《ASA)CiscoSSLVPN配置详解》由会员分享，可在线阅读，更多相关《ASA)CiscoSSLVPN配置详解（12页珍藏版）》请在金锄头文库上搜索。
1、ASA) Cisco SSL VPN 配置详解配置详解 三部曲之二三部曲之二本文对 SSL VPN 配置进行介绍，请先阅读本版中的“Cisco Web VPN 配置详解”。attach92/attach1、ASA 基本配置。ciscoasa(config)# int e0/0 ciscoasa(config-if)# ip add 198.1.1.1 255.255.255.0ciscoasa(config-if)# nameif outsideINFO: Security level for “outside“ set to 0 by default.ciscoasa(config-if)#
2、 no shutciscoasa(config-if)# exit!ciscoasa(config)# int e0/1ciscoasa(config-if)# ip add 10.10.1.1 255.255.255.0ciscoasa(config-if)# nameif insideINFO: Security level for “inside“ set to 100 by default.ciscoasa(config-if)# no shutciscoasa(config-if)# exit!ciscoasa(config)# webvpnciscoasa(config-webvp
3、n)# enable outsideciscoasa(config-webvpn)# svc image disk0:/sslclient-win-1.1.2.169.pkgciscoasa(config-webvpn)# svc enable!在外网接口上启动 WebVPN，并且启动 SVC(SSL VPN Client)功能2、SSL VPN 准备工作。ciscoasa(config)# ip local pool ssl-user 192.168.10.1-192.168.10.99!创建 SSL VPN 用户地址池!ciscoasa(config)# access-list go-vp
4、n permit ip 10.10.1.0 255.255.255.0 192.168.10.0 255.255.255.0ciscoasa(config)# nat (inside) 0 access-list go-vpn!设置 SSL VPN 数据不作 nat 翻译3、WebVPN 隧道组与策略组ciscoasa(config)# group-policy mysslvpn-group-policy internal!创建名为 mysslvpn-group-policy 的组策略!ciscoasa(config)# group-policy mysslvpn-group-policy a
5、ttributesciscoasa(config-group-policy)# vpn-tunnel-protocol webvpnciscoasa(config-group-policy)# webvpnciscoasa(config-group-webvpn)# svc enableciscoasa(config-group-webvpn)# exitciscoasa(config-group-policy)# exitciscoasa(config)# !在组策略中启 SVC!ciscoasa(config-webvpn)# username steve6307 password cis
6、co!创建用户!ciscoasa(config)# username steve6307 attributesciscoasa(config-username)# vpn-group-policy mysslvpn-group-policyciscoasa(config-username)# exit!赋予用户策略!ciscoasa(config)# tunnel-group mysslvpn-group type webvpnciscoasa(config)# tunnel-group mysslvpn-group general-attributesciscoasa(config-tunn
7、el-general)# address-pool ssl-userciscoasa(config-tunnel-general)# exit!设置 SSL VPN 用户的地址池!ciscoasa(config)# tunnel-group mysslvpn-group webvpn-attributesciscoasa(config-tunnel-webvpn)# group-alias group2 enable ciscoasa(config-tunnel-webvpn)# exit!ciscoasa(config)# webvpnciscoasa(config-webvpn)# tun
8、nel-group-list enable4、配置 SSL VPN 隧道分离（可选）。ciscoasa(config)# access-list split-ssl extended permit ip 10.10.1.0 255.255.255.0 any!注意源地址为 ASA 的 inside 网络地址，目标地址始终为 any!ciscoasa(config)# group-policy mysslvpn-group-policy attributesciscoasa(config-group-policy)# split-tunnel-policy tunnelspecifiedcisc
9、oasa(config-group-policy)# split-tunnel-network-list value split-ssl附件: 您所在的用户组无法下载或查看附件 新的起点 。steve6307 管理员UID 1精华 1 积分 12帖子 203威望 12 金钱 158 阅读权限 200注册 06-11-11来自 南京状态 离线 #2发表于 06-11-23 20:29 资料 文集 短消息 测试测试在浏览器中输入 https:/198.1.1.1 访问 WebVPN。attach93/attach登陆后，WebVPN 直接启动 SSL Client 安装程序。attach94/at
10、tachattach95/attachattach96/attachSSL VPN 建立成功！attach97/attach看看 SVC 的状态信息。attach98/attach看看 SVC 的版权信息（Cisco 的一堆废话，呵呵）。attach99/attachSSL 连接建立成功以后，ASA 上将自动创建指向客户的路由。ciscoasa(config)# sh routeCodes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGPD - EIGRP, EX - EIGRP external, O - O
11、SPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGPi - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area* - candidate default, U - per-user static route, o - ODRP - periodic downloade
12、d static routeGateway of last resort is not setS 192.168.10.1 255.255.255.255 1/0 via 198.1.1.2, outsideC 10.10.1.0 255.255.255.0 is directly connected, insideC 198.1.1.0 255.255.255.0 is directly connected, outside注：此例中外网用户的地址为 198.1.1.2，ASA 将该静态路由直接指向外网用户的公网地址。全文完。附件: 您所在的用户组无法下载或查看附件 新的起点 。steve6
13、307 管理员UID 1精华 1 积分 12帖子 203威望 12 金钱 158 阅读权限 200注册 06-11-11来自 南京状态 离线 #3发表于 06-11-23 20:41 资料 文集 短消息 忘了给 show run，呵呵，再续一下！ciscoasa# show run: Saved:ASA Version 7.2(1)24 !hostname ciscoasaenable password 8Ry2YjIyt7RRXU24 encryptednames!interface Ethernet0/0nameif outsidesecurity-level 0ip address 19
14、8.1.1.1 255.255.255.0 !interface Ethernet0/1nameif insidesecurity-level 100ip address 10.10.1.1 255.255.255.0 !interface Ethernet0/2shutdownno nameifno security-levelno ip address!interface Management0/0shutdown no nameifno security-levelno ip addressmanagement-only!passwd 2KFQnbNIdI.2KYOU encrypted
15、ftp mode passiveaccess-list go-vpn extended permit ip 10.10.1.0 255.255.255.0 192.168.10.0 255.255.255.0 access-list split-ssl extended permit ip 10.10.1.0 255.255.255.0 any pager lines 24mtu outside 1500mtu inside 1500ip local pool ssl-user 192.168.10.1-192.168.10.99no asdm history enablearp timeout 14400nat (inside) 0 access-list go-vpntimeout xlate 3:00:00timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00timeout sip 0:3
