📒博客主页: ​​微笑的段嘉许博客主页​

🎉欢迎关注🔎点赞👍收藏⭐留言📝

📌本文由微笑的段嘉许原创!

📆51CTO首发时间:🌴2022年9月22日🌴

✉️坚持和努力一定能换来诗与远方!

🙏作者水平很有限,如果发现错误,一定要及时告知作者哦!感谢感谢!

本文介绍⭐

使用SSL(Secure Socket Layer,安全套接层);VPN可以更加方便地实现远程安全接入。SSL VPN不需要在用户计算机安装特殊软件,可以使用当前用户计算机地浏览器安全地访问公司内部服务器。SSL VPN除了浏览器外,还可以通过浏览器自动安装客户端软件到用户计算机上,本章主要介绍SSL VPN地原理,配置与实现。


📝理论讲解:

SSL VPN的工作原理

SSL VPN是一种新兴的技术,此技术通过网页浏览器的本地SSL加密,提供灵活、低成本的基于Internet 的远程访问解决方案。SSL VPN不需要在计算机中预先安装专用的客户端软件,任何可以访问Internet的计算机都能够建立SSL VPN会话,从而实现随时随地的网络访问。

SSL客户端的三种模式

1)无客户端模式:

无客户端模式其实并不是完全没有客户端,而是使用用户计算机上的Web浏览器进行远程访问,而不是其他软件

无客户端模式提供对网页资源的安全访问,以及基于网页内容的访问,无客户端模式还可以通过通用Internet文件系统(Common Internet System,CIFS)提供远程文件共享。CIFS在门户网站网页中列出一个文件服务器连接列表,从而使远程用户能够浏览列出的域、服务器、目录文件夹、文件等。无客户端模式的缺点是其只能保护Web流量

2)瘦客户端模式(也称为端口转发模式)

瘦客户端模式提供对基于TCP服务的远程访问,如邮局协议(Post Office Protocol POP)POP3、简单邮件传输协议(Simple Mail Transfer Protocol,SMTP),远程登陆(SSH)等。瘦客户端模式在建立SSL VPN应用程序动态得下载Java或者ActiveX程序到用户桌面,其允许一些非Web得程序通过SSL VPN进行传输。瘦客户端模式扩展了网页浏览器得加密功能。

3)胖客户端模式(也称为隧道模式或者全隧道客户端模式)

胖客户端模式提供对大量应用程序支持得远程访问,可以通过下载SSL VPN 客户端(SSL VPN Client,SVC)软件,提供对所有应用程序得全网络层(第3层)访问。使用胖客户端模式时,其客户端软件一般在客户端到中心站点建立SSL VPN后,动态下载安装到用户计算机上。

由于需要在用户计算机上安装客户端,所有用户必须拥有其计算机得管理员权限。若没有管理员权限则无法安装客户端,只能使用无客户端或者瘦客户端模式。

📢友情提示:

在选择实施SSL VPN时,应该根据客户端得需求和计算机环境选择合适得客户端模式。如果先择瘦客户端模式,需要查看厂商设备瘦客户端模式所支持得非Web程序列表是否满足企业需求。

SSL VPN得优缺点

SSL VPN对于使用Web浏览器与公司服务器进行相互访问的用户来说无疑是非常理想的。SSL VPN的优点主要体现在以下方面。

  • SSL VPN的无客户端、瘦客户端方式可以做到用户端无须安装任何 软件(除Web浏览器等系统自带的软件外)。
  • 可以从任何地方安全地访问公司内部服务器。
  • 支持多种类型地浏览器。
  • 用户不需要进行特殊地培训。
  • SSL VPN可以和地址转换设备一起使用。
  • 可以对各种应用程序进行更加细致的控制。

由于SSL VPN是建立在TCP协议的基础之上,所以其加密内容为应用层内容,并且比较容易受到DOS等拒绝服务公鸡🐓。并且,SSL VPN对数据的验证功能仅使用TCP序列号进行数据验证,而IPsec VPN使用HMAC进行验证,比SSL VPN效果更好。对于IPsec VPN的配置方法已经在《​​ASA防火墙和路由器配置IPsec VPN​​​》一文中介绍过了,所以本文对于IPsec VPN理论和配置方面不再赘述,感兴趣的小伙伴可以参考上一篇文章。

SSL VPN与IPsec VPN比较

序号

特性

SSL VPN


IPsec VPN(Easy vpn)

1

连接

只支持远程访问

支持站点到站点和远程访问(Easy VPN)

2

验证

进行证书验证

共享密钥、证书、RSA加密随机数

3

保护数据

只对TCP数据进行加密保护,容易受到公鸡🐓,未对第3层数据进行保护

使用隧道模式保护整个IP数据包;使用传输模式保护用户数据

4

加密

一般浏览器支持RC4、DES、3DES等加密算法,而SSL/TLS还支持RC2、AES等加密算法

支持DES、3DES、AES等加密算法

5

消息完整性

SSL使用TCP序列号验证完整性

IPSec使用HMAC验证数据完整性

6

NAT

使用知名端口443,可以穿过一个地址转换设备

需要使用NAT-T增加IPsec的复杂度

7

部署需求

无客户端不需要特殊部署,需要有Web浏览器;瘦客户端需要安装Java/ActiveX的Web浏览器;胖客户端需要从页面安装客户端

Esay VPN需要为每个客户端安装客户端软件。站点到站点需要在双方设备进行相应的配置。另外,由于需要安装软件,所以只有厂商支持的操作系统才能安装使用

📢友情提示:

SSL VPN与IPsec VPN各有各的特点,在进行选择时应该根据实际企业环境进行部署,这两种VPN技术可以同时使用。例如,公司到分公司使用IPsec VPN配置为站点到站点,而对于经常出差的员工则使用SSL VPN访问公司内部服务器。使用哪种技术不仅仅是考虑企业的环境,也要考虑成本及企业未来的发展,选择最合适的技术而不一定是最新的技术。


📖实验配置与实现:

拓扑图:

思科ASA防火墙配置SSL远程VPN_ide

📕推荐步骤:

  • PC机、防火墙、路由器Web_Server配置IP地址
  • ASA访问ISP的网站使用默认路由,R1访问ISP的网站使用默认路由,ISP访问PC1和PC2使用静态路由全网互通
  • ASA防火墙配置Easy VPN,PC2使用Easy VPN客户端访问PC1的网站服务


实验步骤:

一、PC机、防火墙、路由器Web_Server配置IP地址

1、PC1配置IP地址开启远程管理

1)给PC1接口配置IP地址

PC1(config)#no ip routing
PC1(config)#interface fastEthernet 0/0
PC1(config-if)#ip address 192.168.10.2 255.255.255.0
PC1(config-if)#no shutdown
PC1(config-if)#exit
PC1(config)#ip default-gateway 192.168.10.1
PC1(config)#end
PC1#show ip inter b

思科ASA防火墙配置SSL远程VPN_思科_02

2、ASA防火墙配置IP地址

1)SA接口配置IP地址

ASA1(config)#interface ethernet 0/0
ASA1(config-if)#nameif inside
ASA1(config-if)#ip address 192.168.10.1 255.255.255.0
ASA1(config-if)#no shutdown
ASA1(config-if)#exit

ASA1(config)#interface ethernet 0/1
ASA1(config-if)#nameif outside
ASA1(config-if)#ip address 192.168.20.1 255.255.255.0
ASA1(config-if)#no shutdown
ASA1(config-if)end
ASA1#show interface ip brief

思科ASA防火墙配置SSL远程VPN_思科_03

3、给ISP路由器配置IP地址

1)给ISP接口配置IP地址

ISP(config)#interface fastEthernet 0/0
ISP(config-if)#ip address 192.168.20.2 255.255.255.0
ISP(config-if)#no shutdown
ISP(config-if)#exit

ISP(config)#interface fastEthernet 1/0
ISP(config-if)#ip address 192.168.30.1 255.255.255.0
ISP(config-if)#no shutdown
ISP(config-if)#exit

ISP(config)#interface fastEthernet 2/0
ISP(config-if)#ip address 192.168.40.1 255.255.255.0
ISP(config-if)#no shutdown
ISP(config-if)#end
ISP#show ip inter b

思科ASA防火墙配置SSL远程VPN_防火墙_04

4、Web_Server配置IP地址地址开启网站功能

1)给Web_Server配置IP地址

WEB_Server(config)#interface fastEthernet 0/0
WEB_Server(config-if)#ip address 192.168.40.2 255.255.255.0
WEB_Server(config-if)#no shutdown
WEB_Server(config-if)#exit
WEB_Server(config)#ip default-gateway 192.168.40.1
WEB_Server(confiig)#end
WEB_Server#show ip inter b

思科ASA防火墙配置SSL远程VPN_防火墙_05

5、桥接的PC2配置IP地址

1)给桥接PC2配置IP地址思科ASA防火墙配置SSL远程VPN_ide_06

2)查看桥接PC2配置的IP地址思科ASA防火墙配置SSL远程VPN_ide_07

二、PC1访问PC2和ISP的WEB_Server服务器使用默认路由,PC2访问PC1使用静态路由,PC1访问ISP的Web_Server经过NAT地址转换

1、ASA1配置默认路由

1)在ASA1配置默认路由

ASA1(config)#route outside 0 0 192.168.20.2
ASA1(config)#end
ASA1#show route

思科ASA防火墙配置SSL远程VPN_SSL  VPN_08

2、在ISP配置静态路由实现PC2访问PC1

1)在ISP配置静态路由

ISP(config)#ip route 192.168.10.0 255.255.255.0 192.168.20.1
ISP(config)#end
ISP#show route

思科ASA防火墙配置SSL远程VPN_SSL  VPN_09

3、在ASA1配置NAT实现PC1访问ISP的Web_Server服务器

1)创建NAT转换规则识别走NAT的流量

ASA1(config)#nat (inside) 1 192.168.10.0 255.255.255.0
ASA1(config)#global (outside) 1 interface

思科ASA防火墙配置SSL远程VPN_思科_10

2)将icmp协议添加防火墙状态列表

ASA1(config)#fixup protocol icmp

思科ASA防火墙配置SSL远程VPN_SSL  VPN_11

3)PC1测试访问Web_Server

PC1#ping 192.168.40.2

思科ASA防火墙配置SSL远程VPN_SSL  VPN_12

4)查看ASA1地址转换列表

ASA1(config)#show xlate detail

思科ASA防火墙配置SSL远程VPN_防火墙_13

4、配置允许安全级别访问高

ASA1(config)#access-list out_to_in permit ip any any
ASA1(config)#access-group out_to_in in interface outside

思科ASA防火墙配置SSL远程VPN_防火墙_14

三、ASA防火墙配置SSL VPN

1、开启防火墙SSL VPN功能设置验证账户密码

1)开启SSL VPN功能

ASA1(config)#webvpn
ASA1(config-webvpn)#enable outside

思科ASA防火墙配置SSL远程VPN_防火墙_15

2)设置SSL VPN验证账户密码

ASA1(config)#username admin password pwf@123

思科ASA防火墙配置SSL远程VPN_客户端_16

2、配置组策略使用SSL VPN为无客户端模式

1)创建本地组策略名字local-policy

ASA1(config)#group-policy local-group internal

思科ASA防火墙配置SSL远程VPN_客户端_17

2)配置本地组策略属性

ASA1(config)#group-policy local-group attributes

思科ASA防火墙配置SSL远程VPN_防火墙_18

3)配置SSL VPN为无客户端模式

ASA1(config-group-policy)#vpn-tunnel-protocol webvpn
ASA1(config-group-policy)#exit

思科ASA防火墙配置SSL远程VPN_SSL  VPN_19

3、配置隧道组

1)创建隧道组名字为vpn-tunnel-group,VPN类型为SSL VPN

ASA1(config)#tunnel-group vpn-tunnel-group type webvpn

思科ASA防火墙配置SSL远程VPN_防火墙_20

2)配置隧道组属性

ASA1(config)#tunnel-group vpn-tunnel-group general-attributes

思科ASA防火墙配置SSL远程VPN_思科_21

3)隧道组调用本地组测率

ASA1(config-tunnel-general)#default-group-policy local-group

思科ASA防火墙配置SSL远程VPN_思科_22

4)配置验证使用本地验证

ASA1(config-tunnel-general)#authentication-server-group LOCAL

思科ASA防火墙配置SSL远程VPN_防火墙_23

4、配置下拉列表

1)隧道组指定下拉列表名字为benet.com

ASA1(config)#tunnel-group vpn-tunnel-group webvpn-attributes
ASA1(config-tunnel-webvpn)#group-alias benet.com enable
ASA1(config-tunnel-webvpn)#exit

思科ASA防火墙配置SSL远程VPN_SSL  VPN_24

2)开启下列表

ASA1(config)#webvpn
ASA1(config-webvpn)#tunnel-group-list enable
ASA1(coniig-webvpn)#end

思科ASA防火墙配置SSL远程VPN_思科_25

5、客户端给访问SSL VPN

1)访问PC1网站思科ASA防火墙配置SSL远程VPN_思科_26思科ASA防火墙配置SSL远程VPN_客户端_27

4)PC2访问ISP的Web_Server思科ASA防火墙配置SSL远程VPN_SSL  VPN_28思科ASA防火墙配置SSL远程VPN_SSL  VPN_29


💻好吧好吧本文到这就结束了

🙏作者水平很有限,如果发现错误,一定要及时告知作者哦!感谢感谢!思科ASA防火墙配置SSL远程VPN_客户端_30