Array ssl vpn 简明配置手册v1

《Array ssl vpn 简明配置手册v1》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、51SPX简明配置手册ArrayNetworks5151目录1.概述31.1前言：31.2SSLVPN简介31.3SSLVPN网络拓扑31.4ArraySPX设备配置概述52.Spx设备基本配置52.1ArraySPX的配置管理方式52.2SPX系列产品外观指示灯介绍62.3SPX的几种配置模式62.4设备硬件信息、OS版本及License管理72.5SPX设备的基本信息配置83.SSLVPN门户（VirtualSite）的建立163.1加入新的VirtualSite163.2配置virtualsite的ssl协议及数字证书173.2.1GlobalMode与Virtualsi

2、teMode173.2.2SSL协议部分配置概述183.2.3生成CSR183.2.4导入virtualsite数字证书193.2.5客户端数字证书验证配置213.2.6LocalDB用户认证配置234.VirtualSite各个应用模块的配置254.1WRMPortal配置254.2FileSharing配置274.3ApplicationManager配置284.3.1JavaApplet方式294.3.2WindowsRedirect方式304.4隧道式VPNL3vpn配置325.sslvpn门户VirtalSite认证配置345.1Radius认证服务配置355.2LD

3、AP认证服务配置365.3AD认证服务配置385.4SecurID动态口令认证配置386.sslvpn门户VirtalSite授权配置396.1LocalDB的授权416.2Ldap服务器的授权426.3Radius服务器的授权436.4GroupMap授权方式447.Cluster方式配置468.设备管理及排错488.1Syslog设置488.2SNMP配置498.3系统管理498.4troubleshooting5051511.概述1.1前言：SSLVPN是当前发展非常迅速的一种VPN技术，Array是一个主要的sslvpn厂家，其产品有专门的操作手册，本文是一个快速入门的

4、中文手册，力图简洁明了地介绍arraysslvpn的主要部署结构，建立sslvpn的大致流程以及主要操作命令。如果您需要详细了解arrayspx设备的操作以及详细的命令，请参阅arrayspx设备操作手册。1.2SSLVPN简介SSLVPN是采用SSL技术的一种VPN技术，适用于ClienttoSite的安全接入方式。SSL技术是位于TCP之上的协议，具有数字证书身份验证，数据加密等安全手段。在实现VPN访问内部应用时主要采用Proxy、ApplicationTranslation、NetworkExtention等技术手段实现。用户通过SSLVPN访问内部应用系统，必须先用h

5、ttps协议登陆SSLVPN网关提供的sslvpn门户站点，我们称之为VirtualSite，Array的SPX系列单台设备可以配置多个VirtualSite，具体数量视License而定。一般情况下，在数据中心的网络边缘放置SSLVPN网关，如ArrayNetworksSPX系列产品。客户端要访问内部应用服务器，必须通过SSLVPN网关，其过程是先用标准浏览器如IE、Netscape等登陆SSLVPN网关，登陆使用的协议是HTTPS，底层是采用了具有加密算法的SSL协议。登陆SSLVPN是需要经过用户认证、授权、审计的。登陆完成之后，客户端既可以访问内部的各种应用了，无论是B

6、/S结构还是C/S结构，都能够支持，访问过程中的数据传输都是经过加密处理的，同时是经过sslvpn授权允许和审计的。1.3SSLVPN网络拓扑SSLVPN网关设备，Array称之为SPX系列产品，她的位置在数据中心的边缘，具体来讲一般放置在防火墙后面，入侵检测设备的前面，这样和其他安全产品一起为数据中心提供安全防护。5151Array的sslvpn网关支持双臂结构和单臂结构。单臂结构一般不改变企业的网络拓扑结构，只需一个接口接道防火墙或交换机上，具有易部署的特点。双臂结构，一般是指连接两个接口，如一个连接内网，一个连接外网，双臂结构具有良好的网络吞吐。SSLVPN的工作流程是一

7、个Proxy架构，所以考虑拓扑结构时，要满足两点：客户端机器要能构访问VirtualSiteIP地址，SPX设备要能够访问内部各个服务器各个应用。若中间有防火墙等过滤设备，一定要打开相应端口。如在客户端和VirtualSite之间的防火墙要打开Https访问，典型如TCP443端口。SPX和服务器之间的防火墙要对SPX设备的网络接口打开各个应用的端口。上图是一个典型的双臂结构，outside端口连接外网路由器或防火墙，端口地址为10.1.1.1；inside接口连接内部交换机，端口地址为10