| |
二．企業(yè)實際應(yīng)用配置舉例
我司因?qū)嶋H應(yīng)用需要，采購了美國網(wǎng)件NETGEAR公司的Prosafe VPN Firewall FVX538和FVS338以購建公司內(nèi)部的VPN網(wǎng)絡(luò)，全網(wǎng)以廣州的FVX538為中心，申請固定的IP地址和10M的專線，分支機構(gòu)分布在上海和北京，采用中國網(wǎng)通的ADSL接入，無需固定的IP地址。在總部和分支獲得穩(wěn)定的VPN連接的基礎(chǔ)上，還需要增加大概100個用戶左右的客戶端VPN通道，以方便移動客戶訪問公司內(nèi)部的數(shù)據(jù)庫。由于管理的用戶眾多，而且用戶的流通性非常大，常常需要更新用戶資料，而采用傳統(tǒng)的VPN客戶管理方式，老用戶的資料既不能輕易修改，同時每當有新用戶加入時都要單獨在VPN設(shè)備里配置新的VPN策略，從而給系統(tǒng)的維護帶來了極大的困難。經(jīng)過再三的論證以后，最后決定采用支持XAUTH技術(shù)的高性價比的FVX538來解決該問題。系統(tǒng)建成后，全網(wǎng)穩(wěn)定運行半年多，由于其穩(wěn)定的性能和出色的維護辦法因而深受公司使用者的好評�，F(xiàn)以我司的VPN接入方案為例子，介紹在美國網(wǎng)件公司（Netgear）的Prosafe VPN Firewall FVX538 上如何實現(xiàn)采用XAUTH驗證技術(shù)的遠程客戶端的接入和管理。
2.1 產(chǎn)品軟件版本
為了獲得穩(wěn)定的XAUTH支持，建議先把FVS538的軟件版本升級到1.6.38以上。我司的FVX538目前穩(wěn)定運行在該版本上，本文章的相關(guān)參數(shù)設(shè)置都以該軟件版本為基礎(chǔ)。而客戶端軟件則選用FVX538光盤上配套的Prosafe VPN客戶端軟件(客戶端軟件版本10.5.1 (Build 8))。
2.2 選擇合適的Radius服務(wù)
NETGEAR ProSafe VPN Firewall FVX538支持多數(shù)標準的免費/商業(yè)發(fā)布的RADIUS服務(wù)程序，比如：
•FreeRADIUS, 一個開放的LINUX原代碼程序
•Microsoft Windows IAS
•Funk Software Steel-Belted RADIUS
所有的RADIUS Server的配置信息均可以參考廠家提供的標準配置文檔，本文不再詳細介紹每一種RADIUS的配置辦法，。
2.3 VPN防火墻FVX538的XAUTH配置
�。�1）設(shè)置VPN防火墻的XAUTH模式
在配置VPN的IKE策略的時候，選擇要求使用XAUTH驗證，則可以啟用VPN的XAUTH功能。我們在配置該IKE策略的XAUTH的時候，系統(tǒng)會提供兩種模式給用戶選擇。如下:
•IPsec Host — 作為客戶端，在連接到中心時需要提供用戶名和密碼
•Edge Device — 作為服務(wù)器端（中心），要求客戶端必須進行口令驗證。
當VPN防火墻定義為IPsec Host的時候，在建立VPN連接的時候，設(shè)備會給服務(wù)器端提供用戶名和密碼信息。
當VPN防火墻定義為Edge device模式的時候，VPN網(wǎng)關(guān)則要求客戶端必須輸入合法的用戶名的密碼進行驗證，網(wǎng)關(guān)在接收到來自客戶端提供的用戶名和密碼之后首先在本地數(shù)據(jù)庫校驗信息是否合法，如果在本地數(shù)據(jù)庫找不到相對應(yīng)的用戶名，則將信息轉(zhuǎn)發(fā)到RADIUS服務(wù)器進行校驗，如果判斷為合法，則繼續(xù)VPN的協(xié)商過程，如果用戶不合法，則中斷VPN連接。
具體設(shè)置如下：
1.進入IKE Policies選項并點擊 Edit按鈕進入IKE Policies編輯頁面
2.在 X AUTHENTICATION 項目下面, 選擇Edge Device.
3.在Authentication Type下選擇Generic使用PAP協(xié)議, 否則選擇CHAP以使用CHAP協(xié)議. 如果你打算使用RADIUS,則您必須在RADIUS上設(shè)置相對應(yīng)的驗證協(xié)議。通常PAP 協(xié)議簡單實用，而CHAP則更為安全。
4.點擊應(yīng)用使配置生效。
1.下一步，設(shè)置您的VPN防火墻是通過本地數(shù)據(jù)庫驗證還是通過擴展的RADIUS 服務(wù)器驗證。防火墻首在User Database里面定義的本地數(shù)據(jù)庫的用戶名和密碼信息進行驗證，如果找不到匹配的條件，則轉(zhuǎn)交到在RADIUS Clien項目里定義的RADIUS服務(wù)器來驗證。 |
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
