sangfor ssl v度渠道初級認證培訓(xùn)基本網(wǎng)絡(luò)環(huán)境部署配置

SANGFORSSLVPN設(shè)備部署培訓(xùn)培訓(xùn)內(nèi)容培訓(xùn)目標SSLVPN部署模式介紹1.掌握SSLVPN支持的各種部署模式的特點。網(wǎng)關(guān)模式1.掌握網(wǎng)關(guān)模式適用環(huán)境及支持的功能。2.掌握網(wǎng)關(guān)單線路的配置步驟。單臂模式1.掌握單臂模式適用環(huán)境及支持的功能。2.掌握單臂單線路的配置步驟。SANGFORSSL

部署模式介紹深信服公司簡介SANGFORSSL部署模式配置SANGFORSSL動動手SANGFORSSLSANGFORSSL部署案例SANGFORSSL部署模式介紹部署模式_簡介

1、部署模式是指設(shè)備以什么樣的工作模式部署到客戶網(wǎng)絡(luò)中去，不同的部署方式對客戶的網(wǎng)絡(luò)影響各有不同，具體以何種部署方式需要綜合客戶具體的網(wǎng)絡(luò)環(huán)境和客戶的功能需求而定。

2、SSLVPN支持網(wǎng)關(guān)（單線路和多線路）模式、單臂(單線路和多線路)模式部署。網(wǎng)關(guān)模式特點

1、網(wǎng)關(guān)模式部署時SSL設(shè)備工作層次基本與路由器或包過濾防火墻相當，具備基本的路由轉(zhuǎn)發(fā)及NAT功能。一般在客戶原有網(wǎng)絡(luò)環(huán)境中添加部署SSL設(shè)備時不采用這種模式，因為這種部署模式需要對客戶的網(wǎng)絡(luò)環(huán)境作較大的改動。2、一般此種部署模式的客戶網(wǎng)絡(luò)環(huán)境規(guī)模比較小，用SSL設(shè)備替換原有部署在出口的路由器，或者是客戶在規(guī)劃新網(wǎng)絡(luò)建設(shè)時將SSL部署為路由模式。如客戶出口有前置防火墻或網(wǎng)絡(luò)規(guī)模比較大建議用單臂模式。SANGFORSSL部署模式介紹SANGFORSSL部署模式介紹單臂模式特點

1、單臂模式時SSL設(shè)備工作模式基本與一臺內(nèi)網(wǎng)服務(wù)器相當，由前置設(shè)備將SSL服務(wù)對外發(fā)布，該模式下僅處理VPN數(shù)據(jù)。一般在客戶原有網(wǎng)絡(luò)環(huán)境中添加部署SSL設(shè)備時將采用這種模式，因為這種部署模式對客戶的網(wǎng)絡(luò)環(huán)境無變動，哪怕設(shè)備宕機也不會影響網(wǎng)絡(luò)。2、單臂模式部署只需要連接LAN口到內(nèi)網(wǎng)，如果需要通過DMZ口管理設(shè)備，可將DMZ口也連接到局域網(wǎng)交換機。SANGFORSSL部署配置單線路多線路單臂模式網(wǎng)關(guān)模式單線路多線路注：本PPT只介紹單線路環(huán)境部署，多線路環(huán)境請參考高級認證PPT。SANGFORSSL部署配置（網(wǎng)關(guān)模式）SANGFORSSL部署配置（網(wǎng)關(guān)模式）非直連公網(wǎng)方式的網(wǎng)關(guān)模式部署（應(yīng)用場景非常少，對網(wǎng)絡(luò)改動較大，需要在前置設(shè)備上做端口映射）SANGFORSSL部署配置（網(wǎng)關(guān)模式）1、網(wǎng)關(guān)模式配置：確定設(shè)備外網(wǎng)口（WAN1口）是固定IP或者是ADSL撥號方式，取得相應(yīng)運營商給的IP地址信息或者是撥號的帳號密碼；確定內(nèi)網(wǎng)口（LAN口）的IP地址信息；2、上網(wǎng)配置：代理上網(wǎng)（NAT），確定內(nèi)網(wǎng)是否多網(wǎng)段網(wǎng)絡(luò)環(huán)境，如果是的話需要添加相應(yīng)的回包路由回指給設(shè)備下接的核心交換機。網(wǎng)關(guān)單線路配置思路：SSL部署配置（網(wǎng)關(guān)單線路模式）網(wǎng)關(guān)單線路模式配置截圖設(shè)置內(nèi)網(wǎng)接口IP地址SSL部署配置（網(wǎng)關(guān)單線路模式）代理上網(wǎng)配置截圖選擇代理LAN或DMZ口下的網(wǎng)段上網(wǎng)SANGFORSSL部署配置（單臂單線路模式）1、單臂模式配置：給設(shè)備LAN口分配一個可以上網(wǎng)的IP地址，填寫正確的網(wǎng)關(guān)IP、DNS；2、前置網(wǎng)關(guān)做TCP443和80端口映射（如果用到IPSECVPN還需要映射TCP/UDP4009端口）單臂單線路部署配置思路：SSL部署配置（單臂單線路模式）單臂單線路模式配置截圖給設(shè)備LAN口分配一個可以上網(wǎng)的IP，正確填寫網(wǎng)關(guān)和DNS地址。配置DMZ口IP，可通過DMZ口管理設(shè)備案例一：網(wǎng)關(guān)單線路部署案例某客戶拓撲如圖，客戶需要實現(xiàn)外網(wǎng)用戶通過SSLVPN接入訪問內(nèi)部的web服務(wù)器群。客戶只有一條外網(wǎng)線路，對應(yīng)的公網(wǎng)ip是。SSLVPN設(shè)備網(wǎng)關(guān)部署，內(nèi)網(wǎng)用戶通過SSLVPN設(shè)備上網(wǎng)，外網(wǎng)用戶需要實現(xiàn)輸入域名實現(xiàn)接入SSLVPN。部署需求：網(wǎng)關(guān)單線路部署配置思路1.基礎(chǔ)網(wǎng)絡(luò)配置：網(wǎng)關(guān)模式，配置WAN1、LAN口IP地址信息，配置系統(tǒng)路由。2.靜態(tài)路由：由于LAN口與服務(wù)器不在一個網(wǎng)段，而設(shè)備的默認路由指向WAN方向出口，所以需要添加到達內(nèi)網(wǎng)的靜態(tài)路由，下一條指向核心交換機。3.域名設(shè)置：將客戶申請的二級域名在ISP處用A記錄指向

。4.代理上網(wǎng)：將內(nèi)網(wǎng)PC私網(wǎng)ip轉(zhuǎn)換成，代理內(nèi)網(wǎng)用戶上公網(wǎng)。網(wǎng)關(guān)單線路部署配置步驟1.設(shè)置網(wǎng)關(guān)模式，LAN口和WAN1口IP地址。網(wǎng)關(guān)單線路部署配置步驟2.設(shè)置系統(tǒng)路由網(wǎng)關(guān)單線路部署配置步驟3.設(shè)置代理上網(wǎng)案例二：單臂單線路部署案例客戶拓撲如圖所示，出口有一條電信鏈路。客戶需要不改動原有的網(wǎng)絡(luò)環(huán)境部署SSL設(shè)備，實現(xiàn)外網(wǎng)用戶輸入這個IP地址即可接入SSLVPN。部署需求：單臂單線路部署配置思路1.基礎(chǔ)網(wǎng)絡(luò)配置：單臂模式，配置LAN口IP地址，掩碼，網(wǎng)關(guān)等信息。2.前置防火墻做端口映射：前置防火墻需要做兩條線路的80端口和443端口到0。需要注意：如果80端口不映射，將無法實現(xiàn)從http到https的跳轉(zhuǎn)。如客戶不要求實現(xiàn)自動跳轉(zhuǎn)到https，可不必映射80端口。單臂單線路部署配置步驟1.設(shè)置單臂模式，LAN口IP地址，網(wǎng)關(guān)，以及DMZ口IP地址。2.前置網(wǎng)關(guān)設(shè)備（防火墻）配置80和443端口映射深信服webagent介紹如果SSLVPN設(shè)備是通過ADSL撥號上網(wǎng)（無固定公網(wǎng)IP），移動用戶該如何登錄SSLVPN設(shè)備？通過深信服webagent功能，可實現(xiàn)動態(tài)IP尋址，實現(xiàn)該需求注：SSL設(shè)備網(wǎng)關(guān)部署和單臂部署時，都支持webagent功能練練手1、SSLVPN支持哪些部署模式？2、單臂模式部署的時候可以使用設(shè)備的哪些接口接到網(wǎng)絡(luò)里面？3、SSLVPN單臂模式部署時，前置網(wǎng)關(guān)設(shè)備需要映射哪些端口？問題思考練練