【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙

  【简介】SSL VPN Web模式下,只通过浏览器就可以访问远程内网,省去了安装客户端的烦恼,缺点的是支持的协议不多。FortiOS 7.4版本还支持走对方宽带上网。让我们来验证一下这个功能。


 配置宽带

  在配置SSL VPN之前,我们需要做一些准备工作。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第1张图片

  ① 防火墙固件版本为7.4.2。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第2张图片

  ② 将宽带接入WAN1接口。选择菜单【网络】-【接口】,选择wan1接口,点击【编辑】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第3张图片

  ③ 为了验证效果,这里wan1接口连接是路由器。通过DHCP获得IP地址、网关及DNS等。实际使用环境一般连接是ADSL拨号宽带或固件IP宽带,获得或配置的公网IP要能远程访问。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第4张图片

  ④ DHCP和ADSL拨号宽带都会自动生成默认路由,因此不需要手动创建静态路由,只有配置固定IP宽带时,才需要手动配置默认路由。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第5张图片

  ⑤ 选择菜单【仪表板】-【网络】,查看路由小部件,可以看到wan1口自动生成的默认路由。ADSL拨号宽带也会自动生成默认路由。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第6张图片

  ⑥ 选择菜单【网络】-【DNS】,当宽带为DHCP或ADSL拨号时,这里会显示【动态获得DNS服务器】,注意这里重要。因为防火墙做域名解析会用到。

  配置用户和用户组

  SSL VPN登录时需要验证用户名和密码,所以需要在防火墙上预先配置。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第7张图片

  ① 用户和用户组的配置可以不分先后,这里我习惯先配置用户组。选择菜单【用户与认证】-【用户组】,点击【新建】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第8张图片

  ② 输入自定义的用户组名,点击【确认】,这样一个空的用户组就创建好了。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第9张图片

  ③ 选择菜单【用户与认证】-【设置用户】,点击【新建】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第10张图片

  ④ 用户类型默认为【本地用户】,点击【下一步】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第11张图片

  ⑤ 输入自定义的用户名和密码,点击【下一步】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第12张图片

  ⑥ 联系人信息保持默认,不要启用【双因子认证】,点击【下一步】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第13张图片

  ⑦ 启用【用户组】,选择刚才创建的【SSL_VPN_Users】用户组,点击【提交】,新用户就创建好了,并加入了SSL VPN用户组。如果要创建多个用户,重复上述步骤即可。

  配置SSL VPN门户

  对于SSL VPN门户,FortiOS 7.4版本和以前的版本相比有很多不同之处。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第14张图片

  ① 点击菜单【VPN】,在子菜单中并没看到我们熟悉的SSL VPN菜单,这是因为FortiOS 7.4将力推更安全的ZTNA,那如果仍然想使用SSL VPN怎么办? 

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第15张图片

  ② 选择菜单【系统管理】-【可见功能】,启用【SSL-VPN】,点击【应用】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第16张图片

  ③ 再次查看VPN菜单,可以看到有了SSL VPN子菜单,点击【SSL-VPN门户】,可以看到默认门户只有两个,而以前版本还有一个web-access。点击【新建】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第17张图片

  ④ 新建SSL-VPN门户内容里,也没有以前熟悉的Web模式。这是因为Web模式相对来说安全级别不高,被新版本关闭了。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第18张图片

  ⑤ 在命令窗口下使用命令 config system global, set ssl--web-mode enable 启用SSL VPN的Web模式,end保存并退出。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第19张图片

  ⑥ 选择菜单【VPN】-【SSL-VPN门户】,可以看到熟悉的web-access又出现了,选择【web-access】,点击编辑。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第20张图片

  ⑦ 新版本出于安全原因,不建议使用SSL VPN Web模式。这里保持默认配置,不做修改。

  配置SSL VPN设置

  下一步进行SSL VPN设置。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第21张图片

   ① 选择菜单【VPN】-【SSL-VPN设置】,接口选择前面配置好的【wan1】,监听端口默认是443,会和防火墙的HTTPS管理端口号冲突,这里需要修改一下。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第22张图片

  ② 监听端口改为【10443】,当然也可以改成其它数字。点击【服务器证书】右边下拉按钮,弹出菜单选择【Fortinet_Factory】,服务器证书可以用防火墙自带的,也可以使用自定义的证书,必须选择,不能空白,否则后面会报错。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第23张图片

  ③ 【限制主机有限访问】可以对源IP进行限制,例如只允许国内IP访问,或只允许家中宽带访问。【空闲登录】默认300秒没有操作,就退出SSL VPN。这里都保持默认配置。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第24张图片

  ④ 在认证/门户映射点击【新建】。

  ⑤ 用户/组选择前面创建的【SSL_VPN_Users】用户组,门户选择【web-access】。点击【确认】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第25张图片

  ⑥ 映射创建成功,注意【全部其它用户/组】,门户为【尚未设置】,这个一定要设置,不然配置无法完成,点击【尚未设置】,选择一个门户。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第26张图片

  ⑦ 建议选择功能最少的【web-access】,全部设置完成,点击【应用】。

  配置SSL VPN策略

  SSL VPN门户和SSL VPN设置都配置完后,下一步就是配置SSL VPN的策略了。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第27张图片

  ① 选择菜单【策略&对象】-【防火墙策略】,可以看到目前只有一条隐式拒绝策略,没有其它策略。点击【新建】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第28张图片

  ② SSL VPN会自动创建一个虚拟接口,进入流量都是通过这个虚拟接口表达。创建一条SSL VPN虚拟接口走wan1口上网的策略,和普通接口上网策略的不同的是,源这里做了两次验证,一个是验证IP地址,另一个是用户名和密码,两者必须都满足才能匹配策略。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第29张图片

  ③ 为了查看流量的情况,这里我们将日志记录允许流量更改为【全部会话】。正常运行后不建议选择【全部会话】,因为大量生成日志会占系统资源。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第30张图片

  ④ SSL VPN访问宽带接口的策略就创建好了,注意最后面的字节数为0B。

  验证效果

  下面我们将模仿从外网通过SSL VPN Web模式登录,以验证是否可以通Web模式上网。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第31张图片

  ① 将电脑网卡接入路由器,只配置IP地址和子网掩码,不配置网关和DNS,那么这台电脑确认是无法上网的。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第32张图片

  ② 在SSL VPN设置界面中,可以看到Web模式访问的完整地址。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第33张图片

  ③ 浏览器输入地址 https://172.16.200.2:10443,显示登录界面,输入创建的用户名和密码,点击【登录】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第34张图片

  ④ 快速连接默认是HTTP/HTTPS,输入域点,例如 baidu.com ,点击【Launch now】。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第35张图片

  ⑤ 竟然打开了百度网站,要知道此时电脑只配置了IP地址和子网掩码,没有配置网关和DNS,是不可能上网的。

  ⑥ 查看浏览器访问地址,可以证实是由防火墙后的宽带上网的。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第36张图片

  ⑦ 同样的方法访问IP地址查询网站,例如ip138.com,可以看到最终上网IP是来自路由器上的宽带。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第37张图片

  ⑧ 虽然可以通过浏览器走远程防火墙上网,但是访问不同的网站只能在SSL VPN Portal上输入域名,不过对经常访问的网站可以建立书签。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第38张图片

  ⑨ 点击【Create new bookmark】,可以创建书签。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第39张图片

  ⑩ 点击书签就可以直接打开网站,不用再输入域名了。是不是很方便?

  进阶

  愿意动脑子的可以再进行深入研究,这里抛个砖。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第40张图片

  ① 由于在配置SSL VPN虚拟接口上网策略时启用了记录全部日志,因此选择菜单【日志&报表】-【转发流量】,可以看到日志内容显示,用户wenwen访问baidu.com,走的是wan1口,匹配第一条策略。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第41张图片

  ② 回到策略列表,可以看到,明明已经上网产生了流量,但是策略最后面的字节数仍然为0B,有谁知道这是为什么?

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第42张图片

  ③ 现在我们再模拟固定IP宽带,wan1接口配置静态IP。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第43张图片

  ④ 再创建一条默认静态路由。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第44张图片

  ⑤ 再回到DNS设置页面,【动态获取DNS服务器】已经不在再显示了。防火墙自身的解析工作由默认的96.45.45.45、96.45.46.46完成。

  ⑥ 再次SSL VPN登录,访问其它网站。

  ⑦ 除了少部分网站外,大部分网站都无法打开。原因是DNS解析失败。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第45张图片

  ⑧ 再次回到DNS设置界面,将DNS服务器设置为【设置】,主DNS服务器输入宽带本身的DNS IP地址,备服务器输入通用的DNS IP地址。注意DNS协议要启用【DNS (UDP/53)】,这样我们输入的DNS IP才能起作用。

【隧道篇 / SSL】(7.4) ❀ 02. 通过SSL VPN Web模式走对方宽带上网 ❀ FortiGate 防火墙_第46张图片

  ⑨ 再次访问相同的网址,就可以正常打开了。

  【总结】SSL VPN Web模式下只用浏览器,就可以远程登录防火墙,并通过防火墙上的宽带上网,虽然只支持HTTP和HTTPS协议,但是无需安装客户端,就能远程浏览网页,已经是非常不错了。


你可能感兴趣的:(#,SSL,SSL,Web,模式,FortiOS,7.4)