华为防火墙 Web 配置 SSL 实现外网访问内网资源

3> 再次点击新建，新建用户 新增一个名称为 zhangsan，密码为 Huawei@123 的用户，将其放在/default/ssl 组。 用户属性按需选择即可。

新增虚拟网关

1> 依次点击网络、SSL、新建

2> 网关配置

名称：按需填写 网关地址：接口务必选择 WAN 接口 端口：按需填写，此处以 44443 为例。不能与其他在用端口冲突

ENSP 模拟器中点击下一步会报错服务器繁忙。 可登录防火墙，执行 v-gateway ssl interface GigabitEthernet1/0/0 port 44443 private 先创建一个虚拟网关，再修改参数。 真实设备不存在上述问题，后续步骤均为修改 ssl 网关操作，可按照修改的部分进行配置。

3> 启用网络拓展

网络拓展：勾选 可分配 IP 地址范围：规划给 SSL 用户的地址段

路由模式（针对用户视图来说）：

• 手动路由模式：手动配置的路由才会走 SSL 虚拟网卡，即下面配置的 10.1.1.0/24 路由。其他流量按照正常路由转发
• 分离路由模式：真实网卡同段的流量走真实网卡，其他流量全走 SSL 虚拟网卡
• 全路由模式：所有流量都走 SSL 虚拟网卡

此处以手动路由为例，一般也推荐使用手动路由。

4> 新增授权用户，即调用之前创建的 ssl 组

务必勾选网络拓展！ ENSP 中点确定会报错参数过多，直接点取消就可以。

最终配置完如上图。

策略放行

涉及外访内的策略一定要按最小化放行。

1> 新增一个服务组，名称 44443，允许访问目的端口为 TCP 44443

[FW1]ip service-set 44443 type object
[FW1-object-service-set-44443]service protocol tcp destination-port 44443

2> 新增一个地址组，名称 ssl，地址对象为 ssl 网段

[FW1]ip address-set ssl type object
[FW1-object-address-set-ssl]address range 10.10.10.10 10.10.10.20 

3> 新增安全策略，允许 WAN 发起连接到自身的 SSL 服务

[FW1]security-policy
[FW1-policy-security]rule name untrust==>ssl
[FW1-policy-security-rule-untrust==>ssl]source-zone untrust
[FW1-policy-security-rule-untrust==>ssl]destination-zone local
[FW1-policy-security-rule-untrust==>ssl]destination-address 192.168.88.100 32
[FW1-policy-security-rule-untrust==>ssl]service 44443
[FW1-policy-security-rule-untrust==>ssl]action permit 

允许 WAN 访问自身地址 192.168.88.100 的 TCP 44443 端口，最小化放行。

4> 新增安全策略，允许 SSL 用户网段访问内网网段

[FW1]security-policy
[FW1-policy-security]rule name ssl==>trust
[FW1-policy-security-rule-ssl==>trust]source-zone untrust
[FW1-policy-security-rule-ssl==>trust]destination-zone trust
[FW1-policy-security-rule-ssl==>trust]source-address address-set ssl
[FW1-policy-security-rule-ssl==>trust]destination-address 10.1.1.0 24
[FW1-policy-security-rule-ssl==>trust]action permit 

允许 SSL 网段访问内网网段，最小化放行。 此处要注意，SSL 入向流量的安全域为 untrust。

测试 SSL 连接

1> 通过浏览器访问到 ssl 服务地址 https://192.168.88.100:44443

一般建议用 ie 浏览器，兼容性较好。其他浏览器可能不兼容安全协议。 或不使用网页连接，直接下载华为 ssl 专用连接软件。

2> 使用 zhangsan 用户登录

3> 点击启用网络代理

4> 查询客户机的路由表

可以看到在手动路由模式下： 地址分配正常，为 10.10.10.10。 客户端正常流量转发不收影响，仅 SSL 管理员指定的网段会通过 SSL 虚拟网卡转发。

5> 测试 ping 连通性

其中 1.1.1.1 是 LSW1 与 FW1 的对接地址。

6> 测试 web 访问

7> 在 LSW1 接 Server1 的端口抓包

源为 SSL，目的为 Server1 无误。