【隧道篇 / SSL】(7.4) ❀ 01. 只允许国内IP通过SSL VPN访问内网 ❀ FortiGate 防火墙

本文主要是介绍【隧道篇 / SSL】(7.4) ❀ 01. 只允许国内IP通过SSL VPN访问内网 ❀ FortiGate 防火墙，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

　　【简介】SSL VPN可以让公司员工远程访问公司内网的服务器，发现有些国外IP也在尝试登录SSL VPN，领导要求，只允许国内IP可以登录SSL VPN，如何解决这个问题？

SSL VPN配置条件

　　要想成功的配置SSL VPN，首先需要有一条可以远程访问的宽带，然后是验证用的用户名和密码，以及需要访问的IP网段。

　　① 不管是ADSL宽带还是固定IP宽带，都需要有一个公网IP地址。并且该公网IP地址要能远程访问。测试是否通远程访问的方法很简单，就是在管理访问启用PING。

　　② 然后在外网PING该公网IP地址，如果能PING通，说明可以远程访问。有些拨号宽带得到的是100.64开头的IP地址，这些地址无法在公网上PING通，也就无法远程。

　　③ 如果是ADSL拨号宽带，且获得的公网IP可以远程，那么可以选择菜单【网络】-【DNS】，创建FortiGuard DDNS，如果是固定IP，就不需要这个步骤。

　　④ FortiGuard DDNS允许设置一个固定的域名，将接口IP和域名绑定。只要访问域名，就会解析成绑定的IP地址。我们知道ADSL拨号宽带获得的公网IP会经常改变，每次公网IP改变后，FortiGuard会将最新的IP和域名重新绑定，这样只要对域名进行访问，即使公网IP改变也没有影响。

　　⑤ 登录SSL VPN时需要进行身份验证，建立用户组，可以将多个用户加入用户组中，对用户组进行权限分配。如果权限不同，也可以创建多个用户组。

　　⑥ 创建用户，用户可以是本地用户也可以是远程用户，将新建的用户加入用户组。

　　⑦ 将需要远程访问的IP网段创建地址对象。

　　⑧ 如果SSL VPN要访问的IP网段比较多，也可以创建地址组，将多个要访问的IP网段加入地址组。到目前为止，所有的准备工作就都完成了。

SSL VPN门户

　　当所有配置条件都OK后，就可以配置SSL VPN门户了。

　　① 选择菜单【VPN】-【SSL-VPN门户】，full-access包含隧道和Web两种模式，tunnel-access只包含隧道模式，由于Web模式不是很安全，推荐使用隧道模式。选择【tunnel-access】，点击【编辑】。

　　② 由于只允许访问内网的服务器，隧道分割选择【基于策略目标启用】，也就是说在防火墙策略的目标地址中，需要填写具体要访问的IP地址。隧道分离地址选择前面创建的地址组，也就是说，只允许地址组的这些IP通过SSL VPN隧道。源IP地址为默认的地址对象，内容是SSL VPN拨号后自动生成的IP的地址。地址对象内容可以修改。

　　③ 还用一种情况，就是SSL VPN拨号后，客户端所有流量都走SSL VPN隧道，包括上网流量。这样可以通过防火墙走防火墙上的宽带上网。这种情况门户里的隧道分割选择【禁用】，这也是默认选项。

SSL VPN设置

　　SSL VPN门户配置好后，就可以进行下一步了。

　　① 选择菜单【VPN】-【SSL-VPN设置】，选择宽带接口，可以同时选择多个宽带接口，分别通过多个宽带接口拨入。默认监听端口是443，会和防火墙的默认https端口冲突，建议修改，常见的有8443、10443。服务器证书选择默认内置证书。记住一定要选择，不然连接会报错。

　　② 限制访问选择【特定主机有限访问】，主机选择基于IP地理位置数据库的地理地址对象CHINA，关于地理地址对象参考其它文章。只样只有国内IP网段才可以拨入。如果要走SSL VPN隧道上网，而上网DNS与本地上网DNS不同，就需要配置DNS服务器。

　　③ 在认证/门户映射，将用新创建的用户组SSL_VPN_Users和修改的门户tunnel-access进行映射。其它用户组也和tunnel-access映射。这样设置就完成了

SSL VPN访问策略

　　SSL VPN门户和设置完成后，就可以配置访问策略了。

　　① 创建新的策略，SSL VPN配置完成后，在接口里会多出一个SSL-VPN tunnel interface (ssl.root) 虚拟接口。可以在策略的流入接口和流出接口引用。从SSL-VPN隧道进来的流量，需要访问防火墙时，必须同时经过自动生成的IP地址和用户验证。目标地址选择允许访问的内网服务器地址组，限制访问范围。