企业移动管理(EMM VPN) 项目背景: 某管委会区域划分,为了增加政府管理工作的有效性和快速响应国家政策:好棒:。此单位要求将电子政务网资源通过企业移动管理设备发布到各下属管委会进行访问:666:。一听这个忒简单了 实施背景: 为了这个项目也是晕了好几天。客户不懂网络:吓尿:,维护公司不知道什么是IP:崩溃:。各部门网络分散:帮帮我:,责任划分不清。打了一天电话才把网络搞清楚:帮帮我:。我也是醉了。 客户原有网络拓扑 拓扑说明:外网和电子政务网是物理分开的。可以访问电子政务服务器的IP地址给某管委会只分了一个IP。就是这个该死的链路找了好几天。真是醉醉的。 解决方法: 1.设备内网单臂部署,将专线接到互联网路由器的WAN口上:666: 2.设别内网网关部署,将专线和互联网线路接到VPN的WAN口上(注意设备必须有双线路授权),鉴于这种情况,我们选择了第一种解决方案:加油: 部署后网络拓扑: (PS:天呐,这个图真难看。) 路由器配置: <H3C>dis current-configuration # domain default enable system # dns proxy enable # telnet server enable # dar p2p signature-file flash:/p2p_default.mtd # ndp enable # ntdp enable # port-security enable # password-recovery enable # acl number 2000 rule 0 permit source 172.40.1.0 0.0.0.255 # vlan 1 # vlan 1506 # domain system access-limit disable state active idle-cut disable self-service-url disable # dhcp server ip-pool vlan1506 extended dhcp池,在这里排除了VPN设备的地址 network ip range 172.40.1.1 172.40.1.254 network mask 255.255.255.0 forbidden-ip 172.40.1.252 172.40.1.253 gateway-list 172.40.1.1 dns-list 172.40.1.1 # user-group system group-attribute allow-guest # local-user ** password cipher $c$3$40gC1cxf/wIJNa1ufFPJsjKAof+QP5aV authorization-attribute level 3 service-type telnet service-type web local-user user password cipher $c$3$uHQnTBeG5syUK1QQFHwctYuZfI5sqEbfwM0s authorization-attribute level 3 service-type telnet # interface Cellular0/0 async mode protocol link-protocol ppp tcp mss 1024 # interface GigabitEthernet0/0 接互联网线路的接口 port link-mode route nat outbound nat server protocol tcp global 62.185.39.185 443 inside 172.40.1.252 443 nat server protocol tcp global 62.185.39.185 4430 inside 172.40.1.252 4430 nat server protocol tcp global 62.185.39.185 8888 inside 172.40.1.252 www nat server protocol tcp global 62.185.39.185 51111 inside 172.40.1.252 51111 nat server protocol tcp global 62.185.39.185 22345 inside 172.40.1.252 22345 ip address 62.185.39.185 255.255.255.128 tcp mss 1024 dns server 61.134.1.4 dns server 218.30.19.40 # interface GigabitEthernet0/4 接专线的接口 port link-mode route nat outbound 2000 ip address 10.24.5.100 255.255.255.0 tcp mss 1024 # interface GigabitEthernet0/1 路由器的LAN口 port link-mode route ip address 192.168.1.1 255.255.255.0 # ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet0/0 61.185.39.129 ip route-static 10.24.5.0 255.255.255.0 10.24.5.1 preference 30 因为静态路由的默认优先级是60,在这里将专线的优先级调成30,优先匹配专线 ip route-static 58.255.212.0 255.255.255.0 10.25.5.1 preference 30 这里是去往电子政务网的路由,优先级也调大一点。优先匹配专线 知识普及:静态路由优先级数字越小,优先级越大。 ip route-static 172.40.1.0 255.255.255.0 192.168.1.2 # dhcp enable return <H3C> 互联网交换机配置 <Quidway>dis current-configuration # sysname Quidway # vlan batch 1 1506 # bpdu enable # interface Vlanif1 ip address 192.168.1.2 255.255.255.0 # interface Vlanif1506 ip address 172.40.1.2 255.255.255.0 # interface Ethernet0/0/1 接VPN设备 port link-type access port default vlan 1506 ntdp enable ndp enable # interface Ethernet0/0/2 接办公电脑 port default vlan 1 ntdp enable ndp enable # interface GigabitEthernet0/0/1 接互联网路由器的LAN口 port link-type access port default vlan 1 negotiation auto ntdp enable ndp enable # interface NULL0 # user-interface con 0 user-interface vty 0 4 # Ip route-static 0.0.0.0 0.0.0.0 192.168.1.1 # return VPN部署为常规部署 1. 网络配置 2.用户配置 3. 资源配置 4. 角色授权 5.策略组配置:(将用户5分钟改成30分钟未操作注销) 6.保存配置。项目结束 啊啊啊:666:,忘了附上劳动成果。真是机智,吼吼吼:冷漠: 鉴于地址保密,所有地址均非实际地址。:好棒: |