SSLVPN組網(wǎng)示意如圖10-1所示，企業(yè)希望通過SSLVPN開放一個安全的加密通道，使移動辦公用戶也能夠獲得一個內(nèi)網(wǎng)IP地址，像在局域網(wǎng)一樣訪問企業(yè)內(nèi)部的各種資源。另外為了增強安全性，采用用戶名和密碼結(jié)合的本地認證方式對移動辦公用戶（用戶組為group1）的身份進行認證，認證域為default。其中，路由器R1模擬ISP的路由器。圖10-1網(wǎng)絡(luò)擴展組網(wǎng)示意【配置思路】（1）配置接口IP地址、安全區(qū)域，完成網(wǎng)絡(luò)基本參數(shù)的配置。（2）配置認證域，創(chuàng)建用戶組和用戶。（3）配置SSLVPN虛擬網(wǎng)關(guān)，配置網(wǎng)絡(luò)擴展、角色授權(quán)。（4）配置安全策略，允許移動辦公用戶登錄SSLVPN網(wǎng)關(guān)，允許出差員工訪問企業(yè)內(nèi)部資源。（5）驗證和調(diào)試，檢查能否實現(xiàn)任務(wù)需求。【配置步驟】這里僅介紹與防火墻相關(guān)的配置。配置防火墻的網(wǎng)絡(luò)基本參數(shù)（1）在工作界面中選擇“網(wǎng)絡(luò)”→“接口”選項。（2）單擊GE0/0/1接口對應(yīng)的編輯按鈕，按表10-1所示的參數(shù)進行Untrust區(qū)域配置。表10-1 Untrust區(qū)域的參數(shù)安全區(qū)域UntrustIP地址/24（3）單擊“確定”按鈕。（4）參考上述步驟，按表10-2所示的參數(shù)配置GE0/0/2接口的Trust區(qū)域。表10-2 Trust區(qū)域的參數(shù)安全區(qū)域TrustIP地址/24配置用戶和認證在工作界面中選擇“對象”→“用戶”→“default”選項，按圖10-2新建用戶組和用戶。圖10-2新建用戶組和用戶配置SSLVPN網(wǎng)關(guān)（1）在工作界面中選擇“網(wǎng)絡(luò)”→“SSLVPN”→“SSLVPN”選項，單擊“新建”按鈕，按圖10-3配置SSL網(wǎng)關(guān)，單擊“下一步”按鈕。圖10-3配置SSL網(wǎng)關(guān)（2）配置SSL協(xié)議的版本、加密套件、會話超時時間和生命周期，也可直接使用默認值，單擊“下一步”按鈕。（3）選擇“網(wǎng)絡(luò)擴展”業(yè)務(wù)，單擊“下一步”按鈕。（4）配置網(wǎng)絡(luò)擴展。在彈出的配置網(wǎng)絡(luò)擴展窗口中，按圖10-4配置網(wǎng)絡(luò)擴展功能，單擊“下一步”按鈕。圖10-4配置網(wǎng)絡(luò)擴展配置SSLVPN的角色授權(quán)/用戶。（1）在“角色授權(quán)列表”中，單擊“新建”，按圖10-5配置角色授權(quán)參數(shù)。配置完成后單擊“確定”。圖10-5配置角色授權(quán)（2）返回“角色授權(quán)/用戶”配置界面，單擊“完成”。配置安全策略，允許出差員工訪問總部文件服務(wù)器。（1）配置從Internet到防火墻的安全策略，允許出差員工登錄SSLVPN網(wǎng)關(guān)。在工作界面中選擇“策略”→“安全策略”→“安全策略”選項，單擊“新建”按鈕，按照表10-3所示的參數(shù)配置安全策略policy01。表10-3 policy01安全策略的參數(shù)名稱policy01源安全區(qū)域Untrust目的安全區(qū)域Local目的地址/地區(qū)/24服務(wù)HTTPS注意，如果修改了HTTPS端口號，則此處建議按照修改后的端口號開放安全策略動作允許（2）配置防火墻到內(nèi)網(wǎng)的安全策略，允許出差員工訪問企業(yè)內(nèi)網(wǎng)資源。在工作界面中選擇“策略”→“安全策略”→“安全策略”選項，單擊“新建”按鈕，按照表10-4所示的參數(shù)配置安全策略policy02。表10-4 policy02安全策略的參數(shù)名稱policy02源安全區(qū)域Local目的安全區(qū)域Trust目的地址/地區(qū)/24動作允許驗證和調(diào)試（1）在瀏覽器地址欄中輸入“:443”，訪問SSLVPN登錄界面。首次訪問該界面時，需要根據(jù)瀏覽器的提示信息安裝控件。（2）在登錄界面中輸入用戶名和密碼，單擊“登錄”按鈕。登錄成功后，虛擬網(wǎng)關(guān)界面如圖10-6所示，單擊網(wǎng)絡(luò)擴展下的“啟動”按鈕，然后就可以訪問企業(yè)內(nèi)網(wǎng)的服務(wù)器了。圖10-6網(wǎng)絡(luò)擴展資源這里要注意的是，Web代理、文件共享的資源都是以鏈接形式供用戶選擇；而端口轉(zhuǎn)發(fā)和網(wǎng)絡(luò)擴展需要單擊“啟動”后才能使用。但是，網(wǎng)絡(luò)擴展