在这节课中你将学习如何使用和配置SSL。SSL是为远程用户提供访问你的私有网络的一种简单方法。在完成这一课程之后你应该具备为组织配置SSL所需的实际技能。你应该能够做到描述SSL和IPsec之间的差异描述SSL模式之间的差异配置SSL的选项为SSL配置防火墙策略和身份验证加强SSL访问的安全性监视SSL连接用户在我们展示如何配置SSL之前让我们先来看看SSL是如何工作的。SSL是什么呢它与其他类型又有什么不同虚拟专用网络创建了一个隧道它可以让用户或远程局域网安全访问你的私有网络就好像它们是在本地局域网中连接的一样。当局域网被一个不受信任的公共网络例如因特网分开时通常会使用将它们连接起来。除了为用户提供安全访问私人网络的同时还可以连接互联网上的分支机构网络甚至对方可能在世界的另一端。为了保护隐私在VPN隧道内的用户数据是加密的即使数据被未授权的用户拦截也无法读取。还使用安全方法来确保只有经过授权的用户可以建立VPN并访问私有网络的资源。它们通常也提供防篡改功能。大多数是SSL或IPsec。FortiOS既支持这两种也支持更弱的比如PPTP。在这节课中我们将重点讨论SSL。那么SSL与IPsec有什么不同的呢首先它们的协议不同。SSL和TLS通常用于封装和保护网络上的电子商务和在线银行(HTTP)。SSL使用类似的技术但通常使用非http协议封装。SSL在网络堆栈上比IP要高因此SSL报头通常需要更多的比特带宽。相比之下IPsec使用了一些特殊的协议。最主要的是ESP它封装和加密UDP、RDP、HTTP或其他协议这些协议在IPsec隧道内部。还有什么不同呢IPsec是一个标准。它可以与多个供应商进行互操作并支持设备和网关的对等点而不仅仅是只有SSL这样的用户客户端。客户端软件也是不同的。在SSL中你的web浏览器可能是你所需要的唯一客户端软件。到FortiGate的SSL门户(一个HTTPS web页面)然后登录。或者你还可以安装一个插件或一个FortiClient。这增加了通过隧道发送的协议的数量。登录后SSL将你的计算机连接到你的私有网络。不需要用户配置的设置并且防火墙通常配置为允许出站HTTP因此技术支持调用不太可能。简单性使SSL成为非技术用户的理想选择或者是连接公共计算机的用户比如公共图书馆和网吧中的用户。相比之下如果要使用IPsec通常需要安装特殊的客户端软件或者有一个本地网关比如桌面型的FortiGate以便连接到远程网关。你可能还需要在对等点之间配置防火墙以允许IPsec协议。但是IPsec是大多数供应商支持的标准协议因此会话不仅可以在两个FortiGate设备之间建立也可以在不同供应商的设备之间以及网关和客户端之间建立。它具有高度的可扩展性和可配置性。相比之下SSL只能在公司之间建立。一般来说当隧道必须连续不断地和多种设备进行互操作时IPsec是首选而当人们出行需要连接到办公室时SSL是首选。你可以使用三种模式来访问SSL。让我们来看看是哪三种。这里看到的就是访问SSL可以使用的三种模式来。它们都可以构建SSL连接但它们支持的功能都不相同。那它们有什么区别呢?Web访问是最简单的访问方式。与其他任何HTTPS网站一样你只需登录位于FortiGate的SSL门户网站。它就像一个服务器端反向代理将你与私有网络上的应用程序连接起来。但是这种机制并不适用于所有的东西只是一些流行的协议比如HTTP、FTP和Windows共享。端口转发访问扩展了仅由web访问提供的功能。不再只使用浏览器和FortiGate的HTTP代理而是在客户机的计算机上安装了一个Java applet它充当一个本地代理。你或你的用户必须配置应用程序来将IP流量发送到本地代理applet。然后applet可以将数据包重定向到FortiGate的SSL网关。你还必须在SSL门户中配置书签。隧道模式支持大多数协议。但是它需要管理员或root权限因为你需要安装一个客户端或者更确切地说是一个虚拟网络适配器。要开始使用这个虚拟适配器进行隧道通信你必须使用FortiClient或兼容Fortissl的客户端组件。你应该选择哪一个呢这取决于你需要通过发送哪些应用程序、你的用户的技术知识以及你的计算机是否具有管理权限。从任何浏览器只使用Web模式连接到FortiGate连接之后用户需要凭证才能通过身份验证检查。一旦通过身份验证用户就会看到一个门户其中包含了用于访问的资源。不同的用户可以拥有不同的门户拥有不同的资源和访问权限。书签部分包含所有或部分可用资源的链接供用户访问。【Quick Connection / 快速连接】小部件允许用户输入他们想要到达的服务器的URL或IP地址。只使用web的SSL用户就可以使用这两个小部件访问内部网络。Web模式的主要优点是它通常不需要你安装额外的软件。网络模式有两个主要缺点:首先所有与内部网络的交互都必须从浏览器(通过Web门户)完成。在用户PC上运行的外部网络应用程序不能通过发送数据。其次受支持的协议数量有限例如http/https、FTP、RDP、SMB/CIFS、SSH、Telnet、VNC和Ping。隧道模式SSL要求SSL客户端FortiClient连接到FortiGate。用户必须通过FortiClient成功的认证连接到FortiGate。当用户通过SSL客户端启动VPN连接时FortiGate将与客户端建立一条隧道并将一系列预定的地址分配给客户端虚拟IP地址。客户端在连接期间使用指定的IP地址作为其源地址。隧道内部的流量被封装在SSL/TLS中并发送到另一端。FortiGate接收到流量和封装IP数据包将它们转发到私有网络就好像它们来自网络内部一样。隧道模式在网络模式下的主要优点是一旦建立任何在客户端运行的IP网络应用程序都可以通过隧道发送流量。最主要的缺点是隧道模式需要安装软件客户端这需要管理权限。隧道模式可以以两种不同的方式进行操作启用和不启用分割隧道。当分割隧道被禁用时由客户端计算机生成的所有IP流量包括因特网流量都被路由到SSL隧道到FortiGate。这就设置了FortiGate作为主机的默认网关。你可以使用此方法来将UTM功能应用于SSL客户端上的通信或者监视或限制Internet访问。这会增加更多的延迟并占用更多的带宽。当启用了分割隧道时只有通过隧道路由才能在远程FortiGate后面的私有网络中传输。你可以使用两种方法来连接SSL。第一种方法是通过浏览器。限制在于SSL门户的浏览器窗口或选项卡必须保持开放以便保持SSL的连接。第二种方法是通过一个独立的SSL客户端它要求你在用户的PC上安装SSL客户端。当安装SSL客户端时会将一个名为fortissl的虚拟网络适配器添加到用户的PC上。这个虚拟适配器每次建立一个新的VPN时都会动态地从FortiGate接收到一个IP地址。客户端发送的所有数据包都使用这个虚拟IP地址作为源地址。隧道模式需要安装虚拟网络适配器这需要管理级别的访问才能完成。由于这种访问要求隧道模式并不总是被采用。对于那些在隧道模式不实用、网络模式不够灵活的情况下有一个web模式的扩展称为端口转发模式。端口转发不是使用虚拟适配器创建一个与本地IP分离的IP的隧道而是使用Java applet来设置一个本地代理该代理通过连接回环地址来访问。在本节中你将了解如何在一个FortiGate和相关的组件上配置SSL。要配置SSL你必须采取以下步骤:配置用户帐户和组。配置portal门户。配置SSL设置。创建一个防火墙策略来接受和解密包。该策略还用于提供对内部网络的访问。你可以选择配置防火墙策略将SSL用户流量路由到Internet并应用安全配置文件。用户流量将通过FortiGate进入互联网在那里你可以监控或限制客户访问互联网。有些步骤可以按照不同的顺序进行配置但并不总是这样。第一步是为SSL客户端创建帐户和用户组。除了使用Fortinet单点登录(FSSO)协议的远程密码身份验证之外所有的强化认证方法都可以用于SSL身份验证。这包括本地密码身份验证和远程密码身份验证(使用LDAP、RADIUS和TACACS协议)。你还可以使用FortiToken来配置双因子身份验证。第二步是配置门户。门户仅仅是一个web页面它包含用于用户访问的工具和资源链接。可以启用或禁用门户上的选项以允许或拒绝访问。你可以配置诸如隧道模式、显示登录历史、预定义书签等选项。你可以单独配置并将每个门户链接到一个特定的用户或用户组这样他们就可以访问所需的资源。在隧道模式中当启用分割隧道时你需要选择一个路由地址设置该设置通常指定了用于SSL用户访问的FortiGate后面的网络。有几个不同的主题选项为门户提供不同的颜色编码。这是一个用户登录之后的SSL web模式门户页面的示例。它包含了基于门户配置的各种小部件。书签、你的书签和快速连接小部件都是基于web的模式。你可以从下载的下拉菜单中下载一个独立的客户端。这个独立的客户端用于在隧道模式中连接SSL。第三步是配置通用设置。首先我们将讨论连接设置然后是隧道模式客户端设置最后是身份验证门户映射设置。与其他HTTPS网站一样SSL门户在用户连接时提供了一个数字证书。默认情况下提交的证书是自签名的它会触发浏览器显示一个证书警告。为了避免警告你应该使用由浏览器所知道的证书颁发机构(CA)签署的数字证书。或者你可以将数字证书加载到浏览器中作为受信任的权威。默认情况下一个不活动的SSL在300秒(5分钟)不活动之后断开连接。你可以通过GUI中的Idle Logout设置来更改这个超时。请注意空闲注销与在防火墙身份验证课程中讨论的身份验证闲置超时是分开的。默认情况下SSL VPN端口的端口是443。这意味着用户需要使用HTTPS连接到FortiGate的IP地址和端口443(这也是管理HTTPS协议的标准端口)。在CLI中你还可以在con ssl设置下启用https-redirect在此设置中使用HTTP(TCP端口80)连接的用户将自动重定向到HTTPS。在缺省配置中SSL登录门户和用于HTTPS的管理员登录都使用端口443。这很方便因为用户不需要在浏览器中指定端口。例如,https://www.example。在任何浏览器中自动使用端口443。这在FortiGate上被认为是一个有效的设置因为你通常不会通过每个接口访问SSL登录。同样你通常也不能在你的FortiGate的每一个接口上启用管理访问。因此即使端口可能会重叠但每个端口都可能不会使用接口。如果SSL登录门户和HTTPS管理访问都使用相同的端口并且都在相同的接口上启用那么只会出现SSL登录门户。为了在相同的接口上访问这两个接口你需要更改其中一个服务的端口号。这将影响所有接口上该服务的端口号。一旦设置了SSL连接设置就可以定义隧道模式客户端设置。当用户连接时隧道被分配一个IP地址。你可以选择使用默认范围或创建你自己的范围。IP范围决定了多少用户可以同时连接。如果DNS流量通过隧道发送DNS服务只会有效。一般来说只有当分割隧道模式被禁用所有的流量都从客户端PC发送到隧道的时候才会出现这种情况。第三步的最后一部分是建立将用户映射到适当的门户和领域的身份验证规则。这些设置允许不同的用户组访问不同的门户或领域。默认规则应用于根域并且必须存在否则会出现一个错误消息防止任何设置更改被保存。在上面的例子中Accountants和Teachers只能进入他们自己的领域。如果需要访问根域以查看全局门户则需要添加一个额外的身份验证规则。第四步也是最后一个强制步骤涉及为登录创建防火墙策略。在FortiGate上的SSL流量使用了一个名为ssl.域名的虚拟接口。每个虚拟域(VDOM)都包含一个基于其名称的不同的虚拟接口。默认情况下如果不启用VDOM则该设备使用一个名为root的单一的VDOM操作。为了激活并成功登录SSL必须有一条防火墙策略从SSL接口到你希望允许SSL用户访问的接口包括所有可以作为源登录的用户/组。如果没有这样的策略就不会向用户提供登录门户。如果用户需要访问其他接口的资源那么你需要创建额外的策略来允许来自ssl.root的流量访问这些接口。【提示】可以建立策略指定SSL VPN隧道的流量进入对方的互联网或已经建好的另一组IPsec VPN隧道。SSL用户的任何流量无论是在web门户还是隧道模式都从ssl.域名接口中退出。下面是一个防火墙策略的例子它被配置为允许在通过SSL连接时用户需要访问其他接口的资源。如果禁用了分割隧道你需要从SSL创建一个额外的防火墙策略。从ssl.root到流出接口允许客户端提供对Internet的访问。在这个防火墙策略中你还可以应用安全配置文件来限制对Internet的用户访问。在本节中你将学习如何配置领域和书签。默认情况下所有SSL用户将看到相同的书签由管理员配置以及相同的主题。为了增加SSL部署的灵活性你可以考虑配置SSL领域。领域是自定义登录页面通常用于用户组比如你的会计团队和销售团队但也可以用于单独的用户。使用领域用户和用户组可以根据他们输入的URL访问不同的门户。这与缺省部署不同SSL登录是通过直接访问FortiGate的IP地址来处理的。对于不同的门户你可以分别定制每个登录页面并分别限制并发用户登录。一个FortiGate领域的例子:https://192.168.1.1https://192.168.1.1/Accountinghttps://192.168.1.1/TechnicalSupporthttps://192.168.1.1/SalesSSL书签提供了网络资源的链接。你可以使用管理员定义的书签你也可以添加自己的个人书签。从FortiGate的CLI中你可以为每个用户创建书签。即使在门户中禁用了用户书签选项这些书签也会出现因为该选项只会影响用户创建和修改他们自己的书签的能力而不是管理员定义的书签。根据你想要创建的书签类型你可能需要配置应用程序需要的附加信息比如网站的url和FTP站点的文件夹。只有两种类型的书签可以用于端口转发方法(一种只支持web的模式)citrix和port转发。Citrix是用来连接客户端到Citrix服务器的。Portforward是一种通用类型的书签你可以对其进行定制。当用户登录到他们的单独的门户时有一个选项允许他们创建自己的书签。管理员必须启用SSL门户页面上的用户书签选项来允许此选项。管理员可以通过SSL个人书签页面查看和删除用户添加的书签。这允许管理员监视和删除不符合公司策略的任何不需要的书签。注意如果SSL个人书签没有在菜单选项显示那么你可以在功能选择页面上启用它。管理员不仅可以为单个用户添加书签还可以为每个使用每个门户的用户添加书签。这允许对登录到该特定门户的所有用户进行书签。这些书签使用了与个人书签相同的配置选项但是可以从GUI配置而不是使用CLI。用户不能修改管理员添加的书签无论你是在每用户或每门户基础上创建的。在本节中你将了解如何使用附加选项来限制连接到SSL的用户这有助于确保你的内部网络是安全的并且可以限制来自外部源的攻击和病毒进入网络的可能性。由于SSL是在网络之外的人连接到网络内资源所以必须采取适当的措施来确保网络中信息的安全性。有多种选项和设置可用于帮助SSL访问。下面我们将介绍客户端完整性检查和限制主机连接地址。当用户通过SSL连接到你的网络时将在你的网络和用户PC之间建立一个门户。会话是通过两种方式获得的连接是加密的和用户必须使用他们的凭证登录比如用户名和密码。但是你可以配置额外的安全检查以增加连接的安全性。提高安全性的一种方法是通过客户端完整性检查。客户端完整性确保连接计算机是安全的检查是否安装和运行了特定的安全软件如杀毒软件或防火墙软件。这个功能只支持Microsoft Windows客户端因为它访问Windows安全中心来执行检查。或者你也可以定制该功能通过使用全局唯一标识符(GUID)来检查其他应用程序的状态。GUID是Windows配置注册表中唯一标识每个Windows应用程序的ID。客户端完整性还可以检查当前的软件和签名版本用于防病毒和防火墙应用程序。客户端完整性检查是在仍在建立的时候执行的就在用户身份验证完成之后。如果所需的软件没有在客户端PC上运行那么连接尝试就会被拒绝即使有有效的用户凭证。每个web门户都启用了客户端完整性并且只使用CLI命令。识别软件的列表和相关的注册表键值可以通过CLI获得。软件分为三类反病毒(av)、防火墙(fw)和自定义。自定义用于定制或专有软件组织可能需要这些软件。管理员只能通过CLI配置这些设置。启用客户端完整性检查的缺点是它可能导致大量的管理开销。首先为了成功地建立连接所有用户都必须更新他们的安全软件。其次软件更新可能导致注册表键值的更改这也会阻止用户成功地连接。因此管理员必须对Windows操作系统和随后的注册表行为有深入的了解以便正确地使用和维护这一特性。你可以使用的第二种方法来帮助SSL访问它限制了主机连接地址。在考虑适当的安全配置时设置IP限制规则非常有用。并不是所有的IP都需要或者应该被允许访问登录页面。这种方法允许你设置规则来限制对特定IP的访问。一个简单的规则是允许或不允许基于地理IP地址的流量。从CLI中你可以配置VPN设置以取消特定的IP。缺省配置设置为限制对特定主机的访问但主机字段是空的。你必须在主机字段中指定IP地址或网络。这将只允许那些用户访问登录页面。允许从任何主机设置允许所有IP连接。在本节中我们将研究如何监视SSL用户。你可以监视从SSL监视页面连接到哪些SSL用户。这显示了当前连接到FortiGate的所有SSL用户的名字他们的IP地址(在隧道和外部)以及连接时间。当SSL断开连接时无论是用户还是通过SSL闲置设置在FortiGate会话表中的所有相关会话都将被删除。这就防止了在初始用户终止通道之后通过身份验证的SSL会话(尚未过期)的重用。SSL用户闲置设置与防火墙身份验证超时设置没有关联。对于SSL用户来说这是一个单独的空闲选项。当FortiGate在配置的超时期间没有看到来自用户的任何数据包或活动时远程用户被认为是空闲的。在这节课中我们讨论了下面内容SSL是什么以及它是如何操作的SSL和IPsec之间的差异Web模式、隧道模式(包括分割隧道)和端口转发连接SSL隧道的方法配置SSL包括门户、书签和领域通过客户端完整性检查和限制主机连接访问来保护SSL访问监视SSL用户飞塔技术 - 老梅子 QQ57389522