首页 科技问答 sw2qVx,F1000-AK135 SSLVPN无法连接

sw2qVx,F1000-AK135 SSLVPN无法连接

科技问答 196
1685113976,CRM论坛(CRMbbs.com)——一个让用户更懂CRM的垂直性行业内容平台,CRM论坛致力于互联网、客户管理、销售管理、SCRM私域流量内容输出5年。 如果您有好的内容,欢迎向我们投稿,共建CRM多元化生态体系,创建CRM客户管理一体化生态解决方案。内容来源:知了社区

问题描述:

F1000-AK135 SSLVPN配置完成后,网关如果配置拨号这条线路可以通,配置公网固定IP就不行。以下是路由配置情况。请问哪里还需要配置。

组网及组网描述:






9小时前提问

固定IP的SSLVPN 端口是否开放?

同时需要确认流量是否是在同一个接口上

9小时前回答 (5)

端口开了。就是平时上网走的是拨号这条宽带,固定ip做服务器端口映射用。现在VPN也想走固定ip

来回的流量一致吗?

zhiiiiao_N7L84

把拨号的线拔掉只留一条线测试下

zhiiiiao_N7L84

可以了,但是现在VPN能连上,资源无法访问

检查配置路由

zhiiiiao_N7L84

接口配置

ip-last-hop 

9小时前回答

没看懂什么意思

加了这条就可以了。但是现在资源无法访问

安全策略里开了

9小时前回答

SSL VPN 的网关选项   ip是否包含了固定ip


9小时前回答 (10)

包含了,如果把这里改成拨号那条网关就能通。改成固定IP就不行。

查看下nat策略有没有在固定ip地址接口配置nat映射,与sslvpn端口冲突

新时代农民工

请问NAT策略这一条要怎么写

不要写,查看下是否有nat映射,别与sslvpn端口冲突了

新时代农民工

我看了,没有端口冲突。

或将sslvpn的端口号改下尝试,一些不常用的,例如4430

新时代农民工

改了也不行,怪了

ipv4静态路由那里不要指定出接口,写下一跳地址(固定ip的网关)

新时代农民工

这一条是拨号宽带,内部上网走这一条的。固定IP平时只做服务器端口映射用。

ip-last-hop加上命令就可以了。但是现在资源无法访问

 

8小时前回答

您好,请知:

检查安全策略有没有放通。

检查SSL VPN的策略是否有问题。


可以参考如下案例:


组网说明:

本案例采用H3C HCL模拟器来模拟SSL VPN IP接入(缺省证书)单臂(直连)的组网。内网和外网均已在网络拓扑图中有了明确的说明。本案例使用F1060防火墙作为SSL_VPN网关,用于提供SSL VPN IP的接入,另外也是内网的出口设备。

特别说明:

1、由于模拟器的局限性,因此使用S58

2、需要自行在官网下载inode管理中心安装,并定制后生成inode客户端后再安装客户端

配置步骤

1、按照网络拓扑图正确配置IP地址

2、SW1开启WEB功能,并创建账户赋予权限

3、SSL_VPN开启NAT地址转换功能,并配置默认路由指向外网

4、SSL_VPN配置SSL VPN功能

配置关键点

1、第一阶段调试(基础网络配置)

 

SW1:

<H3C>sys

System View: return to User View with Ctrl+Z.

[H3C]sysname SW1

[SW1]int gi 1/0/1

[SW1-GigabitEthernet1/0/1]port link-mode route

[SW1-GigabitEthernet1/0/1]des <connect to SSL_VPN>

[SW1-GigabitEthernet1/0/1]ip address 10.0.0.1 24

[SW1-GigabitEthernet1/0/1]quit

[SW1]ip route-static 0.0.0.0 0.0.0.0 10.0.0.2

[SW1]ip http enable

[SW1]ip https enable

[SW1]local-user admin

New local user added.

[SW1-luser-manage-admin]password simple admin

[SW1-luser-manage-admin]service-type http https

[SW1-luser-manage-admin]authorization-attribute user-role network-admin

[SW1-luser-manage-admin]quit

 

SSL_VPN:

<H3C>sys

System View: return to User View with Ctrl+Z.

[H3C]sysname SSL_VPN

[SSL_VPN]int gi 1/0/3

[SSL_VPN-GigabitEthernet1/0/3]des <connect to SW1>

[SSL_VPN-GigabitEthernet1/0/3]ip address 10.0.0.2 24

[SSL_VPN-GigabitEthernet1/0/3]quit

[SSL_VPN]acl basic

[SSL_VPN-acl-ipv4-basic-

[SSL_VPN-acl-ipv4-basic-

[SSL_VPN]int gi 1/0/2

[SSL_VPN-GigabitEthernet1/0/2]des <connect to WAN>

[SSL_VPN-GigabitEthernet1/0/2]ip address 192.168.

[SSL_VPN-GigabitEthernet1/0/2]nat outbound

[SSL_VPN-GigabitEthernet1/0/2]quit

[SSL_VPN]ip route-static 0.0.0.0 0.0.0.0 192.168.

 

[SSL_VPN]security-zone name trust

[SSL_VPN-security-zone-Trust]import interface GigabitEthernet 1/0/3

[SSL_VPN-security-zone-Trust]quit

 

[SSL_VPN]security-zone name Untrust

[SSL_VPN-security-zone-Untrust]import interface GigabitEthernet 1/0/2

[SSL_VPN-security-zone-Untrust]quit

 

[SSL_VPN]acl basic

[SSL_VPN-acl-ipv4-basic-

[SSL_VPN-acl-ipv4-basic-

[SSL_VPN]

[SSL_VPN]zone-pair security source trust destination untrust

[SSL_VPN-zone-pair-security-Trust-Untrust]packet-filter

[SSL_VPN-zone-pair-security-Trust-Untrust]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source untrust destination trust

[SSL_VPN-zone-pair-security-Untrust-Trust]packet-filter

[SSL_VPN-zone-pair-security-Untrust-Trust]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source trust destination local

[SSL_VPN-zone-pair-security-Trust-Local]packet-filter

[SSL_VPN-zone-pair-security-Trust-Local]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source local destination trust

[SSL_VPN-zone-pair-security-Local-Trust]packet-filter

[SSL_VPN-zone-pair-security-Local-Trust]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source untrust destination local

[SSL_VPN-zone-pair-security-Untrust-Local]packet-filter

[SSL_VPN-zone-pair-security-Untrust-Local]quit

[SSL_VPN]

[SSL_VPN]zone-pair security source local destination untrust

[SSL_VPN-zone-pair-security-Local-Untrust]packet-filter

[SSL_VPN-zone-pair-security-Local-Untrust]quit

[SSL_VPN]

 

第一阶段测试:

外网终端填写IP地址



外网终端能PING通SSL_VPN的外网地址,PING不到私网地址



2、第二阶段调试(SSL VPN配置):

SSL VPN IP接入配置关键点:

SSL_VPN:

 

[SSL_VPN]acl advanced 3000

[SSL_VPN-acl-ipv4-adv-3000]rule 0 permit ip source any

[SSL_VPN-acl-ipv4-adv-3000]quit

 

[SSL_VPN]sslvpn ip address-pool weijianing 172.16.1.2 172.16.1.254

 

[SSL_VPN]int SSLVPN-AC 1

[SSL_VPN-SSLVPN-AC1]ip address 172.16.1.1 24

[SSL_VPN-SSLVPN-AC1]quit

 

[SSL_VPN]sslvpn gateway james

[SSL_VPN-sslvpn-gateway-james]ip address 192.168.

[SSL_VPN-sslvpn-gateway-james]service enable

[SSL_VPN-sslvpn-gateway-james]quit

 

[SSL_VPN]sslvpn context james

[SSL_VPN-sslvpn-context-james]gateway james

[SSL_VPN-sslvpn-context-james]ip-tunnel address-pool weijianing mask 24

[SSL_VPN-sslvpn-context-james]ip-tunnel interface SSLVPN-AC 1

[SSL_VPN-sslvpn-context-james]ip-route-list james

[SSL_VPN-sslvpn-context-james-route-list-james]include 10.0.0.0 24

[SSL_VPN-sslvpn-context-james-route-list-james]quit

[SSL_VPN-sslvpn-context-james]policy-group ip

[SSL_VPN-sslvpn-context-james-policy-group-ip]filter ip-tunnel acl 3000

[SSL_VPN-sslvpn-context-james-policy-group-ip]ip-tunnel access-route ip-route-list james

[SSL_VPN-sslvpn-context-james-policy-group-ip]quit

[SSL_VPN-sslvpn-context-james]service enable

[SSL_VPN-sslvpn-context-james]quit

 

[SSL_VPN]local-user weijianing class network

New local user added.

[SSL_VPN-luser-network-weijianing]password simple weijianing

[SSL_VPN-luser-network-weijianing]service-type sslvpn

[SSL_VPN-luser-network-weijianing]authorization-attribute sslvpn-policy-group ip

[SSL_VPN-luser-network-weijianing]quit

 

[SSL_VPN]security-zone name Untrust

[SSL_VPN-security-zone-Untrust]import interface SSLVPN-AC 1

[SSL_VPN-security-zone-Untrust]quit


第二阶段测试:

外网终端打开浏览器,输入网址:https://192.168.



输入用户名、密码,点击“登陆”:





打开inode客户端:



输入网关、用户名、密码,点击“连接”:



SSL VPN建立连接成功





此时外网终端可以PING通内网WEB服务器



同时也可以打开WEB服务器网页:



SSL VPN信息显示:









至此,SSL VPN IP接入(缺省证书)单臂(直连)的典型组网配置案例已完成!

7小时前回答

你正在,F1000-AK135 SSLVPN无法连接