网络运维|通过SSL VPN进行端口转发

2020-06-16 16:52 作者：艾锑无限 浏览量：

大家好，我是一枚从事IT外包的网络安全运维工程师，今天和大家分享的是网络安全设备维护相关的内容，这里介绍通过SSL VPN进行端口转发的配置，网络安全运维，从Web管理轻松学起,一步一步学成网络安全运维大神。

网络维护是一种日常维护，包括网络设备管理(如计算机，服务器)、操作系统维护(系统打补丁，系统升级)、网络安全(病毒防范)等。+

北京艾锑无限科技发展有限公司为您免费提供给您大量真实有效的北京网络维护服务，北京网络维修信息查询，同时您可以免费资讯北京网络维护，北京网络维护服务，北京网络维修信息。专业的北京网络维护信息就在北京艾锑无限+

+

北京网络维护全北京朝阳丰台北京周边海淀、大兴、昌平、门头沟、通州、西城区、燕郊、石景山、崇文、房山、宣武、顺义、平谷、延庆全北京网络维护信息

通过SSL VPN进行端口转发

端口转发业务是提供基于TCP的应用程序的安全接入，是一种非Web的应用方式。端口转发在应用级对用户访问进行控制，控制是否提供各种应用的服务，如：Telnet、远程桌面、FTP、Email等服务。

前提条件

已加载License文件，且USG可以正常访问内网资源。
 说明：
本举例中USG和内网服务器的IP地址在同一网段。如果不在同一网段，请务必保证USG的内网接口与内网服务器路由可达，确保业务的连通性。

组网需求

如图10-83所示，USG作为企业网络的出口网关连接Internet。企业内部有一台FTP服务器（IP地址为192.168.1.30/24）和一台用于Telnet的网络设备（IP地址为192.168.1.20/24）。
具体需求如下：

• 一部分员工能够在外网访问内网的FTP服务器；一部分员工能够在外网Telnet内网的网络设备。
• 企业通过LDAP服务器对访问内网资源的员工进行认证授权。

图10-83  端口转发组网图 

配置思路

1. 在USG创建一个名为test的虚拟网关，外网用户可通过此虚拟网关访问企业内网的资源。虚拟网关的IP地址为202.10.10.1/24。
2. 配置内网的DNS服务器地址和域名，使用户可通过域名访问虚拟网关的业务。
3. 配置端口转发功能，添加FTP服务和Telnet服务。
4. 在LDAP服务器上建立两个组，在组group1内添加需要访问FTP服务器的用户，在组group2内添加需要Telnet网络设备的用户。
5. 配置LDAP认证授权功能，搜索组group1和group2。
6. 配置组策略，允许组group1的用户访问FTP服务器，允许组group2的用户Telnet网络设备。
7. 配置用户目的IP策略默认行为为“限制”，限制用户访问其他内网资源。

操作步骤

1. 配置接口基本参数。
   1. 选择“网络 > 接口 > 接口”。
   2. 选择“接口”页签。
   3. 在“接口列表”中，单击GE0/0/1对应的。
   4. 在“修改GigabitEthernet”界面中，配置如下：
      • 安全区域：trust
      • IP地址：192.168.1.1
      • 子网掩码：255.255.255.0

其他配置项采用缺省值。

5. 单击“应用”。
6. 在“接口列表”中，单击GE0/0/2对应的。
7. 在“修改GigabitEthernet”界面中，配置如下：
   • 安全区域：untrust
   • IP地址：202.10.10.1
   • 子网掩码：255.255.255.0

其他配置项采用缺省值。

8. 单击“应用”。

2. 对于USG系列，配置域间包过滤，以保证网络基本通信正常。对于USG BSR/HSR系列，不需要执行此步骤。
   1. 配置Local安全区域和Untrust安全区域之间的安全策略。
      1. 选择“防火墙 > 安全策略 > 本地策略”。
      2. 在“对设备访问控制列表”中，单击“Untrust”下的“默认”所在行的。
      3. 在“修改对设备访问控制”界面中，选择“动作”为“permit”。
      4. 单击“应用”。

配置Trust安全区域和Untrust安全区域之间的安全策略。

1. 选择“防火墙 > 安全策略 > 转发策略”。
2. 在“转发策略列表”中，单击“untrust->trust”下的“默认”所在行的。
3. 在“修改转发策略”界面中，选择“动作”为“permit”。
4. 单击“应用”。
5. 在“转发策略列表”中，单击“trust->untrust”下的“默认”所在行的。
6. 在“修改转发策略”界面中，选择“动作”为“permit”。
7. 单击“应用”。

创建虚拟网关。

选择“VPN > SSL VPN > 虚拟网关管理”。

单击“新建”。

配置虚拟网关参数。

单击“应用”。

配置端口转发资源。

选择“VPN > SSL VPN > 虚拟网关列表”。

在“虚拟网关列表”导航树中选择“虚拟网关列表 > test > 端口转发”。

选中“启用端口转发功能”前的复选框。

选中“客户端自动启用”、“保持连接”前的复选框。

 说明：

启用端口转发的保持连接功能后，客户端会定时向网关发送报文，确保客户端和虚拟网关的端口转发连接不会因为SSL会话超时而断开。

单击“新建”，配置端口转发资源FTP服务。

单击“应用”。

重复上述配置步骤，配置端口转发资源Telnet服务。

配置LDAP认证授权方式。

在“虚拟网关列表”导航树中选择“虚拟网关列表 > test > 认证授权配置”。

在“认证授权配置”界面中，选择“认证授权方式”页签。

单击优先级“1”对应的操作，选择认证授权方式。

单击。

选择“认证授权服务器配置”页签，在“LDAP服务器”区域框中，配置LDAP服务器。

 注意：

需要在LDAP服务器和USG上配置相同的LDAP服务器参数。LDAP服务器上的配置请参见LDAP服务器的相关文档。

单击“应用”。

在“虚拟网关列表”导航树中选择“虚拟网关列表 > test > 外部组配置”。

选择“LDAP组信息管理”页签。

单击“新建”，配置LDAP组搜索条件，搜索组group1。

 注意：

在LDAP服务器上建立两个组，在组group1内添加需要访问FTP服务器的用户，在组group2内添加需要Telnet网络设备的用户。具体配置步骤请参见LDAP服务器的相关文档。

单击“搜索”，搜索得到组group1。

单击“新建”，配置LDAP组搜索条件，搜索组group2。

单击“搜索”，搜索得到组group2。

配置LDAP组策略。

在“虚拟网关列表”导航树中选择“虚拟网关列表 > test > 策略配置”。

选择“组策略”页签，单击组名group1对应的。

单击“新建”，配置组策略，允许LDAP组group1的用户访问资源FTP Server。

单击“应用”。

单击组名group2对应的。

单击“新建”，配置组策略，允许LDAP组group2的用户Telnet网络设备。

单击“应用”。

配置用户目的IP策略默认行为为“限制”，限制用户访问其他内网资源。

在“虚拟网关列表”导航树中选择“虚拟网关列表 > test > 策略配置”。

选择“策略默认行为”页签，配置用户目的IP策略默认行为。

单击“应用”。

结果验证

1. 企业员工在外部网络的IE浏览器中输入https://202.10.10.1，进入虚拟网关登录界面。
2. 输入用户名和密码（已在LDAP服务上配置），单击“登录”，登录虚拟网关,在端口转发区域框下可以看到端口转发的资源。
3. • 组group1内的用户可以看到名为“FTP”的端口转发资源。
   • 组group2内的用户可以看到名为“TELNET”的端口转发资源。
4. group1组内的用户可以使用FTP工具可以登录IP地址为192.168.1.30/24的FTP服务器；group2组内的用户可以使用Telnet工具访问内网IP地址为192.168.1.20的网络设备。