SANGFORSSLVPN多線路部署培訓(xùn)培訓(xùn)內(nèi)容培訓(xùn)目標(biāo)SSLVPN部署模式介紹1.掌握SSLVPN多線路部署模式的特點(diǎn)網(wǎng)關(guān)模式1.掌握網(wǎng)關(guān)多線路模式適用環(huán)境2.掌握網(wǎng)關(guān)多線路的配置步驟單臂模式1.掌握單臂多線路模式適用環(huán)境2.掌握單臂多線路的配置步驟SANGFORSSL

部署模式回顧深信服公司簡介SANGFORSSL部署模式配置SANGFORSSL動(dòng)動(dòng)手SANGFORSSLSANGFORSSL部署案例SANGFORSSL部署模式回顧單線路多線路單臂模式網(wǎng)關(guān)模式單線路多線路SANGFORSSL部署配置（網(wǎng)關(guān)多線路模式）SANGFORSSL部署配置（網(wǎng)關(guān)多線路模式）1、線路確定：跟客戶確認(rèn)有幾條公網(wǎng)線路接入，并申請(qǐng)多線路授權(quán)2、網(wǎng)關(guān)模式配置：確定設(shè)備外網(wǎng)口是固定IP或者是ADSL撥號(hào)方式，取得相應(yīng)運(yùn)營商給的IP地址信息或者是撥號(hào)的帳號(hào)密碼，給每條外網(wǎng)線路做配置；確定內(nèi)網(wǎng)口（LAN口）的IP地址信息；3、上網(wǎng)配置：代理上網(wǎng)（NAT），確定內(nèi)網(wǎng)是否為多網(wǎng)段網(wǎng)絡(luò)環(huán)境，如果是的話需要添加相應(yīng)的回包路由回指給設(shè)備下接的核心交換機(jī)。4、多線路配置：可根據(jù)客戶需求設(shè)置IPSECVPN多線路，SSLVPN多線路傳輸，上網(wǎng)數(shù)據(jù)的多線路選路策略。網(wǎng)關(guān)多線路配置思路：SSL部署配置（網(wǎng)關(guān)多線路模式）網(wǎng)關(guān)多線路模式配置截圖使用網(wǎng)關(guān)多線路，必須先開通多線路授權(quán)點(diǎn)擊線路，分別配置線路一和線路二的IP地址和網(wǎng)關(guān)SSL部署配置（網(wǎng)關(guān)多線路模式）代理上網(wǎng)配置截圖SSL部署配置（網(wǎng)關(guān)多線路模式）多線路配置截圖（后續(xù)案例講述配置）SANGFORSSL部署配置（單臂多線路模式）1、單臂模式配置：給設(shè)備LAN口分配一個(gè)可以上網(wǎng)的IP地址、填寫正確的網(wǎng)關(guān)IP、DNS；2、前置網(wǎng)關(guān)分別做兩條線路的TCP443和80端口映射（如果用到IPSECVPN還需要映射TCP/UDP4009端口）3、配置SSLVPN多線路注意事項(xiàng)：80端口也是必須映射的，因?yàn)槎嗑€路選路功能是依賴80端口來選路的，如果80端口不映射，將無法實(shí)現(xiàn)多線路選路功能單臂多線路部署配置思路：SSL部署配置（單臂多線路模式）單臂多線路模式配置截圖（與單臂單線路設(shè)置相同）SSL部署配置（單臂多線路模式）單臂多線路模式多線路配置截圖填入公網(wǎng)出口線路的真實(shí)公網(wǎng)IP地址。案例一：網(wǎng)關(guān)多線路部署案例某客戶拓?fù)淙鐖D，客戶需要實(shí)現(xiàn)外網(wǎng)用戶通過SSLVPN接入訪問內(nèi)部的OA服務(wù)器群?？蛻粲须娦排c網(wǎng)通兩條鏈路，并且已經(jīng)申請(qǐng)了多個(gè)IP地址。SSLVPN設(shè)備網(wǎng)關(guān)部署，分配一個(gè)電信與一個(gè)網(wǎng)通IP地址給SSLVPN設(shè)備使用。內(nèi)網(wǎng)用戶通過防火墻上網(wǎng)，外網(wǎng)用戶需要實(shí)現(xiàn)輸入域名實(shí)現(xiàn)自動(dòng)選擇電信或者網(wǎng)通最快鏈路接入SSLVPN。部署需求：網(wǎng)關(guān)多線路部署配置思路1.基礎(chǔ)網(wǎng)絡(luò)配置：網(wǎng)關(guān)模式，配置WAN1、WAN2口、LAN口IP地址信息，配置系統(tǒng)路由。（由于LAN口與服務(wù)器不在一個(gè)網(wǎng)段，而設(shè)備的默認(rèn)路由指向WAN方向出口，所以需要添加到達(dá)內(nèi)網(wǎng)的靜態(tài)路由，下一跳指向核心交換機(jī)）。2.域名設(shè)置：將客戶申請(qǐng)的二級(jí)域名XXX.在ISP處用A記錄指向和

。3.多線路設(shè)置：[系統(tǒng)配置]-[網(wǎng)絡(luò)配置]-[多線路]，勾選[啟用IPSEC多線路傳輸]，并且新建好兩條線路。勾選[啟用SSLVPN多線路]，選擇[SSLVPN用戶直接接入本設(shè)備]，并且新增兩條線路。網(wǎng)關(guān)多線路部署配置步驟1.設(shè)置網(wǎng)關(guān)模式，LAN口和WAN1，WAN2口IP地址。網(wǎng)關(guān)多線路部署配置步驟2.設(shè)置系統(tǒng)路由網(wǎng)關(guān)多線路部署配置步驟3.設(shè)置SSLVPN多線路選路：a）啟用IPSECVPN多線路，添加兩條公網(wǎng)線路的IP地址（僅當(dāng)SSL設(shè)備網(wǎng)關(guān)多線路直連公網(wǎng)的環(huán)境下需要設(shè)置）

必須配置正確的DNS才能夠進(jìn)行鏈路檢測(cè)線路故障檢測(cè)用于實(shí)時(shí)檢測(cè)鏈路的好壞，實(shí)現(xiàn)線路故障時(shí)自動(dòng)切換。網(wǎng)關(guān)多線路部署配置步驟3.設(shè)置SSLVPN多線路選路：b）啟用SSLVPN多線路，選擇“SSLVPN用戶直接接入本設(shè)備”點(diǎn)擊線路名稱，修改優(yōu)先級(jí)網(wǎng)關(guān)多線路部署案例a)一般情況下設(shè)置同等優(yōu)先級(jí)即可。兩條線路選擇相同的優(yōu)先級(jí)會(huì)直接對(duì)比兩條線路下載圖片的耗時(shí)，選擇耗時(shí)小的線路接入SSLVPN。b)如果線路1設(shè)置為高，線路2設(shè)置為中。那么多線路選路的時(shí)候會(huì)自動(dòng)從兩條線路下載圖片。優(yōu)先級(jí)高的線路3秒內(nèi)完成下載，不管優(yōu)先級(jí)中的線路下載比優(yōu)先級(jí)高的線路快還是慢，都選擇優(yōu)先級(jí)高的線路。3秒內(nèi)未完成下載，則對(duì)比兩條線路，哪條更快則選擇哪條線路。c)高優(yōu)先級(jí)和中優(yōu)先級(jí)之間是3秒，中和低之間是2秒，高和低之間是5秒SSLVPN多線路優(yōu)先級(jí)的含義：案例二：單臂多線路部署案例客戶拓?fù)淙鐖D所示，出口有電信與網(wǎng)通兩條鏈路。客戶需要不改動(dòng)原有的網(wǎng)絡(luò)環(huán)境部署SSL設(shè)備，同時(shí)實(shí)現(xiàn)外網(wǎng)用戶輸入或者任意一個(gè)IP地址均能自動(dòng)選擇最快鏈路接入SSLVPN。部署需求：單臂多線路部署配置思路1.基礎(chǔ)網(wǎng)絡(luò)配置：單臂模式，配置LAN口IP地址，掩碼，網(wǎng)關(guān)等信息。2.前置防火墻做端口映射：前置防火墻需要做兩條線路的80端口和443端口到0。需要注意：80端口也是必須映射的，因?yàn)槎嗑€路選路功能是依賴80端口來選路的，如果80端口不映射，將無法實(shí)現(xiàn)多線路選路功能。3.多線路配置：[系統(tǒng)配置]-[網(wǎng)絡(luò)配置]-[多線路]，勾選[啟用SSLVPN多線路]，并且新增兩條外網(wǎng)線路真實(shí)的公網(wǎng)IP地址。單臂多線路部署配置步驟1.設(shè)置單臂模式，LAN口IP地址，網(wǎng)關(guān)，以及DMZ口IP地址。單臂多線路和非直連公網(wǎng)的網(wǎng)關(guān)多線路模式下無需開啟單臂多線路部署配置步驟2.設(shè)置SSLVPN多線路選路，新增公網(wǎng)出口線路真實(shí)的公網(wǎng)IP地址。SSLVPN自動(dòng)選路功能注意事項(xiàng)要使用SSLVPN自動(dòng)選路功能，必須開啟HTTP端口。2.SSL單臂模式下必須在前置設(shè)備上同時(shí)做HTTPS端口和HTTP端口的映射，默認(rèn)是TCP443和80端口。用戶必須通過HTTP的方式訪問SSL設(shè)備才能自動(dòng)選路。通過webagent地址，域名，以及SSL設(shè)備的任意公網(wǎng)IP均可。練練手練練手客戶網(wǎng)絡(luò)現(xiàn)狀和需求：隨著公司發(fā)展，在外出差的人員越來越多，需要實(shí)現(xiàn)遠(yuǎn)程接入內(nèi)網(wǎng)安全快速的訪問內(nèi)部系統(tǒng)。

客戶網(wǎng)絡(luò)出口是一個(gè)路由器，有電信和網(wǎng)通兩條公網(wǎng)線路，希望實(shí)現(xiàn)優(yōu)先通過電信的線路連接SSLVPN，如果電信線路的延時(shí)比網(wǎng)通線路大很多時(shí)，才通過網(wǎng)通線路連VPN。練練手解決方案：SSLVPN設(shè)備網(wǎng)關(guān)模式部署替換原來網(wǎng)絡(luò)中的路由器，設(shè)置多線路自動(dòng)選路，通過電信線路和網(wǎng)通線路的選路優(yōu)先級(jí)來實(shí)現(xiàn)客戶的