Cisco-IOS路由器上配置SSL-VPN

在CiscoIOS路由器上配置SSLVPNSSLVPN是指采用了SSL（Securitysocketlayer）协议基于应用层传输的VPN，通过HTTPS来访问受保护的应用服务。使用SSLVPN可以解决远程用户访问公司敏感数据最简单最安全的解决技术。而且与复杂的IPSecVPN相比，SSL通过简单易用的方法实现信息远程连通。SSLVPN具备很强的灵活性，它不需要象传统IPSecVPN一样必须为每一台客户机安装客户端软件，SSLVPN内嵌在浏览器中，如今几乎所有浏览器都内建有SSL功能。通常SSLVPN分为以下几类：1、ClientlessSSLVPNClientlessSSLVPN可以进行网关地址或者协议的转换以及内容的解析和重写。支持基于浏览器的应用服务，允许用户访问Web应用程序，OutlookWebAccess等。例如公司内部启用了http或https的资源，远程用户通过VPN接入到内部网络后，就可以直接通过浏览器对指定的http或https资源进行访问。ClientlessSSLVPN还支持CommonInternetFileSystem(CIFS)，允许用户浏览共享文件夹。2、Thin-ClientSSLVPN(port-forwardingJavaapplet)使用Thin-ClientSSLVPN时，远程用户必须下载一个基于JAVA的小应用程序。通过JAVA的小应用程序可以建立端口映射表，使用户可以访问使用静态端口的TCP应用服务，例如：POP3，SMTP，IMAP，SSH，Telnet等。Thin-ClientSSLVPN不支持基于UDP协议的应用服务。使用Thin-ClientSSLVPN连接服务器时，用户需要本地计算机的管理员特权，因为对文件的修改是在本地机器中进行。Thin-ClientSSLVPN不能为使用动态端口的应用服务提供支持，如FTP服务。3、SSLVPNClient(SVC-TunnelMode)在这种技术中，用户的计算机需要下载Java或者ActiveX程序，一个小的客户端软件(大概有500kB)。SSLVPNClient支持所有基于IP流量的应用程序，允许对公司内部指定的资源进行安全访问。客户端软件可以永久地被下载到远程工作站，也可以在安全会话结束后就被删除。远程用户使用的SSL隧道在network（IP）layer移动数据。因此，隧道模式支持大多数基于IP的应用，支持多种流行的企业应用。在CiscoIOS路由器的IOS12.4（6）T以及更高版本中，提供了对SSLVPN的支持，使用CiscoIOS路由器可以轻松的完成SSLVPN的配置。同时CISCO还提供了名为CISCO安全桌面的SSLVPN特性。使用思科安全桌面时，所有信息从进程开始就进行加密，而不是在进程结束之后才加密。不仅如此，思科安全桌面能够在客户端系统上创建加密硬盘分区，然后创建一个与普通桌面独立的虚拟桌面。所有进程操作都在安全的虚拟桌面环境中进行，所有数据都将写入加密的硬盘分区中。在进程结束时，历史文件、临时文件、高速缓存、cookie、电子邮件附件及其它下载数据都将被彻底删除，从而加强了终端的安全保护。R1基本配置：HTTPRouter(config)#interfacef0/0HTTPRouter(config-if)#ipaddress10.0.0.1255.255.255.0HTTPRouter(config-if)#noshutdownHTTPRouter(config-if)#exitHTTPRouter(config)#usernameciscoprivilege15passwordciscoHTTPRouter(config-line)#linevty015HTTPRouter(config-line)#loginlocalHTTPRouter(config-line)#exitHTTPRouter(config)#iphttpserverHTTPRouter(config)#iphttpsecure-serverHTTPRouter(config)#iphttpauthenticationlocalHTTPRouter(config)#iproute0.0.0.00.0.0.010.0.0.2Webvpn服务器的配置：Webvpn(config)#webvpngatewayccxxWebvpn(config-webvpn-gateway)#ipaddress20.0.0.2Webvpn(config-webvpn-gateway)#hostnameCisco_WebvpnWebvpn(config-webvpn-gateway)#sslencryption3des-sha1aes-sha1rc4-md5Webvpn(config-webvpn-gateway)#inserviceWebvpn(config-webvpn-gateway)#exit启用AAA，并完成线下保护Webvpn(config)#aaanew-modelWebvpn(config)#aaaauthenticationloginnoaaanoneWebvpn(config)#enablepasswordciscoWebvpn(config)#lineconsole0Webvpn(config-line)#logiauthenticationnoaaaWebvpn(config-line)#exitWebvpn(config)#aaaauthenticationloginWebvpnlocalWebvpn(config)#usernameciscoprivilege15passwordcisco配置SSLVPNContextWebvpn(config)#webvpncontextWebvpn_contextWebvpn(config-webvpn-context)#aaaauthenticationlistWebvpnWebvpn(config-webvpn-context)#gatewayccxxWebvpn(config-webvpn-context)#url-listWebvpnWebvpn(config-webvpn-url)#headingURL_ListWebvpn(config-webvpn-url)#url-textR1_HTTPurl-value(config-webvpn-url)#url-textR1_HTTPSurl-value(config-webvpn-context)#policygroupWebvpnWebvpn(config-webvpn-group)#url-listWebvpnWebvpn(config-webvpn-group)#exitWebvpn(config-webvpn-context)#default-group-policyWebvpnWebvpn(config-webvpn-context)#inserviceWebvpn(config-webvpn-context)#exit