华为防火墙 SSL VPN配置实验

SSL VPN

IPSEC VPN可以实现不同局域网之间通过Internet进行VPN连接，一般由网关设备进行VPN连接。

SSL VPN 可以实现员工到公司内部，由员工电脑进行 VPN 连接。一般由员工 Web 登录虚拟机网关手动连接，或由 SecoClient 客户端自动连接。

SSL VPN实验

AR1配置

<Huawei>u t m
<Huawei>sys
[Huawei]sys AR1

[AR1]interface g0/0/0
[AR1-GigabitEthernet0/0/0]ip address 192.168.10.254 24
[AR1-GigabitEthernet0/0/0]q

[AR1]interface g0/0/1
[AR1-GigabitEthernet0/0/1]ip address 100.1.1.2 24
[AR1-GigabitEthernet0/0/1]q

Win10配置

一、防火墙基础配置

管理口配置

<USG6000V1>u t m
<USG6000V1>sys
[USG6000V1]sys FW1

[FW1]interface g0/0/0
[FW1-GigabitEthernet0/0/0]ip address 192.168.20.100 24
[FW1-GigabitEthernet0/0/0]service-manage enable  
[FW1-GigabitEthernet0/0/0]service-manage all permit 
[FW1-GigabitEthernet0/0/0]q

[FW1]user-interface console 0
[FW1-ui-console0]idle-timeout 0
[FW1-ui-console0]q
[FW1]web-manager timeout 1440

接口地址及安全区域

安全策略

默认路由

NAT策略

测试（此时内网主机可以访问外部路由器）

二、SSL VPN配置

创建用户

创建认证策略

创建VPN虚拟网关

在界面配置会显示“服务器忙，请稍后重试”。

这里使用命令配置

[FW1] v-gateway sslvpn1 interface GigabitEthernet 1/0/0 port 4430 private www.a.com 
[FW1-sslvpn1]

修改VPN虚拟网关-网关配置

• 网关配置：端口号修改为443

• 新建安全策略

修改VPN虚拟网关-网络扩展

• 新建安全策略

查看最终的安全策略（包含3条）

三、（经常性访问）员工从外网使用SecClient客户端软件登录

下载SecClient客户端软件，默认安装

下载链接：https://wwi.lanzoup.com/ifKHc0mhwzsf

secoclient-win-64-7.0.2.26.exe

配置VPN相关参数

连接到公司网络

登录成功后，员工电脑可以访问公司内网

四、（临时访问）员工从外网使用Web方式认证，并进行SSL VPN登录

使用IE浏览器访问VPN网关

• https://100.1.1.1

登录进行SSL VPN认证

启动网络扩展

查看防火墙的SSL VPN 监控