总部设备系统版本:AF-7.1 
    分支设备系统版本:AF-5.1  
     需求:总部设备拥有SSL VPN的授权,而分支设备没有,客户想实现用户拨入总部VPN后,可以管理分支的网络设备,不允许开放总部、分支防火墙的外网登录接口。  
     刚看到这个需求,感觉很简单,只需要在SSL VPN里将用户关联的资源里添加上分支的内网网段,再将资源访问的方式修改为“使用设备的IP地址作为源地址”。       
     一、IPSec  VPN配置     由于两端均是Sangfor的设备,配置比较简单。     1、总部:     新建用户:     添加本地子网:    VPN接口设置:     2、分支:     连接管理:     内网接口设置:     外网接口设置:     本地子网:     3、连接状态  
     二、SSL VPN设置     1、新建用户     2、新建资源     *这里除了要填写总部网络设备的网段,还需要填写分支网络设备的网段。     3、新建角色     4、配置资源服务选项     *资源访问模式:勾选“使用设备的IP地址作为源地址”  
      按照之前的配置思路,用户拨入总部的VPN后,使用VPN的地址去访问分支的设备,而总部和分支的链路已经通过IPSec VPN打通,但实际情况不是这样,发现VPN用户接入总部后无法Ping通分支的网络设备。     使用route print命令发现,有去往分支(192.168.1.0/24网段)的路由。     使用tracert命令,发现PC已经将发往分支的数据交给了虚拟网卡处理     本机虚拟网卡IP为:1.1.1.1   对端为:1.1.1.2                 上面分析得出,VPN用户的数据交给了总部的VPN,但总部的VPN没有处理。在总部与分支的VPN建立起来后,总部VPN有了去往分支网段的路由,且从命令行控制台访问正常。          解决方案:     最终在400的帮助下,重新更改了配置,将SSL VPN--资源服务选项--资源访问模式,使用分配的虚拟IP作为源地址;在总部的IPSec  VPN--本地子网列表,将2.0.1.0/24加入到列表中。     数据交互过程:用户登录后,匹配L3VPN资源,获得访问分支网段的权限后,终端将源是2.0.1.0/24目的地址是192.168.1.0/24的数据交给总部VPN下发的虚拟IP(2.0.1.X),总部VPN通过分支VPN发布的本地子网获取192.168.1.0/24的路由,将终端用户的数据发往分支的VPN设备,分支接到数据后转给目的网络设备,之后,分支VPN通过从总部VPN获取的路由条目转回给总部VPN,实现数据的交互。     这样,在VPN用户拨入VPN后,就可以访问分支发布的192.168.1.0/24网段了。  
     最后,有个疑问请教大家,在VPN客户端tracert 到分支内网设备IP的过程中,发现最终的结果是跟踪到了本地,很是疑惑。     而我本机并没有配置这个网段的IP。            
     在最最开始的时候,认为用户关联的资源只要有分支网段就OK。VPN用户拨入总部VPN,总部有到分支的路由,直接就可以访问,当然这是错误的。之后才有了本贴开头的尝试。       |