【正文】 約定 ? 相關(guān)文檔 文檔目的 本文檔主要介紹如何安裝 華盾 VPN及其相關(guān)組件 。通過閱讀本文檔，用戶可以了解如何正確地在網(wǎng)絡(luò)中安裝 華盾 VPN，并進(jìn)行簡(jiǎn)單配置。 文檔組織 本文檔包括以下章節(jié)及其主要內(nèi)容： 華盾 VPN安裝指南。 豎線（ |）隔開多個(gè)相互獨(dú)立的備選參數(shù)。 點(diǎn)擊（選擇）一個(gè)菜單項(xiàng)采用如下約定： 點(diǎn)擊（選擇） 高級(jí)管理 特殊對(duì)象 用戶 。包括 如下主要內(nèi)容： ? 華盾 VPN系統(tǒng) 的 組成與規(guī)格 ? 配置 華盾 VPN的工作模式 ? 華盾 VPN系統(tǒng)的安裝 ? 登錄并管理 華盾 VPN ? 華盾 VPN的出廠配置 系統(tǒng)組成與規(guī)格 系統(tǒng)組成 ? 華盾 VPN（硬件） ? 認(rèn)證客戶端（軟件 ） ： 華盾 VPN客戶認(rèn)證專用軟件，運(yùn)行于中文 、Windows20 WindowsXP 環(huán) 境下； 華盾 VPN支持以下認(rèn)證：本地認(rèn)證、 Radius、TACACS+、 LDAP、域認(rèn)證、 SecurID、證書認(rèn)證 等 。在安裝 華盾 VPN之前，網(wǎng)絡(luò)管理人員 可 根據(jù)網(wǎng)絡(luò)應(yīng)用的實(shí)際情況以 及網(wǎng)絡(luò)中主機(jī) 、 服務(wù)器等設(shè)備的安全屬性來規(guī)劃安全區(qū)域。在這種環(huán)境下部署的華盾 VPN 安裝手冊(cè) 4 華盾 VPN的工作模式最好采用透明模式。 在 透明 模式 中， 可以將同一應(yīng)用業(yè)務(wù)的服務(wù)器和客戶機(jī)通過同一網(wǎng)段連接起來，以提高整體網(wǎng)絡(luò)的通信性能。 華盾 VPN部署案例 請(qǐng)參 見 3配置案例 。 3） 本地一臺(tái)管理主機(jī)通過 CONSOLE線纜與 華盾 VPN的 CONSOLE口連接，供超級(jí)管理員進(jìn)行初步配置。 提示 華盾 VPN 安裝手冊(cè) 5 ? 請(qǐng)確認(rèn) 華盾 VPN 的防火區(qū)域與 華盾 VPN 接口名稱的對(duì)應(yīng)關(guān)系 。 檢查工作狀態(tài) 華盾 VPN的硬件設(shè)備和管理軟件安裝完成之后，就可以 通 電 使用 。 說明： 部分型號(hào)的 華盾 VPN設(shè)備沒有“主從燈”。 登錄 系統(tǒng) 網(wǎng)絡(luò)管理員可以通過多種方式管理 華盾 VPN。 其中， WEBUI管理方式是最方便、也是最常用到的管理方式。 （部分產(chǎn)品無 RJ45接口形式的Console口，故需要使用 DB9DB9 Console控制線） 。 用戶可以輸入任何名稱，這里假設(shè)名稱為 huadun，輸入名稱確定后，提示選擇使用的接口（假設(shè)使用 COM1） ，如下圖所示。 用戶直接輸入 華盾 VPN默認(rèn)的串口登錄 用戶： superman和 密碼 ： ocssjw10， 即可登錄到 華盾 VPN。 ? 關(guān)于如何通過命令行配置 華盾 VPN，請(qǐng)參考《 華盾 命令行手冊(cè) —— 基礎(chǔ)配置 》。 設(shè)置接口 IP 地址 用戶可通過 華盾 VPN的任一物理接口遠(yuǎn)程管理 華盾 VPN，但是在此之前，管理員必須為此物理接口配置 IP地址，作為遠(yuǎn)程管理 華盾 VPN的管理地址。 定義地址 資源 管理員應(yīng)定義允許遠(yuǎn)程管理 華盾 VPN的 IP 地址范圍，可以是某一特定的 IP地址，也可以來自某一子網(wǎng)或地址 范圍 。 mask：子網(wǎng)掩碼，如 。命令行格式如下： pf service add name gui|snmp|ssh|monitor|ping|tel|tosids|auth|ntp|update|dhcp|rip|l2tp|pptp|webui|ipsecvpn| cgi_auth| sslvpn| sslvpnmgr| websv| rip| bgp area string [addressid number]| [addressname string] [vsid number] 相關(guān)參 數(shù)說明： 參數(shù) 說明 add 增加一條 服務(wù)訪問 規(guī)則 name 選擇 華盾 VPN設(shè)備開放的服務(wù)名 gui 通過圖形界面訪問設(shè)備 snmp 開放 SNMP 服務(wù) ssh 開放 SSH服務(wù) 華盾 VPN 安裝手冊(cè) 11 參數(shù) 說明 monitor 開放監(jiān)控服務(wù) ping 開放 PING服務(wù) tel 通過 TELNET訪問設(shè)備 tosids 開放 IDS服務(wù) auth 開放認(rèn)證服務(wù) ntp 開放 NTP 服務(wù) update 開放升級(jí) 華盾 VPN的服務(wù) dhcp 開放動(dòng)態(tài)主機(jī)配置服務(wù) rip 開放 RIP 服務(wù) l2tp 開放 L2TP 服務(wù) pptp 開放 PPTP 服務(wù) webui 開放通過 WEBUI管理 華盾 VPN的服務(wù) ipsecvpn 開放 IPsec VPN服務(wù)，允許用戶創(chuàng)建 IPsec VPN隧道 。 sslvpnmgr 當(dāng) 華盾 VPN 包含 SSL VPN 模塊時(shí)，才包含該選項(xiàng) ，用于管理員通過8080端口對(duì) 華盾 VPN進(jìn)行管理。 bgp 允許使用 BGP 動(dòng)態(tài)路由協(xié)議。 vsid 該服務(wù)訪問規(guī)則所屬的虛系統(tǒng) ID號(hào) number 數(shù)值，范圍為 0255； 默認(rèn)為 0，表示不屬于任何虛系統(tǒng) 。 ? 華盾 VPN 支持 、 ， Mozilla firefox 、 Mozilla 、 Mozilla Firefox 、 Mozilla firefox ， （只能在 ）、 （支持 ）， （只支持 Windows2020 Professional， Windows2020 Server）。 提示 ? 在輸入 URL時(shí)要注意以“ ? 如是具有 SSL VPN 功能的 華盾 VPN ， 需要通過 8080 端口登錄 ， 例如 ? 華盾 VPN 對(duì)于用戶名和密碼大小寫敏感。 恢復(fù)出廠配置 系統(tǒng)除了提供上節(jié)所述的設(shè)備配置維護(hù)功能外，還提供了恢復(fù)出廠默認(rèn)配置的功能，以方便用戶重新配置設(shè)備。 華盾 VPN 安裝手冊(cè) 15 3 配置案例 為了更好地指導(dǎo)用戶配置使用 華盾 VPN，本章列舉了 3個(gè)典型案例，并詳細(xì)介紹了配置過程 。 ? 案例 3：建立 VPN隧道 ，主要介紹在 如上所述 的網(wǎng)絡(luò)環(huán)境中，如何在總公司與分公司之間建立 IPSec VPN隧道。 管理員位于內(nèi)網(wǎng)中。 配置步驟： 1) 為 華盾 VPN的物理接口配置 IP地址 。 設(shè)置 SSN 綁定屬性為 “ Eth2”， 權(quán)限選擇為禁止 。 定義虛擬 HTTP 服務(wù)器 主機(jī)名稱設(shè)為 V_SERVER， IP 為 。 允許外網(wǎng)用戶訪問 HTTP服務(wù)器 源區(qū)域選擇“外網(wǎng)” ； 目的區(qū)域選擇“ SSN”，目的地址選擇“ HTTP_SERVER” ； 服務(wù)選擇“ HTTP” ； 訪問權(quán)限 選擇 “允許”，并啟用 該規(guī)則 。 添加回指路由 ，為發(fā)往內(nèi)網(wǎng)的數(shù)據(jù)包指定路由 目的地址設(shè)為“ ” ； 網(wǎng)關(guān)地址設(shè)為“ ” 。 ? 管理主機(jī)位于 VLAN1內(nèi)。 配置步驟： 1）通過 CONSOLE口登錄 華盾 VPN，配置基本信息 。 添加 VLAN3 管理 IP 設(shè)為 “ ” ， MASK設(shè)為“ ” 。 5） 定義訪問規(guī)則 禁止 VLAN2 用戶訪問外網(wǎng) 源 VLAN選擇 “ ” ； 目的區(qū)域選擇 “ 外網(wǎng) ” ； 服務(wù)不選，表示全部服務(wù) ； 訪問權(quán)限 選擇 “ 拒絕 ” ，并啟用 該規(guī)則 。 禁止外網(wǎng)用戶訪問VLAN2 源區(qū)域選擇 “ 外網(wǎng) ” ； 目的 VLAN選擇 “ ” ； 服務(wù)不選，表示全部服務(wù) ； 訪問權(quán)限 選擇 “ 拒絕 ” ，并啟用 該規(guī)則 。 華盾 VPN 安裝手冊(cè) 21 案例 3：建立 VPN隧道 圖 33華盾 VPN的 VPN隧道模式 網(wǎng)絡(luò)狀況 ： ? 總公司 華盾 VPN工作在路由模式下 ， 接口 Eth1（ IP： ）通過路由器與 Inter相連 ； 分公司 華盾 VPN工作在混合模式下， 接口 Eth1通過路由器與Inter相連 ，且 Eth1口通過 ADSL撥號(hào)獲取公網(wǎng) IP。 配置步驟 ： 1） 配置總公司 華盾 VPN，具體的配置步驟請(qǐng)參見 案例 1。 4）在分公司 華盾 VPN上開放服務(wù) 開放 IPSecVPN服務(wù) 服務(wù)名稱為“ IPSecVPN”； 控制區(qū)域 為 “ area_eth1”； 控制地址 為 “ any”。 添加靜態(tài)隧道 隧道名： zongfen IKE協(xié)商模式：主模式 認(rèn)證方式 = 預(yù)共享密鑰，密鑰 = as34Kui() 本地標(biāo)識(shí)： 202_8 對(duì)方 標(biāo)識(shí)： 0_0 對(duì)方地址： 本地子網(wǎng)： 本地掩碼： 對(duì)方子網(wǎng)： 對(duì)方掩碼： 主動(dòng)發(fā)起協(xié)商：是 8) 在 分公司 華盾 VPN上 添加 靜態(tài)隧道，隧道參數(shù)采用默認(rèn)設(shè)置 。如果建立隧道的兩臺(tái) 華盾 VPN 均為 ADSL環(huán)境，則可以通過 DDNS方式，利用域名來建立隧道。 3． 本安裝手冊(cè)中的安裝方法、步驟為 華盾 建議使用，并非唯一和必須的安裝途徑，請(qǐng)客戶參考