SANGFOR_IPSEC_2016年渠道高級認證培訓01_SANGFOR DLAN互聯(lián)進階配置VIP

1、 SANGFOR DLAN 互聯(lián)進階配置培訓內容培訓目標Webagent技術掌握WEBAGENT的使用場景及配置隧道間路由技術掌握隧道間路由的使用場景及配置隧道內NAT技術掌握隧道內NAT的使用場景及配置跨運營商訪問優(yōu)化了解跨運營商訪問技術VPN內網(wǎng)權限的設置案例掌握內網(wǎng)權限的兩種配置方法隧道間路由技術隧道內NAT技術深信服公司簡介跨運營商訪問優(yōu)化SANGFOR DLAN深信服公司簡介VPN內網(wǎng)權限的設置案例Webagent技術SANGFOR DLAN互聯(lián)進階配置1.Webagent技術2. 隧道間路由技術3. 隧道內NAT技術4. 跨運營商訪問優(yōu)化5. VPN內網(wǎng)權限的設置案例某用戶總部和分

2、支均通過ADSL拔號上網(wǎng)，用戶要求分支和總部建立SNAGFOR VPN連接以實現(xiàn)兩端內網(wǎng)互訪。問題分析：由于兩端都是ADSL，IP地址隨時會變，分支與總部連VPN時，無法找到對端正確的IP地址。解決辦法：通過WEBAGENT動態(tài)尋址實現(xiàn)配置說明：一、聯(lián)系深信服申請WEBAGENT地址二、在設備配置界面，選擇【VPN信息設置】下的【基本配置】，打開WEBAGENT配置頁面，將WEBAGENT地址填入到設備中點擊可測試WEBAGENT地址是否正確測試成功表示地址可用如圖，總部分別與兩個分支建立VPN連接，分支1與分支2均能訪問總部內網(wǎng)，現(xiàn)用戶要求分支1與分支2之間能相互訪問。問題分析：兩個分支分別

3、與總部建立 VPN隧道，但分支1與分支2之間并沒有任何線路相連，也沒有VPN隧道。解決辦法：通過在分支設備中配置隧道間路由實現(xiàn)。VPNVPN配置說明： 1.配置總部與分支建立 VPN互聯(lián)，請參考 DLAN互聯(lián)基礎配置，此處不再贅述2.配置分支設備的隧道間路由分別在分支1和分支2配置兩條路由如圖，總部分別與兩個分支建立VPN連接，分支1與分支2內網(wǎng)均為/24網(wǎng)段，用戶要求不能改變任何一端的IP地址，實現(xiàn)分支與總部互訪。問題分析：兩個分支內網(wǎng)網(wǎng)段相同，當總部收到來自/24網(wǎng)段的數(shù)據(jù)時，不知道該回給哪個分支？解決辦法：通過配置隧道內NAT實現(xiàn)注意：如果分支都是網(wǎng)關部署，設備支持，如果分支兩端是單臂部

4、署，需要修改LAN口IP地址或者升級到DLAN4.3R2解決配置說明：1.在總部設備中配置分支虛擬IP池類型選擇為分支，并配置分支虛擬IP池的范圍配置說明：2.在總部設備中新增分支用戶，并啟用“隧道內NAT”功能勾選即啟用隧道內NAT填寫需要進行地址轉換的源子網(wǎng)網(wǎng)段和轉換后的子網(wǎng)網(wǎng)段，注：代理子網(wǎng)網(wǎng)段為虛擬IP池中為分支用戶所建的IP段。點擊確定，保存配置如圖，總部分別與分支建立了VPN連接，用戶反映VPN訪問速度很慢，通過測試發(fā)現(xiàn)有很嚴重的丟包現(xiàn)象。問題分析：用戶的分支和總部出口線路分別為不同的運營商，有可能是因為跨運商訪問導致很慢。解決辦法：通過配置跨運營商訪問優(yōu)化功能解決。注：跨運營商功

5、能只能優(yōu)化訪問丟包的問題配置說明：一、序列號中，開通跨運營功能（若是硬件互聯(lián)，要求兩個硬件都需要開通序列號，若是硬件與軟件互聯(lián)，只需要開通硬件端的跨運營商序列號即可。）填寫正確的序列號點擊確定保存配置說明：二、分支或移動端啟用跨運營商訪問在分支設備上啟用跨運營商功能在移動端啟用跨運營商優(yōu)化功能需求：某總部和分支部署了兩臺VPN設備，現(xiàn)總部的VPN設備做為VPN總部與分支建立了VPN連接，用戶要求對分支訪問總部的服務器進行權限控制，只允許分支網(wǎng)絡的PC訪問總部的WEB服務器（80端口），禁止訪問其他的任何服務器（包括PC客戶端）。如下圖：基本思路該客戶需求一共有兩種方法可以實現(xiàn)，通過VPN內網(wǎng)權

6、限與通過防火墻過濾規(guī)則，下面分別介紹兩種情況下如何配置。配置方法一：通過VPN內網(wǎng)權限實現(xiàn)。第一步：在總部VPN設備的VPN信息設置-高級設置-內網(wǎng)服務設置頁面，新增一個WEB的內網(wǎng)服務，頁面如下：本案例中，源IP為分支的內網(wǎng)網(wǎng)段，源端口必須選擇1-65535，因為發(fā)起連接的端口均為隨機端口。目標IP可為總部的內網(wǎng)WEB服務器IP，目的端口為WEB端口80。配置方法一：通過VPN內網(wǎng)權限實現(xiàn)。第二步：在總部設備的VPN信息設置-用戶管理頁面編輯分支用戶，點擊權限設置，頁面如下：注意：一旦設置了VPN內網(wǎng)權限，不光VPN對端訪問本端受到限制，本端訪問VPN對端一樣會受到內網(wǎng)權限的控制。因為內網(wǎng)權限只檢查數(shù)據(jù)包的IP和端口，不管這個數(shù)據(jù)包是VPN對端主動發(fā)起的還是本端主動發(fā)起VPN對端響應的，只要符合規(guī)則條件的數(shù)據(jù)包都會做相同的處理。通過防火墻過濾規(guī)則可做到更細化的控制。配置方法二：通過防火墻過濾規(guī)則實現(xiàn)。第一步：在總部的VPN設備防火墻設置-IP組定義定義好分支網(wǎng)段的IP組，與總部WEB服務器的IP組，界面如下：配置方法二：通過防火墻過濾規(guī)則實現(xiàn)。第二步：在總部VPN設備的防火墻設置-過濾規(guī)則設置-VPNLAN，刪除VPN-LAN的三