| |
二．企業(yè)實(shí)際應(yīng)用配置舉例
我司因?qū)嶋H應(yīng)用需要，采購(gòu)了美國(guó)網(wǎng)件NETGEAR公司的Prosafe VPN Firewall FVX538和FVS338以購(gòu)建公司內(nèi)部的VPN網(wǎng)絡(luò)，全網(wǎng)以廣州的FVX538為中心，申請(qǐng)固定的IP地址和10M的專線，分支機(jī)構(gòu)分布在上海和北京，采用中國(guó)網(wǎng)通的ADSL接入，無(wú)需固定的IP地址。在總部和分支獲得穩(wěn)定的VPN連接的基礎(chǔ)上，還需要增加大概100個(gè)用戶左右的客戶端VPN通道，以方便移動(dòng)客戶訪問(wèn)公司內(nèi)部的數(shù)據(jù)庫(kù)。由于管理的用戶眾多，而且用戶的流通性非常大，常常需要更新用戶資料，而采用傳統(tǒng)的VPN客戶管理方式，老用戶的資料既不能輕易修改，同時(shí)每當(dāng)有新用戶加入時(shí)都要單獨(dú)在VPN設(shè)備里配置新的VPN策略，從而給系統(tǒng)的維護(hù)帶來(lái)了極大的困難。經(jīng)過(guò)再三的論證以后，最后決定采用支持XAUTH技術(shù)的高性價(jià)比的FVX538來(lái)解決該問(wèn)題。系統(tǒng)建成后，全網(wǎng)穩(wěn)定運(yùn)行半年多，由于其穩(wěn)定的性能和出色的維護(hù)辦法因而深受公司使用者的好評(píng)�，F(xiàn)以我司的VPN接入方案為例子，介紹在美國(guó)網(wǎng)件公司（Netgear）的Prosafe VPN Firewall FVX538 上如何實(shí)現(xiàn)采用XAUTH驗(yàn)證技術(shù)的遠(yuǎn)程客戶端的接入和管理。
2.1 產(chǎn)品軟件版本
為了獲得穩(wěn)定的XAUTH支持，建議先把FVS538的軟件版本升級(jí)到1.6.38以上。我司的FVX538目前穩(wěn)定運(yùn)行在該版本上，本文章的相關(guān)參數(shù)設(shè)置都以該軟件版本為基礎(chǔ)。而客戶端軟件則選用FVX538光盤上配套的Prosafe VPN客戶端軟件(客戶端軟件版本10.5.1 (Build 8))。
2.2 選擇合適的Radius服務(wù)
NETGEAR ProSafe VPN Firewall FVX538支持多數(shù)標(biāo)準(zhǔn)的免費(fèi)/商業(yè)發(fā)布的RADIUS服務(wù)程序，比如：
•FreeRADIUS, 一個(gè)開(kāi)放的LINUX原代碼程序
•Microsoft Windows IAS
•Funk Software Steel-Belted RADIUS
所有的RADIUS Server的配置信息均可以參考廠家提供的標(biāo)準(zhǔn)配置文檔，本文不再詳細(xì)介紹每一種RADIUS的配置辦法，。
2.3 VPN防火墻FVX538的XAUTH配置
�。�1）設(shè)置VPN防火墻的XAUTH模式
在配置VPN的IKE策略的時(shí)候，選擇要求使用XAUTH驗(yàn)證，則可以啟用VPN的XAUTH功能。我們?cè)谂渲迷揑KE策略的XAUTH的時(shí)候，系統(tǒng)會(huì)提供兩種模式給用戶選擇。如下:
•IPsec Host — 作為客戶端，在連接到中心時(shí)需要提供用戶名和密碼
•Edge Device — 作為服務(wù)器端（中心），要求客戶端必須進(jìn)行口令驗(yàn)證。
當(dāng)VPN防火墻定義為IPsec Host的時(shí)候，在建立VPN連接的時(shí)候，設(shè)備會(huì)給服務(wù)器端提供用戶名和密碼信息。
當(dāng)VPN防火墻定義為Edge device模式的時(shí)候，VPN網(wǎng)關(guān)則要求客戶端必須輸入合法的用戶名的密碼進(jìn)行驗(yàn)證，網(wǎng)關(guān)在接收到來(lái)自客戶端提供的用戶名和密碼之后首先在本地?cái)?shù)據(jù)庫(kù)校驗(yàn)信息是否合法，如果在本地?cái)?shù)據(jù)庫(kù)找不到相對(duì)應(yīng)的用戶名，則將信息轉(zhuǎn)發(fā)到RADIUS服務(wù)器進(jìn)行校驗(yàn)，如果判斷為合法，則繼續(xù)VPN的協(xié)商過(guò)程，如果用戶不合法，則中斷VPN連接。
具體設(shè)置如下：
1.進(jìn)入IKE Policies選項(xiàng)并點(diǎn)擊 Edit按鈕進(jìn)入IKE Policies編輯頁(yè)面
2.在 X AUTHENTICATION 項(xiàng)目下面, 選擇Edge Device.
3.在Authentication Type下選擇Generic使用PAP協(xié)議, 否則選擇CHAP以使用CHAP協(xié)議. 如果你打算使用RADIUS,則您必須在RADIUS上設(shè)置相對(duì)應(yīng)的驗(yàn)證協(xié)議。通常PAP 協(xié)議簡(jiǎn)單實(shí)用，而CHAP則更為安全。
4.點(diǎn)擊應(yīng)用使配置生效。
1.下一步，設(shè)置您的VPN防火墻是通過(guò)本地?cái)?shù)據(jù)庫(kù)驗(yàn)證還是通過(guò)擴(kuò)展的RADIUS 服務(wù)器驗(yàn)證。防火墻首在User Database里面定義的本地?cái)?shù)據(jù)庫(kù)的用戶名和密碼信息進(jìn)行驗(yàn)證，如果找不到匹配的條件，則轉(zhuǎn)交到在RADIUS Clien項(xiàng)目里定義的RADIUS服務(wù)器來(lái)驗(yàn)證。 本新聞共 3頁(yè),當(dāng)前在第 2頁(yè) 1 2 3 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
