16-SANGFOR VPN解決方案（二）電子課件

SANGFORVPN解決方案（二）SANGFORVPN功能優(yōu)勢(shì)SANGFORVPN術(shù)語解釋SANGFORVPN建立過程SANGFORVPN數(shù)據(jù)傳輸過程分析SANGFORVPN特殊場(chǎng)景目錄SANGFORVPN功能優(yōu)勢(shì)SANGFORVPN術(shù)語解釋SANGFORVPN建立過程SANGFORVPN數(shù)據(jù)傳輸過程分析SANGFORVPN特殊場(chǎng)景目錄SANGFORVPN數(shù)據(jù)傳輸過程分析SANGFORVPN建立隧道SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)傳輸問題1SIPDIPSportDportProtocolDATA0005000080TCPHTTP數(shù)據(jù)①SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)傳輸問題1AC沒有去往網(wǎng)段的路由！SANGFORVPN數(shù)據(jù)傳輸過程分析問題1解決方法在長(zhǎng)沙AC上配置靜態(tài)路由！SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)傳輸問題2SIPDIPSportDportProtocolDATA0005000080TCPHTTP數(shù)據(jù)①②③SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)傳輸問題2因?yàn)閃OC沒有去往網(wǎng)段的路由！SANGFORVPN數(shù)據(jù)傳輸過程分析問題2解決方法在總部的SSL設(shè)備上配置本地子網(wǎng)，將總部的資源網(wǎng)段宣告給長(zhǎng)沙WOC設(shè)備SANGFORVPN數(shù)據(jù)傳輸過程分析問題2解決方法在分支WOC設(shè)備上可以查看到去往總部本地子網(wǎng)的路由條目SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)發(fā)送成功①②③④⑤⑥⑦⑧⑨SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)發(fā)送成功1SIPDIPSportDportProtocolDATA0005000080TCPHTTP數(shù)據(jù)①②SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)發(fā)送成功2③SIPDIPSportDportProtocolDATA8400004009TCP加密的原始數(shù)據(jù)包SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)發(fā)送成功3④SIPDIPSportDportProtocolDATA98400004009TCP加密的原始數(shù)據(jù)包SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)發(fā)送成功4⑤⑥SIPDIPSportDportProtocolDATA900400004009TCP加密的原始數(shù)據(jù)包⑦SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)發(fā)送成功5⑧⑨SIPDIPSportDportProtocolDATA0005000080TCPHTTP數(shù)據(jù)SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)回包問題①SIPDIPSportDportProtocolDATA0008050000TCPHTTP數(shù)據(jù)SIPDIPSportDportProtocolDATA0008050000TCPHTTP數(shù)據(jù)②SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)回包問題正常情況下AF不會(huì)把回包發(fā)送給SSL！SANGFORVPN數(shù)據(jù)傳輸過程分析解決方法SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)回包成功⑤④⑥③⑦②①⑧SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)回包成功1②①SIPDIPSportDportProtocolDATA0008050000TCPHTTP數(shù)據(jù)SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)回包成功2⑤④③SIPDIPSportDportProtocolDATA009400940000TCP加密的原始數(shù)據(jù)包SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)回包成功3⑥SIPDIPSportDportProtocolDATA89400940000TCP加密的原始數(shù)據(jù)包SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)回包成功4⑦SIPDIPSportDportProtocolDATA8400940000TCP加密的原始數(shù)據(jù)包SANGFORVPN數(shù)據(jù)傳輸過程分析數(shù)據(jù)回包成功5SIPDIPSportDportProtocolDATA0008050000TCPHTTP數(shù)據(jù)⑧SANGFORVPN功能優(yōu)勢(shì)SANGFORVPN術(shù)語解釋SANGFORVPN建立過程SANGFORVPN數(shù)據(jù)傳輸過程分析SANGFORVPN特殊場(chǎng)景目錄SANGFORVPN特殊場(chǎng)景權(quán)限控制場(chǎng)景需求：總部和分支部署了兩臺(tái)VPN設(shè)備，現(xiàn)總部的VPN設(shè)備做為VPN總部與分支建立了VPN連接，用戶要求對(duì)分支訪問總部的服務(wù)器進(jìn)行權(quán)限控制，只允許分支網(wǎng)絡(luò)的PC訪問總部的WEB服務(wù)器（80端口），禁止訪問其他的任何服務(wù)器（包括PC客戶端）。如下圖：基本思路：該客戶需求一共有兩種方法可以實(shí)現(xiàn)，通過VPN內(nèi)網(wǎng)權(quán)限（兩端都會(huì)受到限制）或者通過防火墻過濾規(guī)則（更細(xì)化的控制）。SANGFORVPN特殊場(chǎng)景分支通過總部互聯(lián)場(chǎng)景需求：總部分別與兩個(gè)分支建立VPN連接，分支1與分支2均能訪問總部?jī)?nèi)網(wǎng)，現(xiàn)用戶要求分支1與分支2之間能相互訪問。問題分析：兩個(gè)分支分別與總部建立VPN隧道，但分支1與分支2之間并沒有任何線路相連，也沒有VPN隧道。解決辦法：通過分別在分支1和分支2的設(shè)備中配置隧道間路由實(shí)現(xiàn)。SANGFORVPN特殊場(chǎng)景分支通過總部上網(wǎng)場(chǎng)景需求：總部與分支建立VPN連接，總部希望審計(jì)分支的上網(wǎng)行為，因此總部要求分支通過總部實(shí)現(xiàn)上網(wǎng)。解決辦法：通過在分支1中配置隧道間路由實(shí)現(xiàn)通過總部上網(wǎng)。SANGFORVPN特殊場(chǎng)景分支地址沖突場(chǎng)景需求：總部分別與兩個(gè)分支建立VPN連接，分支1與分支2內(nèi)網(wǎng)均為/24網(wǎng)段，用戶要求不能改變?nèi)魏我欢说腎P地址，實(shí)現(xiàn)分支與總部互訪。問題分析：兩個(gè)分支內(nèi)網(wǎng)網(wǎng)段相同，當(dāng)