SSL VPN是以SSL为基础的VPN技术，字面上看，SSL VPN由两部分组成，分别是SSL和VPN。SSL为Secure Sockets Layer，安全套接字层，是一个安全协议，为基于TCP的应用层协议提供安全连接（如HTTP和HTTPS的关系）。VPN即Virtual Private Network，虚拟专用网络，一般用于在公共网络上建立专用网络，进行加密通讯。
SSL VPN充分利用了SSL协议提供的基于证书的身份认证、数据加密和完整性验证机制，为员工访问企业内网提供了一种安全的验证机制。相比于其他常用的VPN，如GRE VPN（配置GRE over IPv6隧道）、L2TP VPN（H3C路由器配置LAC-Auto-Initiated模式的L2TP VPN隧道）和IPSec VPN（多分支NAT穿越场景下通过POP节点实现分支间的IPsec加密互联）等，有着使用方便、数据安全、访问资源易控制等优势，被广泛应用于企业的远程接入。
例如，在实际网络中，我们可能希望财务部的VPN用户只能访问财务服务器（10.1.12.0/24），而不能访问研发部的网络（10.2.12.0/24）。这时，仅靠下发路由是不够的，就需要用到本文介绍的ACL精细过滤功能。
1、SSL VPN工作机制
SSL VPN服务通过SSL VPN网关来提供。SSL VPN网关位于远端接入用户和企业内部网络之间，负责在二者之间转发报文。管理员需要在SSL VPN网关上创建与企业网内服务器对应的资源。
SSL VPN网关与远端接入用户建立SSL连接，并对接入用户进行身份认证。远端接入用户的访问请求只有通过SSL VPN网关的安全检查和认证后，才会被SSL VPN网关转发到企业网络内部，从而实现对企业内部资源的保护。
SSL VPN的工作机制为：
(1)远程接入用户与SSL VPN网关建立HTTPS连接，通过SSL提供的基于证书的身份验证功能，SSL VPN网关和远程接入用户可以验证彼此的身份。
(2)远程接入用户输入用户名、密码等身份信息，SSL VPN网关对用户的身份进行认证，并对用户可以访问的资源进行授权。
(3)用户获取到可以访问的资源，通过SSL连接将访问请求发送给SSL VPN网关。
(4)SSL VPN网关将资源访问请求转发给企业网内的服务器。
(5)SSL VPN网关接收到服务器的应答后，通过SSL连接将其转发给用户。
2、接入方式介绍
SSL VPN可以提供三种资源接入方式，分别为Web接入方式（SSL VPN配置Web接入方式案例）、TCP接入方式（别只会用WebVPN了！实战图解SSL VPN的TCP接入，远程桌面、SSH访问一键搞定）和IP接入方式（VSR白送的的SSL VPN功能，你要不要？）。
本文主要围绕IP接入方式进行展开验证。
IP接入方式用来实现远程主机与企业内部服务器网络层之间的安全通信，进而实现所有基于IP的远程主机与服务器的互通，如在远程主机上ping内网服务器。
3、IP接入方式配置实现
IP接入方式下，管理员在SSL VPN网关上创建SSL VPN AC接口，并配置下发给SSL VPN客户端的路由表项。
用户通过IP接入方式访问内网服务器前，需要安装专用的IP接入客户端软件，该客户端软件会在SSL VPN客户端上安装一个虚拟网卡。
3.1、网关设备配置
实验设备：F1060，版本：CMW7.1-R9323P13
#
interface SSLVPN-AC11
ip address 111.1.1.1 255.255.255.0
#
security-zone name Management
import interface GigabitEthernet2/0/0
import interface SSLVPN-AC11
#
sslvpn ip address-pool admit 111.1.1.100 111.1.1.200
#
pki domain guotiejun
public-key rsa general name guotiejun
undo crl check enable
pki import domain guotiejun pem ca filename 2003_server.cer
pki import domain guotiejun p12 local filename 2003_local.pfx
Please input the password:（密码1）
#
ssl server-policy guotiejun
pki-domain guotiejun
#
sslvpn gateway guotiejun
ip address 172.2.215.104 port 18157
ssl server-policy guotiejun
service enable
#
sslvpn context guotiejun
gateway guotiejun
ip-tunnel interface SSLVPN-AC11
ip-tunnel address-pool admit mask 255.255.255.0
ip-route-list guotiejun
include 100.1.12.0 255.255.255.0
policy-group guotiejun
filter ip-tunnel acl 3333
ip-tunnel access-route ip-route-list guotiejun
default-policy-group guotiejun
service enable
#
user-group admit
authorization-attribute sslvpn-policy-group guotiejun
#
local-user guotiejun class network
password simple guotiejun
service-type sslvpn
group admit
authorization-attribute user-role network-operator
3.2、定制客户端
定制客户端时配置默认网关（MacOS用户福音：手把手教你在新版macOS上安装H3C iNode客户端）。
配置认证类型为local，身份校验模式为密码认证。
3.3、安装并验证基础功能
定制完成之后在PC上进行安装。
首先查看没有连接VPN时的路由信息。
点击查询网关信息，验证基础配置正确性。
查询成功，输入登录信息（guotiejun/guotiejun）进行登录。
在“控制面板→网络和Internet→网络连接”进行查看，可以看到网络连接中已经新创建了一个虚拟网卡。
查看网卡地址信息，已经从address-pool获取到了111.1.1.100的地址。
查看路由表项，多了指向虚拟网卡的同网段路由和网关下发的资源路由。
4、配置SSL VPN用户绑定IP地址
客户端使用IP接入方式访问SSL VPN网关时，网关需要为客户端分配IP地址。通过配置本功能，可以保证同一个用户多次访问该网关时能使用固定范围的IP地址。本功能提供以下两种方式为SSL VPN用户绑定IP地址：
(1) 指定固定的地址范围：为用户绑定分配的IP地址列表，当网关从SSL VPN访问实例引用地址池中为客户端分配IP地址时，优先分配绑定的IP地址；
(2) 指定可分配的地址数目：网关也可以为客户端自动分配空闲的IP地址，即网关会从SSL VPN访问实例引用地址池中获取指定个数的空闲IP地址，为用户绑定。
4.1、配置限制
当SSL VPN策略组中引用了地址池时，配置SSL VPN用户绑定的IP地址必须是此地址池中的IP地址。
当SSL VPN策略组中未引用地址池时，配置SSL VPN用户绑定的IP地址必须是此SSL VPN访问实例引用的地址池中的IP地址。
未关联VPN实例或在同一VPN实例中，不同SSL VPN用户不能绑定相同的IP地址。
4.2、配置步骤
(1) 进入SSL VPN访问实例视图。
sslvpn context guotiejun
(2) 创建SSL VPN用户，并进入SSL VPN用户视图。
user guotiejun
(3) 配置SSL VPN用户绑定的IP地址。
ip-tunnel bind address 111.1.1.111
(4) 再次进行登录，可以看到地址被限制为绑定的IP地址111.1.1.111。
5、为IP接入配置SSL VPN策略组
在SSL VPN策略组视图下需要配置下发给客户端的路由表项。AAA服务器将某个策略组授权给SSL VPN用户后，SSL VPN网关会将该策略组下配置的路由表项下发给客户端。下发的路由表项具有三种配置方法：
(1) 直接配置路由表项：用于将一条路由下发给客户端；
(2) 配置路由列表：用于将路由列表中的多条路由同时下发给客户端；
(3) 强制将客户端的流量转发给SSL VPN网关（指定force-all参数）：SSL VPN网关在客户端上添加优先级最高的缺省路由，路由的出接口为虚拟网卡，从而使得所有没有匹配到路由表项的流量都通过虚拟网卡发送给SSL VPN网关。SSL VPN网关还会实时监控SSL VPN客户端，不允许SSL VPN客户端删除此缺省路由，且不允许SSL VPN客户端添加优先级高于此路由的缺省路由。
SSL VPN网关可以通过高级ACL和URI ACL规则对SSL VPN用户的IP接入进行过滤，防止非法用户接入内部网络。配置SSL VPN访问控制策略后，设备对IP接入按照如下原则过滤：
(1) 进行URI ACL的规则检查，成功匹配URI ACL中permit规则后用户的访问请求才允许通过；
(2) 若URI ACL匹配失败时，再进行高级ACL的检查，成功匹配规则后用户的访问请求才允许通过；
(3) 若高级ACL检查失败，则授权失败，用户不允许访问资源。
高级ACL支持根据接入请求报文的目的IP地址和目的端口号、源IP地址和源端口号、协议类型、报文优先级、分片信息、TCP报文标识、ICMP报文的消息类型和消息码信息进行过滤；URI ACL支持根据接入请求报文的协议类型、地址、域名、端口号和URL进行过滤。
5.1、配置限制
配置对IP接入进行URI ACL过滤时，指定的URI ACL规则中不能包含HTTP和HTTPS协议。
5.2、验证配置
在前面的配置中，我们有两个地方可以对访问资源进行控制，分别是下发的路由列表ip-route-list和控制资源访问策略policy-group中的ACL列表。上面我们使用的配置如下：
sslvpn context guotiejun
ip-route-list guotiejun
include 100.1.12.0 255.255.255.0
policy-group guotiejun
filter ip-tunnel acl 3333
ip-tunnel access-route ip-route-list guotiejun
此时测试，发现我们是可以访问到对应资源的。
接下来我们修改一下ACL规则，变更配置如下：
接下来我们修改一下ACL规则，变更配置如下：
#
acl advanced 3402
rule 0 deny ip source 111.1.1.0 0.0.0.255
#
policy-group guotiejun
filter ip-tunnel acl 3402
ip-tunnel access-route ip-route-list guotiejun
可以看到资源已经不能访问。
再结合修改路由列表ip-route-list看一下，变更配置如下：
#
acl advanced 3402
rule 0 deny ip destination 100.1.12.0 0.0.0.255
rule 5 permit ip
#
sslvpn context guotiejun
ip-route-list guotiejun
include 100.1.12.0 255.255.255.0
include 200.1.12.0 255.255.255.0
policy-group guotiejun
filter ip-tunnel acl 3402
再来看一下效果，说明是通过ACL对访问资源权限做了控制。
我们再修改一下路由列表ip-route-list看一下。
#
ip-route-list guotiejun
include 100.1.12.0 255.255.255.0
可以看到此时访问不到，查看路由表项，去往200.1.12.0网段的路由表项已经不见了，说明路由表项是下发资源的，并且修改之后会实时同步到客户端，还可以通过ACL进行限制访问，保证只有通过ACL检查的报文才可以访问IP资源。
再看一下配置强制将客户端的流量转发给SSL VPN网关，命令如下：
#
policy-group guotiejun
filter ip-tunnel acl 3402
ip-tunnel access-route force-all
查看客户端的路由表，发现路由的优先级被修改了。
发现之前的默认路由优先级被修改为了110，新下发的默认路由优先级为21。尝试一下修改路由优先级看能不能成功。
route change 0.0.0.0 mask 0.0.0.0 172.2.216.254 metric 7
发现默认路由优先级确实被修改了，但是和修改的优先级是不一样的。并且iNode没有再次修改路由优先级。尝试在设备上重新操作一遍配置，查看路由是否重新下发。
发现设备上又多了一条优先级为21的路由，说明当前的实现方式是下发一条指向SSL VPN网管的优先级为21的默认路由，并且没有检测机制，容易被最终用户修改。这一发现提示我们，虽然force-all功能增强了控制力，但在对客户端控制权有极高要求的环境中，仍需结合终端安全管理策略。
6、经验总结
SSL VPN默认的端口为443，可用端口为<443, 1025-65535>，如果需要映射则端口需要映射为443，否则如果客户端配置时不知道端口号，会造成连接失败。
在配置PKI域时，一般需要禁用Certificate revocation list (CRL) 功能（证书撤销列表）：undo crl check enable。在导入证书时，需要注意证书格式，如果不能使用时，尝试切换证书格式。V7防火墙设备默认自带证书，但dir里看不到。设备中没有手工导入证书的情况下，通过调用设备自身默认的证书仍可以实现sslvpn认证成功。由于设备中存在默认证书，可不用手工导入证书，如果导入证书有问题反而有可能导致认证失败！
如果正常通信后拨号不成功，提示“查询SSL VPN网关参数失败”，检查配置没有问题，重新导入证书、使能SSL服务器端策略，最终拨号成功；如果拨号成功之后无法访问内网。可以检查域间策略配置，将资源涉及到的所有域全部放通，可以解决资源访问异常的问题。由于防火墙设备的特殊性，一定要确保域间策略正确！
缺省情况下，策略组下未引用地址池，若引用的地址池不存在或无可用地址，分配失败，用户无法通过IP接入。若策略组未引用地址池，则SSL VPN网关将使用SSL VPN访问实例中引用的地址池为客户端分配IP地址。缺省情况下，SSL VPN网关禁止所有客户端访问IP接入资源，如果引用的ACL不存在，则SSL VPN网关拒绝所有IP接入方式的访问。
声明：来自铁军哥，仅代表创作者观点。链接：https://eyangzhen.com/3624.html
