思科SSL VPN三大场景配置（大学生易读版）

引言

?????????SSL VPN是以SSL（Secure Sockets Layer）协议为基础，利用浏览器内置支持SSL的优势，对其应用功能进行扩展的新型VPN。对于 SSL VPN，移动用户登录虚拟网关，认证后建立 SSL VPN。可以通过配置 Web 代理、文件共享和端口转发功能来代理移动用户访问内网服务器。此外，管理员还可以配置网络扩展，让移动用户直接访问内网服务器（无需虚拟网关代理）。

??????? 如果对概念还有问题，可以提前复习下此篇文章

SSL VPN (大学生易读版)https://mp.csdn.net/mp_blog/creation/editor/134824999

拓扑介绍

??????? 拓扑如上，其中为了方便查看效果，与防火墙建立ssl vpn的右端采用win10的虚拟机，左边r1作为内部资源，也是win10的访问对象。

??????? 在配置之前，先满足防火墙在路由协议的支持下win能和防火墙建立连接，并且防火墙初始化后且能通过asdm登录，除此外r1上开启http服务

??????? 并且确保win上网络适配器联通

WEB接入（无客户端）

? ? 解释

????????无需客户端，首先通过浏览器和网关建立连接，其次再访问内网资源

??? 配置

??????? 正常情况是配置网关，再配置账号密码，配置资源并在策略中调用

??????? 1.配置网关

??????? 2.配置账号密码

??????? 3.配置资源并在策略中调用（由1知已经被默认调用，这里在默认调用的里面进行配置即可）

????????

??? 验证

??????? 点进去输入账号密码之后（成功进入，可以连接到网关，而且能连接到所配置的资源）

????????

??????? 配置成功（点击pc可以继续验证，按找r1配置的http本地账号密码，这里不过多赘述）

TCP接入（瘦客户端）

??? 解释

??????? 在tcp的帮助下根据不同的端口号进行与资源进行连接，或则依靠tcp与相关应用进行配合和对端建立邻居。因为都需要一定的插件支持，所以说也称瘦客户端。本质上与web接入原理相同，都是代理访问

??? 应用访问配置

??????? 解释：依靠一定的插件在tcp的支持下进行web接入

??????? 环境：需要在防火墙插入telnet的插件和插入telnetweb端可视化java环境

（若有需要，私信）

详细虚拟机插入java环境以及防火墙插入插件见链接

思科防火墙ASDM插入插件https://mp.csdn.net/mp_blog/creation/editor/135298726eve环境虚拟机和电脑如何传送文件https://mp.csdn.net/mp_blog/creation/editor/135298830?not_checkout=1

??????? 检验（配置后刷新客户端）：

?

??? smart tunnel配置

??????? 解释：可以根据tcp支持允许在原客户端上用一定的软件直接对远端进行资源访问

??????? 配置1smart tunnel的建立

??????? 配置2资源调用smart tunnel

??????? 检验（刷新客户端web界面）：

????????????????????????????????????????打开smart tunnel

??????? 注意：确保telnet功能打开

????????

??? 端口转换配置

??????? 解释：TCP接入中最常见的则为端口转换从而按照不同的端口号进行TCP接入访问。

?? ???????????????? 首先与网关建立连接

? ? ? ? ? ? ? ? ? ? 其次本地客户端在插件的支持下与收到网关下发的端口转发表

? ? ? ? ? ? ? ? ? ? 最后采取NAT协议，从而转换地址访问内网

??????????????????????? 简单来说就是根据下发端口转换表，依靠不同的端口号与资源进行访问。

??????? 配置1配置端口转换列表：

??????? 配置2调用资源：

??????? 检验（刷新客户端重新登录）：

ip接入（厚客户端）

?? 解释

????????首先客户与网关建立连接

? ? ? ? 其次网关生成与资源可以互相访问的虚拟网卡

? ?? ?? 最后将此虚拟网卡下发给客户

? ? ??? 因为客户需要一定的软件支持获取虚拟网卡，所以叫做厚客户端

?? 拓扑情况

??????? 其中本电脑需要准备好用于厚客户端来接入的软件插件，用于插入防火墙当中

??????? 除此之外，需要在虚拟机上提前传送好插件所对应的接入软件

?????????按照提示下载好之后可在程序里面查看

?? 配置

??????? 1.创建客户端选项，注意插件的安装和虚拟机上对应插件的应用

??????? 2.账号密码配置

??????? 3.资源所对应的策略上配置下发网段

?? 检验

????????注意：检测之前先关闭此选项

????????点击链接，正常建立输入账号密码就行

?????????

??????? 下发的地址也可以直接和资源建立连接

?? 隧道分离问题

??????? 查看分配地址后的路由表，我们可以看到，发送的报文都会进入123.123.123.2进行nat到对端资源，管理距离为2，一定会优先于去网关202.101.20.254.这就造成了只能ssl vpn，而不能从出口网关到isp完成上网服务。

?? 解决办法

??????? 隧道分离，让只去资源的才发到网关123.123.123.2，其他的流量没匹配上的都是去isp网关

?? 检验

??????? 由此可见，去往isp的正常走默认路由，去往对端资源的发往123.123.123.1，两者不干扰

尾言

????????本人网络小白一枚，如有知识点或则逻辑不清楚的，望大佬指出，如果大伙有其他问题，留在评论区，我会尽快为大伙解决。