Как да конфигурирате SSL VPN отдалечен достъп?
- Desislava Zlaticheva
Тази статия описва стъпките за конфигуриране на SSL VPN отдалечен достъп.
Отнася се за следните продукти и версии на Sophos
Sophos Firewall
Конфигуриране на защитна стена на Sophos
Дефиниране на SSL VPN група и потребители
Отворете секцията Authentication > Groups и създайте група за отдалечени SSL VPN потребители.
Отворете секцията Authentication > Users и създайте SSL VPN отдалечени потребители.
Дефиниране на локална подмрежа и отдалечен SSL VPN обхват
Отворете секцията Hosts and Services > IP Host и дефинирайте локалната подмрежа зад Sophos Firewall.
Отворете секцията Hosts and Services > IP Host и дефинирайте отдалечения SSL обхват на VPN.
(кликнете върху изображението за пълен размер)
Дефиниране на отдалечена SSL VPN политика
Отворете секцията VPN > SSL VPN (Remote Access) , след това изберете Add, за да създадете SSL VPN политика.
Проверка на услугите за удостоверяване за SSL VPN
Отворете секцията Authentication > Services и се уверете, че локалният сървър за удостоверяване е избран в раздела SSL VPN Authentication Methods
Бележка: Отворете секцията Authentication → Services и се уверете, че Sophos XG (local) е избран като метод за удостоверяване е избран в раздела SSL VPN Authentication Methods. Това е необходимо на отдалечени потребители, за да влязат в портала, за да изтеглят SSL VPN клиентския софтуер, описано по-късно в тази статия.
Проверка на разрешените зони за SSL VPN
Отворете секцията Administration > Device Access и разрешете SSL VPN за WAN и LAN зони в раздел ACL за локална услуга (Local Service ACL). Добавете други зони според изискванията.
Конфигуриране на разширени SSL VPN настройки
Отворете секцията VPN и изберете Show VPN Settings.
В раздела SSL VPN проверете конфигурирания по-рано IPv4 Lease Range и задайте останалите опции според изискванията.
В раздела Copression Settings променете настройката на неактивна за Compress SSL VPN Traffic (премахвате синята отметката, която стои от лявата страна на Compress SSL VPN Traffic).
Бележка: Ако защитната стена на XG няма публичен IP, зададен на WAN интерфейса и се намира зад NAT устройство, задайте публичния IP адрес на NAT устройството в полето Override Hostname. Това задава конфигурационния файл на SSL VPN клиента да използва този публичен IP при установяване на връзката. NAT устройството трябва да бъде конфигурирано да препраща SSL VPN връзката към защитната стена на XG.
Създаване на правило за защитна стена
Отворете секцията Firewall, изберете + Add Firewall Rule, след това изберете User/Network Rule.
Бележка:
Ако има няколко правила за защитна стена от VPN до LAN зони, тогава поставете горното правило за защитна стена в горната част на списъка, както е описано в Sophos XG Firewall: Как да промените реда на правилата на защитната стена.
Възможно е отдалеченият хост да има достъп до интернет чрез защитната стена XG. За целта създайте правило за защитна стена с VPN като изходна зона и WAN като зона на местоназначение
Конфигуриране на SSL VPN клиент
Изтегляне на SSL VPN клиентския софтуер
От браузър, влезте в потребителския портал, използвайки публичния IP адрес на защитна стена Sophos и https порта на потребителя. В този пример потребителският портал е достъпен на https://172.20.120.15:10443
Бележка: Можете да намерите потребителския портален https порт, конфигуриран в защитната стена на Sophos, като отидете Administration > Admin Settings в раздела Port Settings for Admin Console.
След като влезете в портала, изтеглете съответно SSL VPN клиента за необходимата крайна точка. В тази статия ще изтеглим и инсталираме клиента и конфигурацията за Windows 10.
(кликнете върху изображението за пълен размер)
Инсталиране на SSL VPN клиентския софтуер на Windows
Стартирайте изтегления SSL VPN клиент
Бележка: Ако имате софтуер за контрол на приложения, не забравяйте да деблокирате OpenVPN и SSL VPN клиент за Windows, за да бъде успешна инсталацията.
Изберете Next и следвайте стъпките.
Приемете лицензионното споразумение
Изберете местоположението на папката и изберете Install.
Наблюдавайте процеса на инсталиране.
(кликнете върху изображението за пълен размер)
Изберете Finish, за да завършите инсталацията.
След инсталиране стартирайте удостоверяването на VPN, като щракнете върху символа на светофара в лентата на задачите.
Влезте, като използвате същите идентификационни данни за портала на потребителите.
Светофарът ще се промени от червен (disconnected) в червен и кехлибарен (negotiating/connecting). Веднага след като светофарът се промени в зелен, се появява изскачащо съобщение, потвърждаващо SSL VPN връзката
Резултати
От вашата работна станция/компютър проверете дали ви е зададен IP адрес от SSL VPN диапазона, конфигуриран по-рано в защитната стена на Sophos.
Бележка: Можете също да проверите маршрута, инжектиран от SSL VPN клиента, като изпълните команда за печат на маршрут.
От защитната стена на Sophos отидете на Firewall и проверете дали правилото за достъп на SSL VPN позволява влизане и изход на трафика.
Oтидете на Current Activities > Live users, за да проверите SSL VPN потребителите.
Отидете на Report > VPN за проверка на отдалечен SSL VPN списък на потребителите
Видео: How to Configure SSL VPN Remote Access (V18)
Ръководство на английски език: Sophos XG Firewall: How to configure SSL VPN remote access
Свързани материали