：網(wǎng)關(guān)單線路部署案例 某客戶拓?fù)淙鐖D，客戶需要實(shí)現(xiàn)外網(wǎng)用戶通過(guò)SSL VPN接入訪問(wèn)內(nèi)部的web服務(wù)器群?？蛻糁挥幸粭l外網(wǎng)線路，對(duì)應(yīng)的公網(wǎng)ip是1.1

6、.2.2。SSL VPN設(shè)備網(wǎng)關(guān)部署，內(nèi)網(wǎng)用戶通過(guò)SSL VPN設(shè)備上網(wǎng)，外網(wǎng)用戶需要實(shí)現(xiàn)輸入域名實(shí)現(xiàn)接入SSL VPN。 部署需求：網(wǎng)關(guān)單線路部署配置思路網(wǎng)關(guān)單線路部署配置思路1. 基礎(chǔ)網(wǎng)絡(luò)配置：基礎(chǔ)網(wǎng)絡(luò)配置：網(wǎng)關(guān)模式，配置WAN1、LAN口IP地址信息，配置系統(tǒng)路由。2. 靜態(tài)路由：靜態(tài)路由：由于LAN口與服務(wù)器不在一個(gè)網(wǎng)段，而設(shè)備的默認(rèn)路由指向WAN方向出口，所以需要添加到達(dá)內(nèi)網(wǎng)的靜態(tài)路由，下一跳指向核心交換機(jī) 。3. 域名設(shè)置：域名設(shè)置：將客戶申請(qǐng)的二級(jí)域名XXX在ISP處用A記錄指向 。 4. 代理上網(wǎng)：代理上網(wǎng)：將內(nèi)網(wǎng)PC私網(wǎng)ip轉(zhuǎn)換成，代理內(nèi)網(wǎng)用戶上公

7、網(wǎng)。網(wǎng)關(guān)單線路部署配置步驟網(wǎng)關(guān)單線路部署配置步驟1. 設(shè)置網(wǎng)關(guān)模式，設(shè)置網(wǎng)關(guān)模式，LAN口和口和WAN1口口IP地址。地址。網(wǎng)關(guān)單線路部署配置步驟網(wǎng)關(guān)單線路部署配置步驟2. 設(shè)置系統(tǒng)路由設(shè)置系統(tǒng)路由網(wǎng)關(guān)單線路部署配置步驟網(wǎng)關(guān)單線路部署配置步驟3. 設(shè)置代理上網(wǎng)設(shè)置代理上網(wǎng)案例二：?jiǎn)伪蹎尉€路部署案例案例二：?jiǎn)伪蹎尉€路部署案例 客戶拓?fù)淙鐖D所示，出口有一條電信鏈路?？蛻粜枰桓膭?dòng)原有的網(wǎng)絡(luò)環(huán)境部署SSL 設(shè)備，實(shí)現(xiàn)外網(wǎng)用戶輸入這個(gè)IP地址即可接入SSL VPN。部署需求：?jiǎn)伪蹎尉€路部署配置思路單臂單線路部署配置思路1. 基礎(chǔ)網(wǎng)絡(luò)配置：基礎(chǔ)網(wǎng)絡(luò)配置：?jiǎn)伪勰Ｊ?，配置LAN口IP地址，掩碼

8、，網(wǎng)關(guān)等信息。2. 前置防火墻做端口映射：前置防火墻做端口映射：前置防火墻需要做電信線路的80端口和443端口到0 。需要注意：如果80端口不映射，將無(wú)法實(shí)現(xiàn)從http到https的跳轉(zhuǎn)。 如客戶不要求實(shí)現(xiàn)自動(dòng)跳轉(zhuǎn)到https，可不必映射80端口。單臂單線路部署配置步驟單臂單線路部署配置步驟1. 設(shè)置單臂模式，設(shè)置單臂模式，LAN口口IP地址，網(wǎng)關(guān)，以及地址，網(wǎng)關(guān)，以及DMZ口口IP地址。地址。2. 前置網(wǎng)關(guān)設(shè)備（防火墻）配置80和443端口映射深信服深信服webagent介紹介紹如果如果SSL VPN設(shè)備是通過(guò)設(shè)備是通過(guò)ADSL撥號(hào)上網(wǎng)（無(wú)固定公網(wǎng)撥號(hào)上網(wǎng)（無(wú)固定公網(wǎng)IP），移動(dòng)用戶該），移動(dòng)用戶該如何登錄如何登錄SSL VPN設(shè)備？設(shè)備？通過(guò)深信服webagent功能，可實(shí)現(xiàn)動(dòng)態(tài)IP尋址，實(shí)現(xiàn)該需求注：SSL設(shè)備網(wǎng)關(guān)部署和單臂部署時(shí)，都支持webagent功能練練手練練手1、SSL VPN支持哪些部署模式？2、單臂模式部署的時(shí)候可以使用設(shè)備的哪些接口接到網(wǎng)絡(luò)里面？3、SSL VPN單臂模式部署時(shí)，前置網(wǎng)關(guān)設(shè)備需要映射哪些端口？問(wèn)題思