【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙
【简介】SSL VPN Web模式下，只通过浏览器就可以访问远程内网，省去了安装客户端的烦恼，缺点的是支持的协议不多。FortiOS 7.4版本还支持走对方宽带上网。让我们来验证一下这个功能。
配置宽带
在配置SSL VPN之前，我们需要做一些准备工作。
① 防火墙固件版本为7.4.2。
② 将宽带接入WAN1接口。选择菜单【网络】-【接口】，选择wan1接口，点击【编辑】。
③ 为了验证效果，这里wan1接口连接是路由器。通过DHCP获得IP地址、网关及DNS等。实际使用环境一般连接是ADSL拨号宽带或固件IP宽带，获得或配置的公网IP要能远程访问。
④ DHCP和ADSL拨号宽带都会自动生成默认路由，因此不需要手动创建静态路由，只有配置固定IP宽带时，才需要手动配置默认路由。
⑤ 选择菜单【仪表板】-【网络】，查看路由小部件，可以看到wan1口自动生成的默认路由。ADSL拨号宽带也会自动生成默认路由。
⑥ 选择菜单【网络】-【DNS】，当宽带为DHCP或ADSL拨号时，这里会显示【动态获得DNS服务器】，注意这里重要。因为防火墙做域名解析会用到。
配置用户和用户组
SSL VPN登录时需要验证用户名和密码，所以需要在防火墙上预先配置。
① 用户和用户组的配置可以不分先后，这里我习惯先配置用户组。选择菜单【用户与认证】-【用户组】，点击【新建】。
② 输入自定义的用户组名，点击【确认】，这样一个空的用户组就创建好了。
③ 选择菜单【用户与认证】-【设置用户】，点击【新建】。
④ 用户类型默认为【本地用户】，点击【下一步】。
⑤ 输入自定义的用户名和密码，点击【下一步】。
⑥ 联系人信息保持默认，不要启用【双因子认证】，点击【下一步】。
⑦ 启用【用户组】，选择刚才创建的【SSL_VPN_Users】用户组，点击【提交】，新用户就创建好了，并加入了SSL VPN用户组。如果要创建多个用户，重复上述步骤即可。
配置SSL VPN门户
对于SSL VPN门户，FortiOS 7.4版本和以前的版本相比有很多不同之处。
① 点击菜单【VPN】，在子菜单中并没看到我们熟悉的SSL VPN菜单，这是因为FortiOS 7.4将力推更安全的ZTNA，那如果仍然想使用SSL VPN怎么办？
② 选择菜单【系统管理】-【可见功能】，启用【SSL-VPN】，点击【应用】。
③ 再次查看VPN菜单，可以看到有了SSL VPN子菜单，点击【SSL-VPN门户】，可以看到默认门户只有两个，而以前版本还有一个web-access。点击【新建】。
④ 新建SSL-VPN门户内容里，也没有以前熟悉的Web模式。这是因为Web模式相对来说安全级别不高，被新版本关闭了。
⑤ 在命令窗口下使用命令 config system global, set ssl--web-mode enable 启用SSL VPN的Web模式，end保存并退出。
⑥ 选择菜单【VPN】-【SSL-VPN门户】，可以看到熟悉的web-access又出现了，选择【web-access】，点击编辑。
⑦ 新版本出于安全原因，不建议使用SSL VPN Web模式。这里保持默认配置，不做修改。
配置SSL VPN设置
下一步进行SSL VPN设置。
① 选择菜单【VPN】-【SSL-VPN设置】，接口选择前面配置好的【wan1】，监听端口默认是443，会和防火墙的HTTPS管理端口号冲突，这里需要修改一下。
② 监听端口改为【10443】，当然也可以改成其它数字。点击【服务器证书】右边下拉按钮，弹出菜单选择【Fortinet_Factory】，服务器证书可以用防火墙自带的，也可以使用自定义的证书，必须选择，不能空白，否则后面会报错。
③ 【限制主机有限访问】可以对源IP进行限制，例如只允许国内IP访问，或只允许家中宽带访问。【空闲登录】默认300秒没有操作，就退出SSL VPN。这里都保持默认配置。
④ 在认证/门户映射点击【新建】。
⑤ 用户/组选择前面创建的【SSL_VPN_Users】用户组，门户选择【web-access】。点击【确认】。
⑥ 映射创建成功，注意【全部其它用户/组】，门户为【尚未设置】，这个一定要设置，不然配置无法完成，点击【尚未设置】，选择一个门户。
⑦ 建议选择功能最少的【web-access】，全部设置完成，点击【应用】。
配置SSL VPN策略
SSL VPN门户和SSL VPN设置都配置完后，下一步就是配置SSL VPN的策略了。
① 选择菜单【策略&对象】-【防火墙策略】，可以看到目前只有一条隐式拒绝策略，没有其它策略。点击【新建】。
② SSL VPN会自动创建一个虚拟接口，进入流量都是通过这个虚拟接口表达。创建一条SSL VPN虚拟接口走wan1口上网的策略，和普通接口上网策略的不同的是，源这里做了两次验证，一个是验证IP地址，另一个是用户名和密码，两者必须都满足才能匹配策略。
③ 为了查看流量的情况，这里我们将日志记录允许流量更改为【全部会话】。正常运行后不建议选择【全部会话】，因为大量生成日志会占系统资源。
④ SSL VPN访问宽带接口的策略就创建好了，注意最后面的字节数为0B。
验证效果
下面我们将模仿从外网通过SSL VPN Web模式登录，以验证是否可以通Web模式上网。
① 将电脑网卡接入路由器，只配置IP地址和子网掩码，不配置网关和DNS，那么这台电脑确认是无法上网的。
② 在SSL VPN设置界面中，可以看到Web模式访问的完整地址。
③ 浏览器输入地址 https://172.16.200.2:10443，显示登录界面，输入创建的用户名和密码，点击【登录】。
④ 快速连接默认是HTTP/HTTPS，输入域点，例如 baidu.com ，点击【Launch now】。
⑤ 竟然打开了百度网站，要知道此时电脑只配置了IP地址和子网掩码，没有配置网关和DNS，是不可能上网的。
⑥ 查看浏览器访问地址，可以证实是由防火墙后的宽带上网的。
⑦ 同样的方法访问IP地址查询网站，例如ip138.com，可以看到最终上网IP是来自路由器上的宽带。
⑧ 虽然可以通过浏览器走远程防火墙上网，但是访问不同的网站只能在SSL VPN Portal上输入域名，不过对经常访问的网站可以建立书签。
⑨ 点击【Create new bookmark】，可以创建书签。
⑩ 点击书签就可以直接打开网站，不用再输入域名了。是不是很方便？
进阶
愿意动脑子的可以再进行深入研究，这里抛个砖。
① 由于在配置SSL VPN虚拟接口上网策略时启用了记录全部日志，因此选择菜单【日志&报表】-【转发流量】，可以看到日志内容显示，用户wenwen访问baidu.com，走的是wan1口，匹配第一条策略。
② 回到策略列表，可以看到，明明已经上网产生了流量，但是策略最后面的字节数仍然为0B，有谁知道这是为什么？
③ 现在我们再模拟固定IP宽带，wan1接口配置静态IP。
④ 再创建一条默认静态路由。
⑤ 再回到DNS设置页面，【动态获取DNS服务器】已经不在再显示了。防火墙自身的解析工作由默认的96.45.45.45、96.45.46.46完成。
⑥ 再次SSL VPN登录，访问其它网站。
⑦ 除了少部分网站外，大部分网站都无法打开。原因是DNS解析失败。
⑧ 再次回到DNS设置界面，将DNS服务器设置为【设置】，主DNS服务器输入宽带本身的DNS IP地址，备服务器输入通用的DNS IP地址。注意DNS协议要启用【DNS (UDP/53)】，这样我们输入的DNS IP才能起作用。
⑨ 再次访问相同的网址，就可以正常打开了。
【总结】SSL VPN Web模式下只用浏览器，就可以远程登录防火墙，并通过防火墙上的宽带上网，虽然只支持HTTP和HTTPS协议，但是无需安装客户端，就能远程浏览网页，已经是非常不错了。
