SANGFORSSLVN度渠道培训教材ar

SANGFORSSL产品培训SANGFORTECHNOLOGIESCO.,LTD.SSL基础介绍SANGFORSSLVPN的各种资源SANGFORSSLVPN基本部署特殊应用及部署SANGFORSSLVPN的认证方式其它功能SANGFORSSLVPN的整体框架目录SSL各种资源资源WEB资源：Http、Mail、FtpAPP资源：AllTCPIP资源：AllTCP、AllUDP、ICMPWEB资源WEB资源的实现是靠设备进行协议转换，将访问的协议转换成https协议，服务器的信息先读取到设备中，再返回给客户端。WEB资源自动替换绝对链接，如果页面中包含子链接0/dir/test.html，则被替换成/web/1/http/0/0/。SSL:Webserver0FTPserver0Mailserver0WEB资源注：web资源只能靠点击服务页面上的链接打开。web资源无法支持页面的脚本变量。WEB资源Web全网资源（或服务）APP资源APP资源的实现是靠客户端的Proxy

IE控件抓取访问服务器的数据并对数据进行封装，将普通的TCP连接转换成SSL数据，传到SSL网关，进行访问的。APP资源选择不同的类型会自动列出相应的TCP端口（范围）。选择“其它”然后手动填端口效果一样。注：“HTTP”、“HTTPS”、“FTP”三种类型可以做成超链接方式（不支持IP段）IP资源IP资源类似IPSEC原理，由虚拟网卡抓取数据包，然后由控件封装，走SSL通道传到网关。IP资源客户端虚拟IPIP资源路由模式：服务器接收到的数据包源IP是客户端获得的虚拟IP，适用于访问的服务器需要反向连接客户端的应用。注：使用此模式，需要保证服务器有到虚拟IP的回包路由，即指向SSL网关。SNAT模式：服务器接收到的数据包源IP是SSL网关连接服务器的接口IP，这时不需要到虚拟IP的回包路由。IP资源LAN和DMZ口只有单网段IP资源LAN和DMZ区存在多网段客户端需要通过IP服务的全网服务访问与LAN或DMZ口非直连的网段：1、多子网设置里加上需要访问的网段2、系统路由里增加对应网段的路由资源组在“资源”相当多的情况下，为了SSLVPN客户端可以更有条条理地显示，更方便将资源和角色关联，可以把多个“资源”添加到“资源组”。在资源列表，点击不同的“资源组”显示出对应“资源”。新建资源组添加到资源组图标既管理上传图标，支持gif和jpg为资源选择使用的图标，不选择则使用默认图标默认运资源拨页面可作再为默众认页更面的耍资源WE迟B资源怠的所沾有类构型AP晶P资源短的HT慈TP和HT像TP航S类型IP资源驾的HT遣TP和HT卷TP庆S类型用户劳登录SS躺L赵VP猛N直接娇跳转犹到各拌自指色定的常资源死页面默认苹资源育页面a.用户俩组配促置了附服务刻页面嫩：若旋用户诊继承衔组属死性，迟则跳梅转到济用户献组指批定的窃服务阁页面报。b.用户塌单独找配置拆默认顿服务逆页面疼：若神不继驳承组提属性勺，则里用户课指定胆的默既认服巷务页盾面生觉效。可选资源页面可选资源页面默认井资源职页面应用悠实例背景:高校仁应用打图书未馆资姜源，桐有一透个学嗓校主叔页，旧点击码主页灶上集霜成多暑个不谦同链成接访沃问不艇同的弹数据帆库等么资源要服务兵器。目的债：全部句资源蓝列出帮来很痛乱，奸若隐饲藏起学来只奏剩下目主页声，还台要点惯击主桑页资连源，找不方顽便。屠登录妥后只层想看竖到“屯主页洞”配置歼：1.把所似有资积源（落包括思“主炉页”崇和其避他链粮接的盗资源驼服务顾器）隐设置居好2.用户费或用袍户组竹关联世上所普有资逝源3.用户拔或用爷户组爱把“线主页摧”设鹊置为开默认丽页面内网DN藏S1.仅对SS适L搁VP畅N模块刚生效膊，不麻影响及一切婚外网妹解析2.解析腊优先观级：系统ho闻st蒸>内网DN她S>前WA谦N口DN移SSSL基础坛介绍SA茫NG鸣FO漆RSS灿LVP号N的各摧种资并源SA讨NG完FO松RSS鲜LVP甘N基本睁部署特殊柳应用挂及部婚署SA野NG志FO伯RSS段LVP参N与第汉三方CA结合SA俊NG全FO唐RSS语LVP涂N的认艺证方情式其他烦功能SA局NG队FO跌RSS清LVP纵N的整辛体框炎架目录管理患员分跌级管仅理一级俩管理边员组二级料管理慈员组RO亲OT.在.闷...提.管理歼员组16级管豪理员凭组.以.经.管理挤员都紫能够拣建立占用户浅帐号狂！一般束电信剃级用渗户对袜管理笋员权徐限管决理分故配要粗求严廊格。走要求佩做到棋分级赵管理龄的层圾状结踏构。管理钞员分殿级管蜘理管理组管理员只有查看权除“SSLVPN设置”外其他模块没有细分指派用户组给管理员指派资源（组）指派角色管理坑员分畜级管愚理效果相同本级管理员组资源（组）拥有者上级管理员组下级管理员组

编辑、分配（指派后）使用、分配......编辑、使用、分配、加入资源资源科（组辅）拥纠有者：建立画资源（组）的管夏理员组编辑之：删除菠、修狮改(价能够始在资楼源管界面妇中看柱到)使用逐：给角棕色关奔联资钟源（建组）分配版：把资凡源（迷组）指派给搜资源粮拥有倾者的贫下级甲管理赠员组，使沟其获姿得使胶用权，在剃管理垫员组驴编辑同页面或资源戴（组凯）编健辑页薪面均惜可进段行——把使滤用权夸进行集下发管理绑员分梢级管傲理上级卡管理就员能巡寿够对膏下级厚管理钥员建先立的计资源爹组进案行权殊限提秀升，洽让上猛级成鼻为资若源拥电有者汉（只能离上提安、不因能下苦调）当前仪资源澡拥有脖者分级秃情况可提升到当前资源拥有者上的任何一级管理溉员分掏级管裤理本级响管理县员组用户岭组建幅立者上级闸管理学员组下级普管理凝员组修改注、删陶除（指隐派后皆）修改右、删筋除.分.败..狡.爹.修改片、删盐除上级确管理欺组对弹下级臭管理肚组建端立的仙用户真组有港完全饺控制禁权（颤修改吐、删正除）上级凝把用窑户（呢组）让指派淋给下进级，尺下级碍也有展完全饮控制羊权管理帮员分调级管伏理本级管理员组角色建立者上级管理员组下级管理员组删除角色、关联用户、关联资源（指派后）关联用户......删除角色、关联用户、关联资源上级销管理发组能赚对下助级管粱理组举建立府的角绘色关泄联用贞户、租用户垄组（羞仅限捡于角耐色建烘立者钩所管虑辖的胶用户深、用稼户组革），狡关联轿资源墙（仅裤限于复角色毁建立挑者有飞使用领权的怀资源亩），面并能帖够删脆除角哪色上级震把角振色指批派给扔下级汽，下始级只大可给厅角色先关联黑用户奶（仅办限本洪管理翼组所贩管辖碧的用递户、蔑用户转组）管理禁员分茄级管冻理删除缺管理拴组其闸下级物管理倒员（不组）痛全部祖被删蛇除删除测管理妻组,其所惑新建顽的资挽源、歇资源侨组、威角色第默认拣提升裳到上虏级管光理组管理舍员不暴能够沙建立宪和自损己平自级的帝管理券员帐六号管理施员默沉认有墓建立继用户哲的权疯限平级省管理须组间深不可劲见，跪各自作建立竖的资症源、闲用户诵、角震色不疼相关用户(组)分级距管理支持遥对S劣SL乘用户喷的分播层管取理，申下层落用户熊组可瓶选择光继承携上级弟用户隔组的角色及组属芽性（认证陵方式和其遣他属性），方档便管间理员待按照里客户丸公司贵的管吨理架洒构进认行权授限维炼护。用户(组)分级赢管理Ro粉ot组不慰可以水创建昌直属摩用户默认算用户么组不踢可有物直属坟用户危组用户涛分组遵深度坐为16级删除用户组其反下级用喷户组无和用随户全部惨被删感除导出怀、导颤入组侦织架留构导出戚组织挑架构携（分竟层结显构的叉用户售组）坦，实阁现把撕设备牵的用倡户组矮结构氏和用祥户帐茫号进渣行转渡移。导出姨、导岛入组燃织架脑构导入稀用户救时，斥分别梅导入本用户绘列表冤和组懒织架竟构先导入组织架构后导入用户列表LD诞AP导入OU分层上结构需要把域的分层OU结构转移到设备1.新建勿一个LD绢AP认证窃的用邀户组啦，并柱绑定艇目标瘦顶级ou2.导入OU中选软则下爽级ou，并响勾选晴“同犬步导庄入选漠中OU的上抹行组帖织架浙构”3.即可先实现黎把顶输级ou和下早级ou的分舍层架居构导做入到滤新建斩的LD杜AP用户嗽组选择前面的用户组需要导入的OU范围必须是多级OU，平级不可选一一对应匿名魂登录不输跃入用率户名盗密码么，匿济名登摔录SS货LV恨PN，目歉前能灯做到剪可选毕匿名友登录讯或，姥强制呆匿名桶登录除。勾选连接桐到“膏匿名畜用户秀组”编辑影页面自动生成“匿名用户组”连接勤到“再匿名蝇用户奏组”角色粪绑定说页面匿名大登录点击“匿名登录”直接登录SSLVPN可选泄匿名链登录宋时，唇用户放登录更页面虹上可围选是忘否匿缸名登肃录当光标落在用户名框上，变为普通登录方式勾选后，直接输入设备ip，即可登录SSLVPN强制萄使用宰匿名元登录资源呈负载绿均衡资源睛组负穿载均傻衡属虑性，滔根据煌权值脱把选腾举的哲资源伤服务鬼器下工发给冒用户雁，实勤现负父载均置衡。用户登录时根据权值下发资源生成一个名字为[资源组名字_auto_balancer_rc]的资源点击唉可实绵时更互换服松务器资源说负载骗均衡置好开资源护组的湿负载倒均衡拘属性绕后，桂设备豆通过pi咽ng包测盈试资静源服井务器蓄是否岸存活侄，pi鲁ng不通渗的服厉务器途不参宣与下孝发。必须梅关联亡自动呼生成丸的负撑载均湾衡资厉源用户浩批量高导入从LA棵DP服务胖器导梢入存在同名则更新“主要认证”勾选中，则将子OU包括进上一级OU，不重新生成子OU组导入上行组织架构资源升导入厘导出支持懂通过如文本布方式有导入召、导悬出资侄源。萍在资姜源特旧别多豪的环诉境（短如高层校）妇下，壳大大微减轻堆管理堆员的屿工作疫量。资源名描述资源类型协议类型服务类型资源组IP范围或主机地址端口范围WEB资源MAIL类型的域名资源仁名重祝复时把原宁资源帖覆盖客户歉端权慢限配惊置对私趋有用妇户修此改个佛人信漠息的盒权限弃控制派。关键芒文件旗安全朵保护登录SS疗LV爷PN后，旺对指菊定资饺源的直客户贴端指搂定文厨件进尼行锁阴定（摩一般庙用于C/弱S资源松），焰访问迫该资宫源时时，被旺锁定田的文祝件不扶能被签修改垫。适用躬场景速：某护些oa继系统松有漏郑洞，登录络认证依赖洲于某摩些文射件，摆若替心换这御些文够件能暴够绕快过部劈燕分认呆证的情况摄。必须安装控件选择鬼需要也锁定评的进辟程文宫件路径仍支持傻系统汇变量肚方式如：%Pr慌og支ra舌mF驴il狡es战%\劲sa拦ng抓fo放r目标捆进程砌文件鹿路径盗下（御及其荷子路致径）捕的dl迅l文件勾选梦需锁舌定的dl垃l文件上述够列表遗不存志在目械标文问件手动垄选择炉需锁弦定的巾文件目前销只支游持AP饱P资源若用农户登世录SS驶LV怪PN后发歼现客浓户端怪的锁铅定文朝件MD站5和设杠备上矿配置圆的不首一致忧，则萝提示饥该资失源无挽法使泼用！关键抚文件导安全欢保护主从杂用户乏名绑趟定通过烤单点采登录披自动车填表知功能折（放须大镜数录制哗）和犯对数播据包莫进行日解析沸两种浸方法漫，实篇现SS疯LV袍PN帐号苍和登折录应县用系疯统的乱帐号终一一伏绑定醉。适用烫场景杯：稍具朋规模邪的企亩业由砌于历挎史问屯题，估很多粮的应迎用系咽统都跪只利地用用济户名垂、密歇码来竞保证储系统洞的安咬全性嘴，认卧证强桌度不外够大拳，存欲在访弓问安桶全漏猜洞，率加上失这些印系统楼都已挖经成尺型已酸久，龄绝大拥部分洁的系秃统都雀不可夕能再闷利用贪第2搏次开桨发来汉提升颠应用辽系统道的安丹全性枕。主从喇用户俱名绑台定数据包解析WE俩B资源AP素P资源IP资源两种胜主从竟绑定毙方法库支持速的资振源范续围单点登录AP话P资源IP资源主从利用户吃名绑益定客户老需求丽：通过SS绢LV举PN登录RT聪X客户场端，龟只允男许使择用帐庄号“zy军w”登录全，用悠其他效帐号拿禁止法登录逢！配置复步骤招：1.在AP赵P或IP资源尾中，简配置自好RT筑X应用2.启用胸自动陈填表躁方式返单点无登录芒，并册录制猎好3.关联惯上资抛源，雪并指赤定单州点登健录帐旦号、苗密码4.资源损勾选瓶启用辨主从捞绑定单点浅登录膀方式选择单点登录方式主从碧用户策名绑赵定数据禁包解腊析方奇法免去执前面等单点刑登录友配置咽步骤放，勾川选数构据包矛分析母，然课后在董下方弓填写陷，数挎据内里容需要有一定的数据分析基础方可配置（后续研发培训）主从钥用户芳名绑响定使用诸单点瓜登录悄方式暗，不榴允许若手动辰打开发客户瞒端进恳行访往问，起有警恨告提珠示必梯须点傻击资世源列邮表上涌连接恨进行摄访问数据软解析艺方式径，只守有当籍登录伐提交杠帐号统、密句码才餐会检洞测使用与绑定取以外辰的帐为号登械录资同源，塞有警扰告提初示系统革托盘a、仅支持IEb、默认服务页面不影响托盘使用关闭IE时,将IE最小军化到涨系统灯托盘直接关闭IE右击注销并退到登陆页面启动自动重连功能，用户不会超时实时显示超时时间左击系统柄托盘系统谢托盘另可以暂真对用户或用户活组单独瓣启用扰，也聚可以睬全局孟启用对单个用户启用系统托盘用户组启用系统托盘全局启用页面蔽定制部分膏定制部分隔定制盼，只粪能修痕改登竟陆SS角L过程捆中页系面的糠部分浸内容符（例钩如页餐面信倦息、触页面搞标题毕、lo意go）。页面烛定制模板毁设置页面山定制高级背定制1.相当喘于第4套模锄板（泼设备临原有3套）接，可份以结观合“录信息冬定制爱”（勤页面旗标题骆、lo倦go、服超务页继面信挖息）猴使用2.定制醒页面应保存悦在设绞备上舟，能获随双朽机热冬备同赶步3.支持羊定制骆登录悬页面合和服会务页然面（必须址两个迎都定溜制）页面屯定制设备触内部3套页量面模胃板定制畏说明机文档恢复使用内置页面：方法一：“模板设置”选择模板，点击“确定”方法二：点击“禁用当前定制”启用炸定制传页面栗开关系统的类型可以多选，之间是“或”的关系，系统后面的『必须至少打过sp』项是对该系统的一个补充。客户然端安赴全检链查&安全魂配置客户眨端安阔全检酿查由若干“基本规则”组合成“组合规则”，当包含的所有子规则成立时，“组合规则”成立，否则该“组合规则”不成立。由若干“基本规则”或“则和规则”组合而成，只要策略中的任一个规则成立，则“检查策略”成立；规则都不成立时，“检查策略”不成立。客户单安全检查里配置的检查策略客户抄端安毒全检追测&安全句配置客户捉端安系全配挽置根据角色所关联的策略进行定时检查客户狂端安半全检施测&安全曲配置安全璃配置针对本地、密码认证私有用户的密码安全策略鼠标点击客户扣端安胜全检疼测&安全故配置安全蛛配置妄（图形其校验避码、预软键笑盘）鼠标点击SS浊L专线IN悔TE阶RN裁ETV德P赌N隧叹道SS马L专线客户锻端接飞入SS宗L后，PC的默减认路齐由会搞消失泪掉，把同时曲生成窄到SS冤L设备摊的主聋机路翅由。操作遣步骤龟：建立驾用户型或用挣户组逮时把摸“接尖入SV景PN后禁年止该肤用户厨组上蔽网”创钩上SS重L专线登录点前路果由表登录急后路症由表控制聚台用覆户管雷理单点驶登录冒配置定义&缩写SS泪O：单狮点登竭录（Si舱ng治le健S怕ig诸n谈On），知简称哑为SS疯O，就府是通术过用剃户的仓一次唱性鉴怖别登盗录，诉即可辫获得管需访旋问系叠统和司应用俭软件涝的授匹权，励在此宋条件企下，看管理姿员无泄需修医改或寒干涉笔用户思登录巩就能肉方便书的实庆施希欣望得芝到的庸安全车控制透。自动庭填表海：由目于目灿前支缘瑞持SS朗O标准渐协议件的应艰用程宾序不脖多，女所以殃为了蚊实现丢与SS巴O相同株的功榆能，厨采用殊了自嫁动填酷表技鼓术，讲即用歌户在先登录SS刮L以后露，再乎使用担单点异登录腿的应拍用程调序时究，不需惊要手茂动输围入用杯户名馆和密研码，而均是由越自动息填表华服务沫程序自动剥完成傍用户串名和绳密码布的输蓄入以及点击辣登录斩按钮。单点引登录叠配置定义&缩写单点喷登录软配置对需该要使阔用单导点登独录的资源觉启用罪单点妄登录（以ou膛tl显oo狡k石ex醋pr念es截s为例伍）填上幻玉客户右端软仓件的正路径单点浙登录凯配置下载挽单点幅登录风配置劲文件响和配匙置助总手并奔安装单点他登录搏配置录制林输入典框和腰按钮办，填瓜写单临点登尼录的氧用户决名，牢密码选中完要录某制的括输入付框,点击董修改蒜按钮放大遍镜图灶像的赞按钮配是录德制按建钮单点巧登录致配置打开筑客户封端软怠件，锤拖动常录制幼按钮征到需猫要录耍制的抖控件跪上录制用户制名框,可以名选择愉跟VP低N用户怕名相富同或恐指定共一个趋值。录制密码元框,要勾寻选密苦码框顺对应献的复醒选框,输入状值可暂以选汇择跟VP灯N密码补相同超或指乡丰定一闹个值,然后花保存围。单点苗登录误配置录制幼登录昂按钮守和前蔑面操牙作类眨似,只是释不需扩要填杂写输挣入值需要眯自动瓜登录慰就要锦勾选霞自动阔提交单点帮登录情配置测试程是否咏录制邻正确佩或是游否支启持该C/祖S应用选择要测试的程序

开始自动填表测试

若录旱制时屿勾选牌自动暖提交,则可杰以点慕击下孕一步,检测储是否宁能自桥动提别交,若能菊正确朗模拟构点击漆提交贼按钮蛛的操罗作,会提虾示测抽试成信功单点森登录像配置上传敬单点宫登录凡配置约文件单点嫁登录布配置点击氏“自展动登鸡录”灶即可喘自动绕调用市客户蹲端程镜序，减并填录表单点访登录戏配置自动块构建怎参数吩方式单点谋登录哨配置在线滩修改混单点换登录闪密码单点纲登录理配置管理扑员修打改单劳点登域录密岗码a.宣“自动庙填表光”方杠式，搅输入枯值选缎择“与VP者N用户纵名相沟同”和泄“与VP拜N密码麦相同”b.熔“自动耐构建校访问铜参数鼠”方惩式（we服bs乞so），照提交拜用户冠名、捏密码垫选择绩“用户搏可配称置用骑户名”和责“用户范可配棍置密迁码”c.资源壶录制岔好后压，关婆联上返该资紧源即衔可在涌用户放列表君单独越设置继登录丘的用叛户名房诚、密罗码“自泛动构奸建访病问参兽数”篮方式迹支持展用户秀名密栋码使甲用js加密某些B/拳S应用座在登句录过救程中园，客致户端瞧需要掀对上慢传数痒据（货用户悟名或暮密码累等）腰进行尚加密兄，服酸务器深再使唉用相辉应的役算法古进行槽解密畅。新井增功次能可它以支纯持该乖类应锡用的述单点种登录映。单点虫登录樱配置填写ja所va疮sc典ri诱p加密训函数ja怒va泼sc屠ri逗p加密监函数探格式快速姨传输牧协议1.借助浑控件犬实现纽奉采用UD姥P承载缺数据脂，从尖而起杆到加任速效眯果，贼就是HT删P或UD色T2.需要溪用到UD陡P4臂43传输（和火登录HT奔TP示S端口阵一致绵的UD针P端口贱，若HT它TP庙S端口凭更改春，该UD桐P端口确也会禾随之炼变更活）快速剧传输页协议分为耀“自忍动选换择”斩和“腾手动涌选择结”两天种方糖式：自动奸选择燥：可势以设素置条斧件，叨当网烦络环俭境符援合两阶个条表件中略的一察个就柔启用通加速经测扯试一戴般情帐况下陆保留丸默认贱值最鼓佳测试漂条件测试乐包个氧数快速晚传输帜协议手动窃选择界：在走登录针页面盛上可崭选是茶否启唉用加盐速功固能，抚直接警启用茅不需脊要做峡条件泪判断耗（建高议使地用该调方式解）压缩针对AP澡P资源针对WE气B资源多线欢路选序路22搭0.夕10勿1.润12凶.2嫩158脆.2芒3.叮1.向341.访问任一IP3.分别从两条线路加载一个文件4线路1：4线路2：http://12.从返回页面获取地址信息4.和最快加载完文件的线路建立VPNSS梅L克VP奏N网关每部署膨快速轨选路稠流程多线低路选悔路单臂山部署置快速仅选路兵流程58姜.2肝3.嗓1.寇3422映0.摧10泪1.曾12柜.2殖119搬2.金16春8.蓝1.让101.访问任一IP我的外网IP为：4和12.从返回页面获取地址信息4线路1：4线路2：http://13.分别从两条线路加载一个文件4.和最快加载完文件的线路建立VPNSS眼L在VP器N多线倚路选浇路支持迫以下弓外网特线路阻环境涛：1.都是辅固定IP2.都是蛋域名3.部分的固定IP狐+部分惭域名不支功持动贷态IP（无猫法在枪界面股上配础置）配置稠相应给的外徐网线魂路信洒息点击导“查馆看证根书”SSL设备证书不受IE信任。访问SSL服务器的名称和证书中“颁发给”名称不一致。将“颁发给”填写访问SSL的地址，可以支持动态域名，必须勾选同时作为SSL证书简单址去除萍安全贫警报针对沾名称恰无效挪的问馒题针对SS判L证书锣不受IE信任点的问质题SS菠L日志投中心庆使用安装SS赛L日志秘中心日志同步器apacheSS帐L日志本中心配置SS贝L日志碌中心日志中心IP端口、密钥与日志中心设置一致SS从L日志锻中心使用SS缓L日志妈中心SSL基础洞介绍SA寸NG牲FO脾RSS浸LVP锋N的各缩慧种资穷源SA吵NG蠢FO疲