16-SANGFOR VPN解決方案（二）電子課件

SANGFORVPN解決方案（二）SANGFORVPN功能優(yōu)勢(shì)SANGFORVPN術(shù)語(yǔ)解釋SANGFORVPN建立過(guò)程SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析SANGFORVPN特殊場(chǎng)景目錄SANGFORVPN功能優(yōu)勢(shì)SANGFORVPN術(shù)語(yǔ)解釋SANGFORVPN建立過(guò)程SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析SANGFORVPN特殊場(chǎng)景目錄SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析SANGFORVPN建立隧道SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)傳輸問(wèn)題1SIPDIPSportDportProtocolDATA0005000080TCPHTTP數(shù)據(jù)①SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)傳輸問(wèn)題1AC沒(méi)有去往網(wǎng)段的路由！SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析問(wèn)題1解決方法在長(zhǎng)沙AC上配置靜態(tài)路由！SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)傳輸問(wèn)題2SIPDIPSportDportProtocolDATA0005000080TCPHTTP數(shù)據(jù)①②③SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)傳輸問(wèn)題2因?yàn)閃OC沒(méi)有去往網(wǎng)段的路由！SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析問(wèn)題2解決方法在總部的SSL設(shè)備上配置本地子網(wǎng)，將總部的資源網(wǎng)段宣告給長(zhǎng)沙WOC設(shè)備SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析問(wèn)題2解決方法在分支WOC設(shè)備上可以查看到去往總部本地子網(wǎng)的路由條目SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)發(fā)送成功①②③④⑤⑥⑦⑧⑨SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)發(fā)送成功1SIPDIPSportDportProtocolDATA0005000080TCPHTTP數(shù)據(jù)①②SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)發(fā)送成功2③SIPDIPSportDportProtocolDATA8400004009TCP加密的原始數(shù)據(jù)包SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)發(fā)送成功3④SIPDIPSportDportProtocolDATA98400004009TCP加密的原始數(shù)據(jù)包SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)發(fā)送成功4⑤⑥SIPDIPSportDportProtocolDATA900400004009TCP加密的原始數(shù)據(jù)包⑦SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)發(fā)送成功5⑧⑨SIPDIPSportDportProtocolDATA0005000080TCPHTTP數(shù)據(jù)SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)回包問(wèn)題①SIPDIPSportDportProtocolDATA0008050000TCPHTTP數(shù)據(jù)SIPDIPSportDportProtocolDATA0008050000TCPHTTP數(shù)據(jù)②SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)回包問(wèn)題正常情況下AF不會(huì)把回包發(fā)送給SSL！SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析解決方法SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)回包成功⑤④⑥③⑦②①⑧SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)回包成功1②①SIPDIPSportDportProtocolDATA0008050000TCPHTTP數(shù)據(jù)SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)回包成功2⑤④③SIPDIPSportDportProtocolDATA009400940000TCP加密的原始數(shù)據(jù)包SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)回包成功3⑥SIPDIPSportDportProtocolDATA89400940000TCP加密的原始數(shù)據(jù)包SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)回包成功4⑦SIPDIPSportDportProtocolDATA8400940000TCP加密的原始數(shù)據(jù)包SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析數(shù)據(jù)回包成功5SIPDIPSportDportProtocolDATA0008050000TCPHTTP數(shù)據(jù)⑧SANGFORVPN功能優(yōu)勢(shì)SANGFORVPN術(shù)語(yǔ)解釋SANGFORVPN建立過(guò)程SANGFORVPN數(shù)據(jù)傳輸過(guò)程分析SANGFORVPN特殊場(chǎng)景目錄SANGFORVPN特殊場(chǎng)景權(quán)限控制場(chǎng)景需求：總部和分支部署了兩臺(tái)VPN設(shè)備，現(xiàn)總部的VPN設(shè)備做為VPN總部與分支建立了VPN連接，用戶(hù)要求對(duì)分支訪(fǎng)問(wèn)總部的服務(wù)器進(jìn)行權(quán)限控制，只允許分支網(wǎng)絡(luò)的PC訪(fǎng)問(wèn)總部的WEB服務(wù)器（80端口），禁止訪(fǎng)問(wèn)其他的任何服務(wù)器（包括PC客戶(hù)端）。如下圖：基本思路：該客戶(hù)需求一共有兩種方法可以實(shí)現(xiàn)，通過(guò)VPN內(nèi)網(wǎng)權(quán)限（兩端都會(huì)受到限制）或者通過(guò)防火墻過(guò)濾規(guī)則（更細(xì)化的控制）。SANGFORVPN特殊場(chǎng)景分支通過(guò)總部互聯(lián)場(chǎng)景需求：總部分別與兩個(gè)分支建立VPN連接，分支1與分支2均能訪(fǎng)問(wèn)總部?jī)?nèi)網(wǎng)，現(xiàn)用戶(hù)要求分支1與分支2之間能相互訪(fǎng)問(wèn)。問(wèn)題分析：兩個(gè)分支分別與總部建立VPN隧道，但分支1與分支2之間并沒(méi)有任何線(xiàn)路相連，也沒(méi)有VPN隧道。解決辦法：通過(guò)分別在分支1和分支2的設(shè)備中配置隧道間路由實(shí)現(xiàn)。SANGFORVPN特殊場(chǎng)景分支通過(guò)總部上網(wǎng)場(chǎng)景需求：總部與分支建立VPN連接，總部希望審計(jì)分支的上網(wǎng)行為，因此總部要求分支通過(guò)總部實(shí)現(xiàn)上網(wǎng)。解決辦法：通過(guò)在分支1中配置隧道間路由實(shí)現(xiàn)通過(guò)總部上網(wǎng)。SANGFORVPN特殊場(chǎng)景分支地址沖突場(chǎng)景需求：總部分別與兩個(gè)分支建立VPN連接，分支1與分支2內(nèi)網(wǎng)均為/24網(wǎng)段，用戶(hù)要求不能改變?nèi)魏我欢说腎P地址，實(shí)現(xiàn)分支與總部互訪(fǎng)。問(wèn)題分析：兩個(gè)分支內(nèi)網(wǎng)網(wǎng)段相同，當(dāng)