SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙

 

        【简介】从概念角度来说,SSL VPN即指采用SSL (Security Socket Layer)协议来实现远程接入的一种新型VPN技术。SSL协议是网景公司提出的基于WEB应用的安全协议,它包括:服务器认证、客户认证(可选)、SSL链路上的数据完整性和SSL链路上的数据保密性。对于内、外部应用来说,使用SSL可保证信息的真实性、完整性和保密性。


  SSL VPN 与 IPsec VPN 的区别

        SSL VPN,与传统的IPSec VPN技术各具特色,各有千秋。SSL VPN比较适合用于移动用户的远程接入(Client-Site),而IPSec VPN则在网对网(Site-Site)的VPN连接中具备先天优势。这两种产品将在VPN市场上长期共存,优势互补。在产品的表现形式上,两者有以下几大差异:
        1、IPsec VPN多用于“网—网”连接,SSL VPN用于“移动客户—网”连接。SSL VPN的移动用户使用标准的浏览器,无需安装客户端程序,即可通过SSL VPN隧道接入内部网络;而IPSec VPN的移动用户需要安装专门的IPSec客户端软件。
        2、SSL VPN是基于应用层的VPN,而IPsec VPN是基于网络层的VPN。IPsec VPN对所有的IP应用均透明;而SSL VPN保护基于Web的应用更有优势,当然好的产品也支持TCP/UDP的C/S应用,例如文件共享、网络邻居、Ftp、Telnet、Oracle等。
        3、SSL VPN用户不受上网方式限制,SSL VPN隧道可以穿透Firewall;而IPSec客户端需要支持“NAT穿透”功能才能穿透Firewall,而且需要Firewall打开UDP500端口。
        4、SSL VPN只需要维护中心节点的网关设备,客户端免维护,降低了部署和支持费用。而IPSec VPN需要管理通讯的每个节点,网管专业性较强。
        5、SSL VPN 更容易提供细粒度访问控制,可以对用户的权限、资源、服务、文件进行更加细致的控制,与第三方认证系统(如:radius、AD等)结合更加便捷。而IPSec VPN主要基于IP组对用户进行访问控制。

  SSL VPN 设置前的准备

        由于Fortigate在5.2版中有了很大的变化,和以前的设置方法有很大的不同,所以请注意OS的版本。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第1张图片

        ① 首先需要定义一组SSL VPN拨号成功后产生的IP地址范围,飞塔默认地址对象名为SSLVPN_TUNNER_ADDR1,地址范围是:10.212.134.200-10.212.134.210,如果对SSL VPN自动生成的IP地址不太在意的话,可以使用默认的设置。这里我们手动建立一条地址对象,对象里的IP地址范围就是SSL VPN连接成功后分配的IP地址。接口必须选择ssl.root。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第2张图片

        ② 因为要确认SSL VPN连接成功后允许访问内网的哪些IP地址,这里需要建立一条地址对象,指定内网的IP地址范围。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第3张图片

        ③ 正常情况下,内网会有多个网段同时存在,为了SSL VPN可以访问内网的多个网段,这里再设置一条地址对象,指定内网的另一段IP地址。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第4张图片

        ④ 允许哪个用户可以访问SSL VPN,需要进行用户验证,这里我们在防火墙里新建一个用户。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第5张图片

        ⑤ 为了方便的管理多个用户,还需要建立一个组,把用户加入到组里面。

  SSL VPN 设置

        准备工作做完后,就可以开始配置SSL VPN环境了。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第6张图片

        ① 首先是配置SSL VPN入口,默认有三种登录方法,网页模式、隧道模式和两者都有的全模式。为了了解它们有什么不同,这里选择全模式,点击编辑。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第7张图片

        ② 在隧道模式的选项里路由地址为需要访问的内网地址,源IP池里也从默认的选项改成自定义的地址对象。网页模式不用修改。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第8张图片

        ③ 在SSL VPN的设置选项里,接口监听选择外网接口,也就是SSL VPN从哪根宽带进入。端口默认是443,但这个会与防火墙的https访问端口相冲突,所以这里端口改为10443,也可以根据喜好改成4430什么的,只要不冲突就行。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第9张图片

        ④ 地址范围这里需要选择特定自定义IP范围,然后加入专用的地址对象。认证这里将前面建立的SSL-VPN-User组加入,入口为全模式访问。 全部其它用户/组默认入口是红色的,必须要选择一个访问模式才能保存,这里随意选了一个网页访问。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第10张图片

        ⑤ 因为包含了隧道模式,就需要建立一条静态路由,即所有SSL VPN产生的地址都只走ssl.root接口。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第11张图片

        ⑥ 新建一条策略,允许SSL VPN访问内网指定的IP地址范围。这个介面与其它OS版本不同。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第12张图片

        ⑦ 还需要建一条策略,允许SSL VPN访问的返回。 这样,SSL VPN就设置好了。

  客户端下载与安装

        打开Firefox浏览器,输入防火墙外网地址加端口10443 ,就可以看到一个登录介面。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第13张图片

        ① 如果没有出现这个登录介面,说明SSL VPN没有配置成功。输入在防火墙建立的用户名和密码,就可以进入了。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第14张图片

        ② 登录后,可以看到登录的状态、时间、流量等信息,作为网页访问模式,在连接工具那里输入网页地址,就可以安全的访问站点了。如果作为隧道访问模式,还需要下载客户端。在这里可以下载多种客户端。

        ③ 这里下载的只是一个很小的安装引导程序。

        ④ 启动安装引导程序,才开始下载真正的安装程序。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第15张图片

        ⑤ 开始启动安装,这里省略安装过程,安装完后会提示重启。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第16张图片

        ⑥ 重启后会提示安装驱动程序。FortiClient不光只是客户端登录程序,同时还具备杀毒功能,可以根据提示是否安装杀毒功能。

  客户端连接及测试

        客户端安装完成后,需要经过简单配置,就可以用来与防火墙进行SSL VPN连接了。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第17张图片

        ① 启动客户端,点击配置VPN。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第18张图片

        ② 新建SSL VPN连接,输入连接名和描述,无程网关为防火墙的外网接口IP,端口默认是443,这里需要改成10443。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第19张图片

        ③ 然后就可以输入用户名和密码进行登录了。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第20张图片

        ④ 连接成功了,在右下角就会出现这个提示。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第21张图片

        ⑤ 双击右下角的FortiClient图标,可以在弹出窗口看到连接的情况。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第22张图片

        ⑥ 可以看到本机多了一个虚拟网卡。IP就是我们在地址对象设置的IP范围。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第23张图片

        ⑦ Ping防火墙的内网地址和内网连接的电脑的地址,都可以Ping通,说明SSL VPN连接成功。

  通过 SSL VPN 访问互联网

        有的时候为了网络安全会限制客户端上网,如果客户端要上网,只能通过SSL VPN经过防火墙上网,要达到这个功能,设置上需要做个改动,并增加一条允许SSL VPN上网的策略。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第24张图片

        ① 首先,在入口的全访问模式下,不再启用隧道分割。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第25张图片

        ② 在SSL VPN设置中指定DNS,这是因为很多客户端的DNS会设置成默认网关。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第26张图片

        ③ 新建一条策略,允许SSL VPN通过Wan1上网,这里一定要加入用户组。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第27张图片

        ④ 再次连接成功后,就可以看到这次得到了DNS,网关也不是空的,为0.0.0.0。

SSL篇(5.2) 01. SSL - FortiClient 客户端 ❀ 飞塔 (Fortinet) 防火墙_第28张图片

        ⑤ Ping网站地址,例如www.163.com,可以看到客户端接收和发送字节数都是跳动,说明是通过SSL VPN在访问外网了。

 

飞塔技术-老梅子   QQ:57389522

 


你可能感兴趣的:(飞塔防火墙,-,隧道篇)