SANGFOR-SSLVN-度渠道培训教材ar-

SANGFORSSL产品培训SANGFORTECHNOLOGIESCO.,LTD.SSL基础介绍SANGFORSSLVPN的各种资源SANGFORSSLVPN基本部署特殊应用及部署SANGFORSSLVPN的认证方式其它功能SANGFORSSLVPN的整体框架目录SSL各种资源资源WEB资源：Http、Mail、FtpAPP资源：AllTCPIP资源：AllTCP、AllUDP、ICMPWEB资源WEB资源的实现是靠设备进行协议转换，将访问的协议转换成https协议，服务器的信息先读取到设备中，再返回给客户端。WEB资源自动替换绝对链接，如果页面中包含子链接，则被替换成。SSL:WebserverFTPserverMailserverWEB资源注：web资源只能靠点击服务页面上的链接打开。web资源无法支持页面的脚本变量。WEB资源Web全网资源（或服务）APP资源APP资源的实现是靠客户端的Proxy

IE控件抓取访问服务器的数据并对数据进行封装，将普通的TCP连接转换成SSL数据，传到SSL网关，进行访问的。APP资源选择不同的类型会自动列出相应的TCP端口（范围）。选择“其它”然后手动填端口效果一样。注：“HTTP”、“HTTPS”、“FTP”三种类型可以做成超链接方式（不支持IP段）IP资源IP资源铲类似IP穗SE参C原理未，由吧虚拟秒网卡吼抓取亚数据休包，并然后察由控纺件封业装，话走SS爷L通道捕传到遇网关搏。IP资源客户选端虚淡拟IPIP资源路由胀模式慢：服泰务器周接收奥到的特数据拾包源IP是客睡户端猜获得嗓的虚今拟IP，适周用于役访问辈的服箩务器通需要替反向礼连接左客户陵端的添应用丝式。注：使用化此模骡式，斗需要孕保证漆服务捆器有培到虚我拟IP的回女包路系由，孕即指伍向SS盈L网关开。SN芽AT模式却：服适务器鸣接收趟到的缘瑞数据给包源IP是SS稀L网关坐连接拾服务垃器的灭接口IP，这炎时不廊需要墙到虚既拟IP的回矩包路外由。IP资源LA欲N和DM存Z口只辱有单邮网段IP资源LA静N和DM渣Z区存闪在多析网段客户策端需眨要通画过IP服务脏的全侦网服虏务访斑问与LA苏N或DM虚Z口非苏直连的网不段：1、多子丸网设置艰里加怖上需绑要访单问的隙网段2、系循统路另由里饺增加己对应带网段笼的路疯由资源遭组在“资源”相途当多霸的情辛况下粒，为勤了S肥SL灶V北PN幻玉客户野端可乔以更闭有条奥条理顿地显掠示，更方茂便将许资源畏和角涌色关额联，可以姜把多赠个“资源”添欣加到提“资源轮组”。猪在资刺源列掩表，旺点击副不同果的“资源抗组”显云示出皇对应胶“资源”。新建资源组添加到资源组图标千管理上传图标，支持gif和jpg为资源选择使用的图标，不选择则使用默认图标默认秒资源馋页面可作帜为默肺认页揪面的随资源WE银B资源搬的所稍有类悉型AP该P资源衫的HT寻TP和HT鲁TP枪S类型IP资源骆的HT榆TP和HT锤TP咬S类型用户怜登录SS资L率VP钥N直接倦跳转轿到各曲自指艘定的诸资源捞页面默认乌资源职页面a.用户丛组配疲置了苏服务摩页面滚：若袋用户电继承屑组属疏性，爸则跳嗽转到酱用户醋组指仰定的爹服务卫页面盐。b.用户蠢单独测配置阳默认末服务戒页面矮：若填不继煮承组绕属性胶，则渔用户饼指定谦的默勿认服泪务页济面生会效。可选资源页面可选资源页面默认欺资源丧页面应用蜡实例背景幕:高校帆应用疏图书展馆资嘴源，捷有一尺个学混校主辈页，渠点击性主页惹上集提成多锐个不泪同链违接访堡问不杠同的桥数据摊库等哭资源烛服务上器。目的跑：全部返资源室列出辟来很做乱，谦若隐奴藏起蹄来只珠剩下稳主页末，还倚要点现击主衬页资冶源，旦不方勺便。补登录绍后只伴想看参到“昌主页品”配置虚：1.蜂把所纲有资辽源（庄包括何“主浓页”谈和其屿他链希接的盏资源朵服务蜂器）族设置石好2.陡用户旋或用新户组什关联号上所撇有资粥源3.怕用户冲或用稀户组前把“似主页姻”设开置为雁默认滥页面内网DN躬S1.仅对SS悲L羡VP高N模块诱生效页，不迹影响知一切养外网柜解析2.解析抛优先天级：系统ho胞st厉>内网DN四S>药WA徒N口DN苗SSSL基础狗介绍SA蔽NG草FO椅RSS拜LVP江N的各废种资偷源SA伍NG饶FO结RSS权LVP歪N基本典部署特殊仅应用倾及部钻署SA将NG滴FO托RSS订LVP刻N与第找三方CA结合SA霸NG播FO投RSS驶LVP兆N的认附证方建式其他途功能SA督NG费FO孟RSS芹LVP絮N的整阻体框螺架目录管理赶员分群级管因理一级妇管理章员组二级行管理茄员组RO亲OT.表.守...欠.管理丈员组16级管皂理员全组.某.末.管理尖员都钥能够港建立扰用户邪帐号悼！一般挨电信揪级用盈户对骡管理各员权两限管乞理分炮配要台求严狂格。彼要求卷做到诱分级炒管理垒的层练状结痕构。管理胀员分知级管撤理管理组管理员只有查看权除“SSLVPN设置”外其他模块没有细分指派用户组给管理员指派资源（组）指派角色管理暗员分剧级管改理效果相同本级管理员组资源（组）拥有者上级管理员组下级管理员组

编辑、分配（指派后）使用、分配......编辑、使用、分配、加入资源资源瘦（组既）拥使有者：建立兼资源（组）的管欧理员组编辑叼：删除熔、修将改(流能够号在资残源管界面巾中看殿到)使用茧：给角挣色关璃联资贪源（奸组）分配般：把资跳源（突组）指派给结资源件拥有计者的商下级臂管理强员组，使导其获雨得使友用权，在弹管理攀员组唉编辑衰页面或资源车（组照）编劲辑页分面均欲可进盒行——把使归用权跌进行著下发管理崭员分岔级管嗓理上级闷管理旅员能窑够对黄下级景管理胜员建易立的呈资源雁组进成行权某限提殖升，氏让上韵级成虏为资疮源拥识有者滚（只能历上提白、不淋能下珠调）当前鞠资源妖拥有棚者分级雪情况可提升到当前资源拥有者上的任何一级管理技员分慎级管虏理本级临管理掉员组用户惧组建也立者上级迟管理秃员组下级遭管理族员组修改路、删爱除（指猫派后途）修改宗、删遮除.汉.西..栋.没.修改女、删茎除上级运管理正组对痒下级谅管理禽组建恒立的迈用户锄组有峡完全吨控制米权（乔修改登、删员除）上级客把用刻户（青组）弦指派园给下测级，禾下级景也有设完全草控制颂权管理男员分侦级管泽理本级管理员组角色建立者上级管理员组下级管理员组删除角色、关联用户、关联资源（指派后）关联用户......删除角色、关联用户、关联资源上级兵管理忌组能吼对下涉级管旨理组厘建立渔的角积色关械联用岛户、肢用户扭组（穴仅限哄于角激色建休立者脂所管怖辖的篮用户斧、用艰户组刮），弟关联架资源堂（仅言限于据角色湾建立建者有漫使用示权的消资源卵），改并能弯够删吹除角捧色上级灵把角左色指含派给肚下级湾，下崭级只航可给极角色鞠关联栽用户崖（仅还限本础管理匪组所箭管辖槐的用狗户、钢用户马组）管理兰员分掘级管顷理删除降管理得组其稠下级妥管理净员（申组）屑全部应被删愿除删除里管理佳组,其所泥新建降的资皮源、河资源胆组、陵角色怎默认促提升市到上径级管仿理组管理呼员不尺能够兔建立此和自水己平司级的促管理待员帐匹号管理感员默锣认有朱建立罗用户边的权神限平级做管理识组间房诚不可女见，母各自路建立待的资船源、司用户兔、角疾色不概相关用户(组)分级赢管理支持轧对S揉SL案用户贪的分炭层管冈理，师下层俯用户衰组可尺选择壮继承捞上级叉用户贺组的角色及组属摊性（认证剩方式和其尼他属性），方巴便管研理员勿按照书客户掌公司拢的管凉理架司构进淘行权检限维劲护。用户(组)分级南管理Ro接ot组不荡可以伍创建错直属蝇用户默认家用户始组不注可有艘直属道用户荒组用户拨分组醋深度愧为16级删除用户组其昨下级用蒸户组砍和用姿户全部始被删场除导出晌、导勾入组顷织架舒构导出膨组织肾架构贸（分下层结摔构的钉用户单组）犁，实龟现把夏设备椅的用裹户组扣结构婆和用盒户帐干号进剂行转估移。导出剂、导隶入组匙织架锐构导入掠用户覆时，运分别核导入巾用户垄列表姿和组漂织架欠构先导入组织架构后导入用户列表LD崭AP导入OU分层弦结构需要把域的分层OU结构转移到设备1.新建图一个LD遣AP认证棕的用偿户组值，并劲绑定德目标揉顶级ou2.导入OU中选烂则下遗级ou，并泽勾选刺“同蚀步导阔入选胡中OU的上问行组逝织架乳构”3.即可泥实现敌把顶事级ou和下踩级ou的分供层架虹构导亿入到生新建雨的LD喇AP用户废组选择前面的用户组需要导入的OU范围必须是多级OU，平级不可选一一对应匿名砖登录不输芝入用咬户名瞒密码境，匿灵名登庙录SS舰LV则PN，目跪前能眯做到跃可选朗匿名稿登录节或，嘴强制枪匿名何登录且。勾选连接浊到“制匿名街用户淹组”编辑恶页面自动生成“匿名用户组”连接蜓到“哑匿名盆用户页组”角色同绑定股页面匿名后登录点击“匿名登录”直接登录SSLVPN可选海匿名钥登录靠时，浙用户汪登录扁页面丹上可奔选是站否匿教名登经录当光标落在用户名框上，变为普通登录方式勾选后，直接输入设备ip，即可登录SSLVPN强制中使用病匿名魂登录资源披负载舌均衡资源座组负满载均浴衡属火性，敌根据搏权值闹把选切举的悔资源灰服务芳器下胃发给弟用户巡寿，实滨现负毙载均略衡。用户登录时根据权值下发资源生成一个名字为[资源组名字_auto_balancer_rc]的资源点击习可实奔时更陡换服替务器资源竿负载丹均衡置好后资源臂组的侦负载浴均衡冒属性响后，铲设备贡通过pi裁ng包测盗试资吨源服律务器纱是否术存活捡，pi斑ng不通责的服浓务器同不参备与下蛇发。必须技关联沃自动往生成台的负援载均版衡资喘源用户殊批量屋导入从LA御DP服务候器导从入存在同名则更新“主要认证”勾选中，则将子OU包括进上一级OU，不重新生成子OU组导入上行组织架构资源忽导入其导出支持膨通过寇文本烧方式哈导入示、导侄出资侧源。跌在资悲源特嫌别多雨的环存境（躲如高鼓校）板下，白大大泪减轻网管理摆员的恢工作妈量。资源名描述资源类型协议类型服务类型资源组IP范围或主机地址端口范围WEB资源MAIL类型的域名资源群名重每复时把原愿资源胜覆盖客户龙端权挪限配叉置对私示有用菌户修险改个切人信傍息的悼权限俗控制南。关键袜文件名安全割保护登录SS待LV岸PN后，会对指住定资兄源的勾客户伯端指竹定文恐件进悔行锁养定（验一般裤用于C/园S资源维），妈访问浴该资队源时棉，被戒锁定唇的文摔件不省能被志修改撑。适用雀场景奖：某恼些oa苹系统验有漏雷洞，登录练认证依赖咐于某估些文种件，解若替丧换这呀些文安件能耀够绕恋过部艳分认落证的情况帐。必须安装控件选择少需要套锁定征的进摔程文汤件路径粒支持既系统顶变量兄方式如：%P鸽ro生gr距am信Fi这le暮s%及\s骑an谅gf述or目标习进程框文件所路径眉下（拦及其禽子路束径）依的dl农l文件勾选倘需锁展定的dl扣l文件上述锦列表弦不存状在目疾标文仰件手动夸选择厘需锁料定的岛文件目前汽只支甜持AP框P资源若用药户登宿录SS昨LV砖PN后发时现客尺户端哀的锁横定文壤件MD标5和设武备上涌配置痕的不五一致抄，则绢提示叛该资当源无党法使斥用！关键乐文件稀安全浸保护主从类用户肺名绑幸定通过浙单点倾登录戚自动涌填表律功能冷（放咳大镜芬录制抵）和翻对数配据包沃进行棕解析朋两种暖方法选，实宣现SS旅LV爪PN帐号姐和登尖录应药用系琴统的蚂帐号玩一一凡绑定怪。适用戴场景塞：稍具条规模旅的企准业由抗于历蛾史问私题，屯很多柄的应奖用系聚统都砌只利漆用用退户名晋、密雕码来扫保证施系统召的安棕全性崖，认召证强竿度不沿够大摸，存决在访睡问安咽全漏米洞，通加上别这些戏系统努都已位经成馒型已珠久，掠绝大律部分活的系珍统都包不可铜能再收利用临第2糠次开营发来诉提升伯应用储系统唉的安悦全性昌。主从集用户徐名绑乒定数据包解析WE复B资源AP旧P资源IP资源两种惠主从慨绑定田方法调支持组的资拴源范迅围单点登录AP昂P资源IP资源主从邀用户奸名绑聪定客户雕需求鞭：通过SS族LV劈燕PN登录RT兴X客户纳端，归只允消许使巷用帐围号“zy活w”登录铁，用屋其他睛帐号敲禁止紧登录涝！配置图步骤抚：1.在AP联P或IP资源还中，缓配置城好RT拳X应用2.启用左自动县填表设方式临单点疗登录出，并朗录制良好3.关联防上资锣源，桨并指雹定单逝点登奸录帐扣号、下密码4.资源臭勾选蹄启用道主从践绑定单点油登录友方式选择单点登录方式主从乌用户翼名绑清定数据死包解法析方好法免去觉前面同单点姿登录棒配置东步骤竭，勾图选数骗据包影分析即，然卫后在掉下方赴填写吼，数刻据内灯容需要有一定的数据分析基础方可配置（后续研发培训）主从姨用户里名绑雕定使用俗单点台登录型方式绿，不今允许积手动燃打开俗客户祝端进尊行访派问，胳有警门告提陶示必育须点绵击资笼源列僵表上蹈连接钻进行系访问数据驱解析伐方式胀，只婆有当尊登录低提交乔帐号窑、密与码才荣会检驼测使用拿绑定杀以外鲜的帐钳号登谦录资驻源，背有警店告提注示系统扮托盘a、仅支持IEb、默认服务页面不影响托盘使用关闭IE时,将IE最小枝化到煮系统连托盘直接关闭IE右击注销并退到登陆页面启动自动重连功能，用户不会超时实时显示超时时间左击系统材托盘系统尿托盘甲可以私真对用户或用户徒组单独忆启用箱，也找可以扔全局速启用对单个用户启用系统托盘用户组启用系统托盘全局启用页面管定制部分宣定制部分猾定制论，只够能修船改登光陆SS竹L过程哑中页补面的理部分嫂内容竭（例千如页灵面信炊息、父页面掀标题遭、lo挣go）。页面零定制模板雷设置页面缠定制高级锄定制1.相当抗于第4套模衔板（捷设备萝原有3套）乎，可寨以结司合“南信息童定制泄”（蒸页面揉标题烧、lo卖go、服截务页妇面信请息）尼使用2.定制队页面多保存船在设皱备上疏，能趁随双居机热哈备同迫步3.支持侵定制茎登录贞页面矩和服胀务页夕面（必须璃两个挪都定陷制）页面誉定制设备仁内部贪3套滤页面班模板定制谁说明胁文档恢复使用内置页面：方法一：“模板设置”选择模板，点击“确定”方法二：点击“禁用当前定制”启用泻定制冻页面屑开关系统的类型可以多选，之间是“或”的关系，系统后面的『必须至少打过sp』项是对该系统的一个补充。客户们端安裕全检肃查&安全条配置客户丹端安裙全检讨查由若干“基本规则”组合成“组合规则”，当包含的所有子规则成立时，“组合规则”成立，否则该“组合规则”不成立。由若干“基本规则”或“则和规则”组合而成，只要策略中的任一个规则成立，则“检查策略”成立；规则都不成立时，“检查策略”不成立。客户单安全检查里配置的检查策略客户笼端安舌全检贝测&安全身配置客户室端安仓全配侨置根据角色所关联的策略进行定时检查客户技端安识全检它测&安全好配置安全狠配置针对本地、密码认证私有用户的密码安全策略鼠标点击客户爹端安夕全检食测&安全海配置安全愿配置丑（图形新校验域码、葵软键删盘）鼠标点击SS暂L专线IN裹TE栽RN唇ETV笨P魔N隧慢道SS建L专线客户塑端接史入SS配L后，PC的默机认路纷由会弄消失例掉，冷同时壳生成障到SS没L设备须的主招机路先由。操作推步骤罢：建立顿用户糖或用印户组聋时把桂“接重入SV铁PN后禁亩止该债用户卧组上址网”驼钩上SS柏L专线登录熟前路迁由表登录漫后路皱由表控制竭台用陕户管包理单点板登录历配置定义&缩写SS跪O：单奶点登截录（Si艘ng距le役S年ig撇n痰On），货简称胃为SS券O，就雾是通犹过用皂户的指一次梦性鉴横别登壁录，挨即可杂获得粗需访锦问系抱统和教应用惹软件芝的授爆权，哈在此联条件夕下，救管理符员无亏需修艰改或难干涉蕉用户肾登录攻就能科方便谅的实攀施希祸望得忙到的锋安全分控制耐。自动墨填表励：由诊于目投前支泊持SS据O标准胃协议圆的应案用程馆序不情多，穿所以利为了湖实现哨与SS漆O相同筋的功禽能，占采用咬了自绩动填萝表技架术，娘即用木户在汪登录SS线L以后狼，再距使用杨单点肺登录壁的应六用程垄序时情，不需临要手持动输折入用旨户名器和密悼码，而滋是由貌自动致填表俭服务飞程序自动销完成匙用户自名和龟密码飞的输址入以及点击先登录荒按钮。单点阔登录颂配置定义&缩写单点素登录剃配置对需来要使脖用单生点登疼录的资源背启用番单点双登录（以ou册tl呜oo亡k鲜ex拒pr证es咳s为例炉）填上童客户叹端软针件的累路径单点度登录竖配置下载老单点屡登录纯配置汤文件想和配程置助否手并守安装单点涛登录居配置录制杜输入旷框和袖按钮遵，填冲写单混点登盟录的迹用户沃名，野密码选中糕要录另制的栽输入洒框,点击丙修改环按钮放大健镜图仍像的伞按钮或是录扭制按棵钮单点至登录佩配置打开隙客户炸端软闭件，首拖动诞录制巴按钮铁到需予要录创制的次控件艇上录制用户筐名框,可以疲选择灿跟VP户N用户境名相故同或梨指定熔一个排值。录制密码崖框,要勾觉选密身码框战对应凶的复肯选框,输入姨值可连以选苍择跟VP尘N密码录相同酷或指歉定一颤个值,然后见保存净。单点览登录红配置录制够登录关按钮蹲和前毁面操椒作类宗似,只是杆不需低要填经写输右入值需要缎自动鸣登录码就要决勾选脊自动菊提交单点固登录宾配置测试进是否哈录制般正确吃或是套否支栽持该C/朱S应用选择要测试的程序

开始自动填表测试

若录梢制时耕勾选旧自动爱提交,则可甚以点虾击下凡一步,检测绩是否章能自邪动提压交,若能赌正确昂模拟匆点击延提交隙按钮良的操秘作,会提背示测汁试成据功单点谣登录哀配置上传困单点找登录帅配置因文件单点嘉登录欲配置点击控“自药动登膨录”秋即可生自动矿调用咬客户搬端程申序，驱并填墙表单点特登录黄配置自动寒构建恼参数牛方式单点纠登录炎配置在线矿修改战单点弯登录捡密码单点凉登录甚配置管理嫂员修视改单破点登胡录密凶码a.葛“自绣动填切表”卧方式返，输查入值柳选择只“与V负PN斤用户射名相建同”和纱“与V言PN逢密码吼相同”b.祸“自授动构匙建访便问参藏数”涝方式拴（w轿eb恶ss悼o）滚，提阀交用芳户名江、密刚码选宣择“用户谎可配虾置用黄户名”和察“用户担可配眯置密升码”c.爆资源祸录制纹好后古，关渣联上宵该资红源即穗可在脊用户勤列表优单独拣设置设登录涝的用弯户名签、密愈码“自天动构州建访姓问参吩数”缸方式慌支持弱用户偏名密态码使据用j禽s加妹密某些直B/辜S应劣用在限登录叠过程批中，有客户唯端需馅要对厘上传罪数据脂（用其户名牙或密氧码等泳）进窑行加险密，献服务黄器再酸使用丙相应潮的算较法进统行解剩密。状新增筹功能妄可以蜓支持嗓该类亭应用闯的单县点登且录。单点择登录辆配置填写箩ja谅va程sc鼓ri购p加施密函川数ja窜va匙sc终ri诉p加透密函休数格抢式快速桂传输织协议1.借助模控件用实现猴采用UD托P承载搂数据虫，从软而起制到加箭速效竹果，准就是HT述P或UD叫T2.需要另用到UD晓P4骡43传输（和忠登录HT断TP悦S端口眠一致惠的UD最P端口买，若HT刑TP植S端口征更改嗓，该UD颂P端口杰也会浸随之对变更棕）快速雷传输讯协议分为帖“自恨动选饰择”独和“权手动吧选择趋”两虑种方研式：自动瞧选择秆：可勺以设召置条细件，篇当网顺络环叔境符呜合两狠个条遣件中姑的一黎个就爽启用筒加速经测鉴试一湾般情乘况下见保留林默认衫值最驱佳测试盟条件测试怎包个泉数快速犁传输协协议手动削选择雨：在稻登录搂页面牙上可阁选是生否启极用加领速功善能，盐直接枪启用勇不需裹要做窃条件沸判断害（建洁议使蜂用该艳方式画）压缩针对AP小P资源针对WE略B资源多线州路选夕路1.访问任一IP3.分别从两条线路加载一个文件4线路1：4线路2：http://12.从返回页面获取地址信息4.和最快加载完文件的线路建立VPNSS串L京VP蓬N网关希部署煤快速阶选路勤流程多线无路选旨路单臂牙部署饥快速隆选路脸流程1.访问任一IP我的外网IP为：4和12.从返回页面获取地址信息4线路1：4线路2：http://13.分别从两条线路加载一个文件4.和最快加载完文件的线路建立VPNSS箭L脾VP肉N多线波路选棕路支持万以下概外网槽线路怨环境堆：1.孕都是英固定巨IP2.号都是锅域名3.贩部里分固初定I御P+去部分拢域名不支骆持动述态I茂P（守无法毫在界嘉面上散配置粉）配置纱相应辈的外脂网线术路信极息点击依“查按看证捉书”SSL设备证书不受IE信任。访问SSL服务器的名称和证书中“颁发给”名称不一致。将“颁发给”填写访问SSL的地址，可以支持动态域名，必须勾选同时作为SSL证书简单降去除扣安全屿警报针对留名称解无效劣的问抓题针对SS鞭L证书蕉不受IE信任根的问新题SS仿L日志皱中心用使用安装SS康L日志些中心日志同步器apacheSS烈L日志赴中心配置SS友L日志摊中心日志中心IP端口、密钥与日志中心设置一致SS类L日志盏中心使用SS灯L日志守中心SSL基础葬介绍SA吗NG次FO软RSS板LVP滥N