【正文】 分進(jìn)行復(fù)制、摘錄、備份、修改、傳播、翻譯成其它語言、將其全部或部分用于商業(yè)用途。虛擬專用網(wǎng)是對企業(yè)內(nèi)部網(wǎng)的擴(kuò)展。另外，虛擬專用網(wǎng)還可 以保護(hù)現(xiàn)有的網(wǎng)絡(luò)投資。加密數(shù)據(jù)，以保證通過公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會(huì)泄露。提供訪問控制，不同的用戶有不同的訪問權(quán)限。子網(wǎng)互聯(lián)通道保護(hù)兩臺(tái)防 火墻后面的子網(wǎng)機(jī)器的通信。 確認(rèn)地址信息 首先確認(rèn)四個(gè)地址：兩個(gè)防火墻的外網(wǎng)口地址（走缺省路由的網(wǎng)口是外網(wǎng)口）和子網(wǎng)網(wǎng)段。 將遠(yuǎn)端地址類型選為“指定地址”，填入 遠(yuǎn)端子網(wǎng)填入 選擇一種認(rèn)證方式 預(yù)共享密鑰則從預(yù)共享密鑰庫中選擇一個(gè)密鑰 證書認(rèn)證則從證書庫中選擇一個(gè)證書 手動(dòng)密鑰則從手動(dòng)密鑰庫中選擇一個(gè)密鑰 點(diǎn)擊“保存修改“按鈕完成策略的建立。 在 ，然后點(diǎn)擊新上傳策略的狀態(tài)欄使其呈亮色?？蛻粢褂?vpnclient 來連接防火墻，必須購買 USB 接口的 VPN令牌，在連接時(shí)插在 windows機(jī)器上。 建立策略 在防火墻 上建立新策略。 選擇一種認(rèn)證方式 預(yù)共享密鑰則從預(yù)共享密鑰庫中選擇一個(gè)密鑰 證書認(rèn)證則從證書庫中選擇一個(gè)證書 點(diǎn)擊保存修改按鈕完成策略的建立。 將 VPN 令牌插入防火墻的 USB 接口。 在策略下拉列表選擇剛剛新建的策略。 在客戶端機(jī)器上安裝 vpnclient 軟件。 6 修改 VPN 令牌口令 VPN 令牌的口令缺省為 12345678。 如果 VPN 令牌是被鎖的狀態(tài)，則已經(jīng)被解鎖。 7 關(guān)閉 VPN 功能 點(diǎn)擊“關(guān)閉 VPN功能”項(xiàng)，即可關(guān)閉防火墻的 VPN功能，此時(shí)“ VPN 模塊狀態(tài)”顯示為“ OFF”。 預(yù)共享密鑰 預(yù)共享密鑰是雙方同時(shí)使用的密鑰。 刪除“手動(dòng)密鑰” 打開“手動(dòng)密鑰”頁，在“手動(dòng) 密鑰變量列表 ”中選擇要?jiǎng)h除的變量名，點(diǎn)擊“刪除此變量”即可。 證書中心機(jī)器的操作 證書中心機(jī)器支持?jǐn)?shù)字證書和 CA 證書的生成與維護(hù)。 生成 CA 證書 CA證書只能存在一個(gè)，生成新證書的同時(shí)，舊證書即被刪除。 非證書中心機(jī)器操作 非證書中心機(jī)器不具有數(shù)字證書及 CA 證書的生成與維護(hù)功能。 第 5 章 策略庫 策略庫頁面主要完成 VPN 通道策略的建立、刪除、修改、導(dǎo)入、導(dǎo)出等操作。 本地地址：包括隧道 IP 與內(nèi)網(wǎng) ip，隧道 IP 不用用戶指定，用戶需選定內(nèi)網(wǎng) IP。 子網(wǎng)互聯(lián)時(shí)，如果選擇了手動(dòng)認(rèn)證方式的話，遠(yuǎn)端地址必須指定（這是由這種認(rèn)證方式定的） 。 刪除策略 點(diǎn)擊“ ”按鈕，刪除對應(yīng)策略。例如： bb 是子網(wǎng)互連， aaa 是遠(yuǎn)程接入。若策略名稱與本機(jī)策略同名或策略文件格式不符合網(wǎng)關(guān)策略，則給出相應(yīng)的提示，策 略導(dǎo)入失敗。若用戶丟失令牌可在網(wǎng)關(guān)數(shù)據(jù)庫刪除相應(yīng)的令牌記錄，這樣既使別人擁有令牌和 pin，也無法建立通道，確保通道不被非法使用。 license 管理界面 17 列表顯示 license 數(shù)據(jù)庫中的全部內(nèi)容。 注 ： 如果該令牌此時(shí)插在防火墻上，則顯示為綠色。 令牌口令管理 vpn 令牌 pin 包括用戶 pin 和管理員 pin（ so pin）?！?PIN 輸錯(cuò)剩余次數(shù)”最大值為 15，超過此值令牌將被鎖定，解鎖后方可以繼續(xù)使用。 19 ⑶ 、 VpnClient 客戶端程序安裝完成。 21 策略管理 單擊主界面“策略”菜單或在策略屬性欄內(nèi)單擊鼠標(biāo)右鍵，出現(xiàn)策略管理菜單，設(shè)置項(xiàng)目分別如下： （ 1）、添加：添加一條新策略。 安全通道管理 雙擊主界面上任一策略，進(jìn)入策略修改界面。 本機(jī)地址設(shè)定 與遠(yuǎn)端網(wǎng)關(guān)或主機(jī)進(jìn)行通信，需指定本機(jī)地址。 認(rèn)證方式設(shè)定 VPNClient 客戶端支持兩種認(rèn)證方式：預(yù)共享密鑰和證書模式（同時(shí)只能指定一種模式）。 （ 2）、預(yù)共享密鑰 選中“此字串用來密鑰交換（預(yù) 共享密鑰）”項(xiàng)，輸入預(yù)共享密鑰。 （ 2）、編輯：選項(xiàng)及參數(shù)同上。 26 IPSec 策略指派 指派一條活動(dòng)策略，一 次只能指派一個(gè) IPSec 策略。 。 單擊“系統(tǒng)” “刷新”或單擊“ ”按鈕，使已指派的策略生效。 注 ：“會(huì)話密鑰一直向前保密”為可選項(xiàng)項(xiàng)。 可選的安全策略有高級、中級、自定義 3 種。 （ 1）、證書模式 24 選中“適用由此證書頒發(fā)機(jī)構(gòu)（ CA）頒發(fā)的證書”項(xiàng)，設(shè)置證書模式。 22 否則，請選擇“選擇地址”或“選擇網(wǎng)卡”選項(xiàng)，指定本機(jī)地址。 雙擊通道列表中的特定通道或選擇特定通道后單擊“編輯”按鈕，進(jìn)入通道管理界面。 （ 3）、指派：指派一條策略為當(dāng)前策略（存在多條策略時(shí)，僅能指派一條策略有效）。 客戶端程序會(huì)進(jìn)行許可證網(wǎng)絡(luò)驗(yàn)證 (程序自動(dòng)完成，如果未連接到指定服務(wù)器，則程序自動(dòng)終止 )。 18 第 7 章 VPNClient 管理 VPNClient 安裝 ⑴ 、運(yùn)行 VpnClient 安裝程序 。 如果令牌被鎖定，可到令牌管理界面對防火墻的令牌解鎖或者重新設(shè)置用戶 pin。 點(diǎn)擊“分發(fā)“按鈕進(jìn)入分發(fā)參數(shù)選擇頁，生成 24 位的 License，也可以點(diǎn)擊“ 生成”按鈕重新生成。 注 ：第一次分發(fā)，“ License”和“使用策略”欄均顯示為空，“狀態(tài)”欄為“活動(dòng)就緒” 。 license 管理 license 管理子模塊負(fù)責(zé) license 分發(fā)和策略分發(fā)的功 能，將 license key 以及安全策略分發(fā)給vpn 令牌。令牌使用了用戶 pin、證書或者預(yù)共享密鑰的雙重認(rèn)證，集成復(fù)雜的硬件加密功能，確保通道建立，使用更加安全方便。 導(dǎo)入策略 注：這里指網(wǎng)關(guān)導(dǎo)入策略，不是客戶端導(dǎo)入策略 點(diǎn)擊“瀏覽”查找相應(yīng)的策略文件（如： ）。例：策略 bb,導(dǎo)處后文件為 。 更改策略狀態(tài) 點(diǎn)擊“ ”按鈕，更改對應(yīng)策略的狀態(tài)， on –亮色 off—暗色。“指定地址”即 指定遠(yuǎn)端地址， 若遠(yuǎn)端地址有子網(wǎng)，須寫入子網(wǎng)地址 。 遠(yuǎn)程接入 （即遠(yuǎn)程終端接入）圖例： 子網(wǎng)互聯(lián) （即網(wǎng)關(guān)互聯(lián)模式）圖例： 建立“安全策略”時(shí)，首先要選擇“連接方式”，然后依次完成各項(xiàng)信息的填寫與選擇。 刪除證書：點(diǎn)擊待刪除證書右側(cè)的“ ”，刪除指定的證書。 12 注 ：新 CA證書生成后，原數(shù)字證書須刪除后重新生成才可使用。圖例： 11 刪除證書 在“證書庫”界面，點(diǎn)擊待刪除證書右側(cè)的“ ”按鈕，即可刪除對應(yīng)的證書信息。通過防火墻的證書，客戶端可以對防火墻進(jìn)行認(rèn)證，保證客戶端和防火墻直接的通信安全；數(shù)字證書的頒發(fā)和維護(hù)由證書中心（ CA）來完成，當(dāng)然沒有必要每一 臺(tái)防火墻都具有頒發(fā)證書的功能。 刪除“預(yù)共享密鑰” 打開“預(yù)共享密鑰”頁，在“ 預(yù)共享密鑰變量列表 ”中選擇要?jiǎng)h除的變量名，點(diǎn)擊“刪除此變量”即可。 第３章 密鑰庫 VPN 設(shè)備的驗(yàn)證功能是通過采用密鑰或數(shù)字證書來實(shí)現(xiàn)的。 第２章 VPN 設(shè)置