【正文】 。 單擊“系統(tǒng)” “刷新”或單擊“ ”按鈕，使已指派的策略生效。 26 IPSec 策略指派 指派一條活動策略，一 次只能指派一個 IPSec 策略。 注 ：“會話密鑰一直向前保密”為可選項項。 （ 2）、編輯：選項及參數(shù)同上。 可選的安全策略有高級、中級、自定義 3 種。 （ 2）、預(yù)共享密鑰 選中“此字串用來密鑰交換（預(yù) 共享密鑰）”項，輸入預(yù)共享密鑰。 （ 1）、證書模式 24 選中“適用由此證書頒發(fā)機構(gòu)（ CA）頒發(fā)的證書”項，設(shè)置證書模式。 認證方式設(shè)定 VPNClient 客戶端支持兩種認證方式：預(yù)共享密鑰和證書模式（同時只能指定一種模式）。 22 否則，請選擇“選擇地址”或“選擇網(wǎng)卡”選項，指定本機地址。 本機地址設(shè)定 與遠端網(wǎng)關(guān)或主機進行通信，需指定本機地址。 雙擊通道列表中的特定通道或選擇特定通道后單擊“編輯”按鈕，進入通道管理界面。 安全通道管理 雙擊主界面上任一策略，進入策略修改界面。 （ 3）、指派：指派一條策略為當前策略（存在多條策略時，僅能指派一條策略有效）。 21 策略管理 單擊主界面“策略”菜單或在策略屬性欄內(nèi)單擊鼠標右鍵，出現(xiàn)策略管理菜單，設(shè)置項目分別如下： （ 1）、添加：添加一條新策略。 客戶端程序會進行許可證網(wǎng)絡(luò)驗證 (程序自動完成，如果未連接到指定服務(wù)器，則程序自動終止 )。 19 ⑶ 、 VpnClient 客戶端程序安裝完成。 18 第 7 章 VPNClient 管理 VPNClient 安裝 ⑴ 、運行 VpnClient 安裝程序 ?！?PIN 輸錯剩余次數(shù)”最大值為 15，超過此值令牌將被鎖定，解鎖后方可以繼續(xù)使用。 如果令牌被鎖定，可到令牌管理界面對防火墻的令牌解鎖或者重新設(shè)置用戶 pin。 令牌口令管理 vpn 令牌 pin 包括用戶 pin 和管理員 pin（ so pin）。 點擊“分發(fā)“按鈕進入分發(fā)參數(shù)選擇頁，生成 24 位的 License，也可以點擊“ 生成”按鈕重新生成。 注 ： 如果該令牌此時插在防火墻上，則顯示為綠色。 注 ：第一次分發(fā)，“ License”和“使用策略”欄均顯示為空，“狀態(tài)”欄為“活動就緒” 。 license 管理界面 17 列表顯示 license 數(shù)據(jù)庫中的全部內(nèi)容。 license 管理 license 管理子模塊負責 license 分發(fā)和策略分發(fā)的功 能，將 license key 以及安全策略分發(fā)給vpn 令牌。若用戶丟失令牌可在網(wǎng)關(guān)數(shù)據(jù)庫刪除相應(yīng)的令牌記錄，這樣既使別人擁有令牌和 pin，也無法建立通道，確保通道不被非法使用。令牌使用了用戶 pin、證書或者預(yù)共享密鑰的雙重認證，集成復(fù)雜的硬件加密功能，確保通道建立，使用更加安全方便。若策略名稱與本機策略同名或策略文件格式不符合網(wǎng)關(guān)策略，則給出相應(yīng)的提示，策 略導(dǎo)入失敗。 導(dǎo)入策略 注：這里指網(wǎng)關(guān)導(dǎo)入策略，不是客戶端導(dǎo)入策略 點擊“瀏覽”查找相應(yīng)的策略文件（如： ）。例如： bb 是子網(wǎng)互連， aaa 是遠程接入。例：策略 bb,導(dǎo)處后文件為 。 刪除策略 點擊“ ”按鈕，刪除對應(yīng)策略。 更改策略狀態(tài) 點擊“ ”按鈕，更改對應(yīng)策略的狀態(tài)， on –亮色 off—暗色。 子網(wǎng)互聯(lián)時，如果選擇了手動認證方式的話，遠端地址必須指定（這是由這種認證方式定的） ?！爸付ǖ刂贰奔?指定遠端地址， 若遠端地址有子網(wǎng)，須寫入子網(wǎng)地址 。 本地地址：包括隧道 IP 與內(nèi)網(wǎng) ip，隧道 IP 不用用戶指定，用戶需選定內(nèi)網(wǎng) IP。 遠程接入 （即遠程終端接入）圖例： 子網(wǎng)互聯(lián) （即網(wǎng)關(guān)互聯(lián)模式）圖例： 建立“安全策略”時，首先要選擇“連接方式”，然后依次完成各項信息的填寫與選擇。 第 5 章 策略庫 策略庫頁面主要完成 VPN 通道策略的建立、刪除、修改、導(dǎo)入、導(dǎo)出等操作。 刪除證書：點擊待刪除證書右側(cè)的“ ”，刪除指定的證書。 非證書中心機器操作 非證書中心機器不具有數(shù)字證書及 CA 證書的生成與維護功能。 12 注 ：新 CA證書生成后，原數(shù)字證書須刪除后重新生成才可使用。 生成 CA 證書 CA證書只能存在一個，生成新證書的同時，舊證書即被刪除。圖例： 11 刪除證書 在“證書庫”界面，點擊待刪除證書右側(cè)的“ ”按鈕，即可刪除對應(yīng)的證書信息。 證書中心機器的操作 證書中心機器支持數(shù)字證書和 CA 證書的生成與維護。通過防火墻的證書，客戶端可以對防火墻進行認證，保證客戶端和防火墻直接的通信安全；數(shù)字證書的頒發(fā)和維護由證書中心（ CA）來完成，當然沒有必要每一 臺防火墻都具有頒發(fā)證書的功能。 刪除“手動密鑰” 打開“手動密鑰”頁，在“手動 密鑰變量列表 ”中選擇要刪除的變量名，點擊“刪除此變量”即可。 刪除“預(yù)共享密鑰” 打開“預(yù)共享密鑰”頁，在“ 預(yù)共享密鑰變量列表 ”中選擇要刪除的變量名，點擊“刪除此變量”即可。 預(yù)共享密鑰 預(yù)共享密鑰是雙方同時使用的密鑰。 第３章 密鑰庫 VPN 設(shè)備的驗證功能是通過采用密鑰或數(shù)字證書來實現(xiàn)的。 7 關(guān)閉 VPN 功能 點擊“關(guān)閉 VPN功能”項，即可關(guān)閉防火墻的 VPN功能，此時“ VPN 模塊狀態(tài)”顯示為“ OFF”。 第２章 VPN 設(shè)置 VPN 設(shè)置 在“ VPN 設(shè)置”項中，完成 VPN 的開啟、關(guān)閉、重新啟動操作。 如果 VPN 令牌是被鎖的狀態(tài)，則已經(jīng)被解鎖。 打開防火墻上的“令牌口令管理”頁面。 6 修改 VPN 令牌口令 VPN 令牌的口令缺省為 12345678。 打開 vpnclient，輸入 VPN 令牌的口令，點擊“確認”按鈕。 在客戶端機器上安裝 vpnclient 軟件。 可以將 VPN 令牌拔下來了。 在策略下拉列表選擇剛剛新建的策略。 點擊“分發(fā)”按鈕，打開分發(fā)小頁面。 將 VPN 令牌插入防火墻的 USB 接口。 license 分發(fā) 接下來要為 VPN 令牌分發(fā)一個 license，同時會將策略下載到 VPN 令牌上。 選擇一種認證方式 預(yù)共享密鑰則從預(yù)共享密鑰庫中選擇一個密鑰 證書認證則從證書庫中選擇一個證書 點擊保存修改按鈕完成策略的建立。 遠端地址可以為“任意地址”，表示本防火墻接受任何客戶端機器建立通道的要求。 建立策略 在防火墻 上建立新策略。 確認地址信息 首先確認三個地址：防火墻的外網(wǎng)口地址（走缺省路由的網(wǎng)口是外網(wǎng)口）和子網(wǎng)網(wǎng)段，以及客戶端 windows 機器的地址。客戶要使用 vpnclient 來連接防火墻，必須購買 USB 接口的 VPN令牌，在連接時插在 windows機器上。 遠程接入 在 windows 機器上運行 vpnclient 軟件，與防火