第4章虛擬專用網技術編著：

秦燊勞翠金

任務4.3.1配置無客戶端SSLVPN

SSL（SecureSocketsLayer，安全套接層）是一個工作在TCP與應用層之間的安全協議。它綜合運用了各種加密技術，實現了私密性、信息完整性和身份認證等特性，可用于加密HTTP、郵件、VPN等。

第3章中介紹了SSL在加密HTTP方面的應用，下面，分別對無客戶端SSLVPN，瘦客戶端SSLVPN，厚客戶端SSLVPN進行講解。4.3SSLVPN

如圖4-3-1所示，打開EVE-NG，搭建實驗拓撲。任務4.3.1配置無客戶端SSLVPN圖4-3-1SSLVPN實驗拓撲圖

無客戶端的Web接入是SSLVPN最常見的接入方式，采用Web反向代理技術。具體配置如下：

一、外網Win7主機的配置外網Win7主機用于模擬在外出差員工電腦，同時用作圖形界面網管防火墻的電腦。方法是通過VMware打開第二章防火墻實驗中的Win7網管電腦，將其恢復到第二章實驗時保存的快照，即恢復到已經安裝好“JRE和ASDM”狀態的快照，并將IP地址等基本配置按新實驗更改如下：IP地址：子網掩碼:缺省網關:不要配置網絡連接到：VMnet1二、內網服務器及外網電腦的配置通過VMware打開第二章防火墻實驗中的DMZ服務器Win2003，將其恢復到第二章實驗時保存的快照，即已經安裝好“IIS”狀態的快照，并將IP地址等基本配置更改如下：IP地址：子網掩碼：缺省網關:54網絡連接到：VMnet2在IIS中，停用之前的網站，并新建一個網站，本機上測試能正常訪問。三、路由器和防火墻的基本配置1.路由器R1的基本配置，命令如下：R1(config)#intg0/0R1(config-if)#ipaddR1(config-if)#noshuR1(config)#intg0/1R1(config-if)#ipadd54R1(config-if)#noshu2.防火墻的IP地址、接口命名、接口安全級別等配置，命令如下：ciscoasa(config)#intg0/1ciscoasa(config-if)#ipadd54ciscoasa(config-if)#noshuciscoasa(config-if)#nameifOutsideINFO:Securitylevelfor"Outside"setto0bydefault.ciscoasa(config-if)#intg0/0ciscoasa(config-if)#ipadd54ciscoasa(config-if)#noshuciscoasa(config-if)#nameifInsideINFO:Securitylevelfor"Inside"setto100bydefault.3.啟用對ASAv防火墻的圖形界面管理，命令如下：ciscoasa(config)#httpserverenableciscoasa(config)#http00Outside四、內網路由表的配置內網有兩個網段。內網路由器與兩個網段都直連，無需配置路由表；防火墻只直連了內網的一個網段，需要為另一個網段配置靜態路由，配置命令如下：ciscoasa(config)#routeinside五、檢測防火墻的當前日期和時間，將其設置成與Win7電腦的日期和時間同步ciscoasa(config)#showclock//查看當前日期和時間ciscoasa(config)#clockset18:32:0030Dec2023//設置日期和時間六、SSLVPN無客戶端方式的配置（一）圖形界面的配置1.在外網的Win7上，運行ASDM，輸入防火墻外網接口地址54，用戶名和密碼留空，點擊“OK”按鈕，進入防火墻的圖形管理界面。2.如圖4-3-2所示，找到Configuation>RemmoteAccessVPN>ClientlessSSLVPNAccess>ConnectionProfiles>在“EnableinterfacesforclientlessSSLVPNaccess”中勾選Outside接口>點擊“Apply”按鈕。允許無客戶端SSLVPN從防火墻外網接口連接。圖4-3-2SSLVPN無客戶端方式的配置13.如圖4-3-3所示，找到Configuation>RemmoteAccessVPN>AAA/LocalUsers>LocalUsers>點擊“Add”按鈕>創建新用戶“user1”，密碼設為“cisco@1234”>點擊“OK”按鈕>點擊“Apply”按鈕。圖4-3-3SSLVPN無客戶端方式的配置2（二）字符界面的配置與圖形界面類似，可用字符界面實現同樣的功能，命令如下：ciscoasa(config)#webvpnciscoasa(config-webvpn)#enableOutsideINFO:WebVPNandDTLSareenabledon'Outside'.ciscoasa(config-webvpn)#exitciscoasa(config)#usernameuser1passwordcisco@1234六、測試1.在外網的Win7電腦上，打開瀏覽器，輸入54，訪問防火墻的SSLVPN服務。2.出現“此網站的安全證書有問題”的提示時，點擊“繼續瀏覽此網站（不推薦）”繼續。3.輸入用戶名user1及密碼cisco@1234，點擊“Login”按鈕。用win7訪問https是正常的，但若采用Win2003訪問https會失敗。這是因為win2003及其早期版本不支持SHA2，導致HTTPS交互失敗。若要使用Win2003訪問，解決的方法一是給win2003打上968730的補丁，重啟win2003服務器；二是為win2003安裝支持SHA2的瀏覽器，如：百度瀏覽器、oprea瀏覽器等。