下载文档原格式
介绍关于华为防火墙USG.PPPoE的配置。
PPPoE典型应用：1.用户使用操作系统自带PPPoE客户端拨号，自己独享账号上网。
2.用户使用桌面网络设备（路由器/防火墙）等拨号。
3.使用NAT对内部网络地址进行转换。
并对内部网络用户启用DHCP，实现用户网络多台设备共享一个账号上网。
4.本文模拟应用2的网络模式，使用USG2110做拨号客户端，USG3000模拟运营商的宽带接入设备。
在USG3000上起Loopback口3.3.3.3模拟Internet应用，PC上启用DHCP。
二. PPPoE客户端(USG2110)配置1.配置内网用户网关地址和DHCP Serverinterface Ethernet0/0/1ip address 192.168.1.1 255.255.255.02.为内网用户配置DHCP Server，为内部用户分配IP地址dhcp enabledhcp server ip-pool 1network 192.168.1.0 mask 255.255.255.0gateway-list 192.168.1.1dns-list 11.1.1.1dhcp server forbidden-ip 192.168.1.13.设置PPPoE拨号参数dialer-rule 1 ip permit //配置拨号访问控制列表，匹配上才触发拨号interface Dialer1 //创建一个dialer口link-protocol ppp //拨号的用户名密码，由于不知道对端到底采用PAP还是CHAP，所以最好两个都配上ppp pap local-user huawei password simple huawei123ppp chap user huaweippp chap password simple huawei123ip address ppp-negotiate //配置地址由对端宽带接入设备分配dialer user huawei //配置触发拨号的用户dialer-group 1 //这个数字与dialer-rule编号一致dialer bundle 1 //配置此拨号串编号4.将dialer口绑定到出接口上，数字与dialer bundle一致interface Ethernet0/0/0pppoe-client dial-bundle-number5.将相关接口加入域firewall zone trustadd interface Ethernet0/0/1firewall zone untrustadd interface Dialer16.配置域间包过滤和NAT转换，采用easy ip方式，出口采用dialer口acl number 3001rule 5 permit ip source 192.168.1.0 0.0.0.255 logging firewall interzone trust untrustpacket-filter 3001 outboundnat outbound 3001 interface Dialer17.配置默认路由，由dialer口出去ip route-static 0.0.0.0 0.0.0.0 Dialer18.开启trust和untrust区域到local区域的默认包过滤firewall packet-filter default permit interzone local trustfirewall packet-filter default permit interzone local untrust三、PPPoE服务器端（USG3000）配置1.开启默认包过滤firewall packet-filter default permit all2.配置PPPoE Server参数interface Virtual-Template1 //创建一个VT接口ppp authentication-mode pap //采用的认证方式ip address 1.1.1.1 255.255.255.252 //配置VT口的IP地址remote address pool //为客户端分配的地址interface GigabitEthernet0/2pppoe-server bind Virtual-Template 1 //将VT口绑定到实接口上3.loopback口模拟Internet应用interface LoopBack0ip address 3.3.3.3 255.255.255.2554.将VT口加入域，实接口可不加firewall zone trustadd interface Virtual-Template15.配置本地的用户信息库，为客户端认证的账号和密码库local-user huawei password simple huawei123…6.配置地址池，客户端的地址从此池中分配ip pool 0 2.2.2.2 2.2.3.37.设置静态默认路由，由VT口出去ip route-static 0.0.0.0 0.0.0.0 Virtual-Template1四、验证效果1.PC上获得IP地址后，ping 3.3.3.3，查看效果C:\Documents and Settings\Administrator>ping 3.3.3.3Pinging 3.3.3.3 with 32 bytes of data:Reply from 3.3.3.3: bytes=32 time=2ms TTL=254Reply from 3.3.3.3: bytes=32 time=2ms TTL=254Reply from 3.3.3.3: bytes=32 time=2ms TTL=254Reply from 3.3.3.3: bytes=32 time=2ms TTL=254Ping statistics for 3.3.3.3:Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),Approximate round trip times in milli-seconds:Minimum = 2ms, Maximum = 2ms, Average = 2ms2.在client上查看会话表，可查看出会话、NAT转换信息[PPPoE-Client]display firewall session tableicmp:192.168.1.2:768[2.2.2.2:13093]-->3.3.3.3:7683.在PPPoE Client上查看PPPoE会话信息[PPPoE-Client]display pppoe-client session summaryPPPoE Client Session:ID Bundle Dialer Intf Client-MAC Server-MAC State3 1 1 Eth0/0/0 0018827712a7 0018828243d0 PPPUP4.在PPPoE Server上查看会话信息，同client上对应[PPPoE-Server]display pppoe-server session allSID Intf State OIntf RemMAC LocMAC3 Virtual-Template1:0 UP GE0/2 0018.8277.12a7 0018.8282.43d0。
网络安全之华为USG防火墙配置实例USG5500系列产品是华为技术有限公司面向大中型企业和下一代数据中心推出的新一代电信级统一安全网关设备。
USG5500系列产品部署于网络出口处，有效阻止Internet 上的黑客入侵、DDoS攻击，阻止内网用户访问非法网站，限制带宽，为内部网络提供一个安全可靠的网络环境。
这里华迪教育以此为例，给同学们讲解防火墙配置实例。
华为USG防火墙配置内容：（1）内部网络通过防火墙访问外部网络(NAT)（2）外部网络能够访问内部服务器的映射网站主要配置命令如下：Step 1: 设置内、外网接口IPinterface GigabitEthernet0/0/1ip address 192.168.10.1 255.255.255.0interface GigabitEthernet0/0/8ip address 211.95.1.200 255.255.255.0Step 2: 指定内网信任区和外网非信任区firewall zone trustdetect ftp (启用FTP应用层转换)add interface GigabitEthernet0/0/1firewall zone untrustadd interface GigabitEthernet0/0/8step 3 : 开启内网FTP服务映射到外网，开通区域间的通信许可firewall interzone trust untrustdetect ftp （开启内网到外网的FTP服务映射）firewall packet-filter default permit allstep 4:定义NAT地址池、配置NAT Server发布内网站点服务nat address-group 1 211.95.1.200 211.95.1.200nat server zone untrust protocol tcp global 211.95.1.200 www inside 192.168.10.254 wwwnat server zone untrust protocol tcp global 211.95.1.200 ftp inside 192.168.10.254 ftpnat server zone trust protocol tcp global 211.95.1.200 www inside 192.168.10.254 wwwnat server zone trust protocol tcp global 211.95.1.200 ftp inside 192.168.10.254 ftpStep 5 :配置nat转换，使得内网可以访问外网nat-policy interzone trust untrust outboundpolicy 1action source-natpolicy source 192.168.10.0 0.0.0.255address-group 1Step 6: 配置源地址转换，强制要求内网用户须通过映射地址访问内部服务器nat-policy zone trustpolicy 1action source-natpolicy source 192.168.10.0 0.0.0.255policy destination 211.95.1.254 0 address-group 1。
内网：配置GigabitEthernet 0/0/1加入Trust区域[USG5300] firewall zone trust[USG5300-zone-untrust] add interface GigabitEthernet 0/0/1外网：配置GigabitEthernet 0/0/2加入Untrust区域[USG5300] firewall zone untrust[USG5300-zone-untrust] add interface GigabitEthernet 0/0/2DMZ：[USG5300] firewall zone dmz[USG5300-zone-untrust] add interface GigabitEthernet 0/0/3[USG5300-zone-untrust] quit1.4.1 Trust和Untrust域间：允许内网用户访问公网policy 1：允许源地址为10.10.10.0/24的网段的报文通过[USG5300] policy interzone trust untrust outbound[USG5300-policy-interzone-trust-untrust-outbound] policy 1[USG5300-policy-interzone-trust-untrust-outbound-1] policy source 10.10.10.0 0.0.0.255[USG5300-policy-interzone-trust-untrust-outbound-1] action permit[USG5300-policy-interzone-trust-untrust-outbound-1] quit如果是允许所有的内网地址上公网可以用以下命令：[USG2100]firewall packet-filter default permit interzone trust untrust direction outbound //必须1.4.2 DMZ和Untrust域间：从公网访问内部服务器policy 2：允许目的地址为10.10.11.2，目的端口为21的报文通过policy 3：允许目的地址为10.10.11.3，目的端口为8080的报文通过[USG5300] policy interzone untrust dmz inbound[USG5300-policy-interzone-dmz-untrust-inbound] policy 2[USG5300-policy-interzone-dmz-untrust-inbound-2] policy destination 10.10.11.3 0 [USG5300-policy-interzone-dmz-untrust-inbound-2] policy service service-set ftp [USG5300-policy-interzone-dmz-untrust-inbound-2] action permit[USG5300-policy-interzone-dmz-untrust-inbound-2] quit[USG5300-policy-interzone-dmz-untrust-inbound] policy 3[USG5300-policy-interzone-dmz-untrust-inbound-3] policy destination 10.10.11.2 0[USG5300-policy-interzone-dmz-untrust-inbound-3]policy service service-set http [USG5300-policy-interzone-dmz-untrust-inbound-3] action permit[USG5300-policy-interzone-dmz-untrust-inbound-3] quit[USG5300-policy-interzone-dmz-untrust-inbound] quit配置内部服务器：<USG5300> system-view[USG5300] nat server protocol tcp global 220.10.10.16 8080 inside 10.10.11.2 www [USG5300] nat server protocol tcp global 220.10.10.17 ftp inside 10.10.11.3 ftpNAT2、通过公网接口的方式创建Trust区域和Untrust区域之间的NAT策略，确定进行NAT转换的源地址范围192.168.1.0/24网段，并且将其与外网接口GigabitEthernet 0/0/4进行绑定。
华为USG6000防火墙WEB基本开局配置
方法/步骤
第一步：浏览器登录https://192.168.0.1 （缺省状态下WEB登录地址），进入防火墙WEB配置界面。
第二步：输入用户名和密码登录，用户名：admin 密码：Admin@123（缺省状态下）。
第三步：进入快速向导，根据指引进行配置，然后点击【下一步】。
第四步：配置基本信息。
（建议修改密码），然后点击【下一步】。
第五步：配置系统时间。
（建议从本地系统同步时间，如果有NTP服务器选择NTP服务器同步时间），然后点击【下一步】。
第六步：选择接入互联网的方式。
（以PPPoE拨号为例），然后点击【下一步】。
第七步：配置拨号信息。
（上网接口是连接运营商的接口，用户名密码由运营商提供，选自动获取IP），然后点击【下一步】。
第八步：配置局域网接口。
（给连接下面设备或终端的接口配置IP），然后点击【下一步】。
第九步：配置局域网DHCP服务，（起始IP要排除上一步配置的接口IP）然后点击【下一步】。
第十步：确认配置信息，点击【应用】完成配置。
END
注意事项
①、用户名密码登录错误次数过多会锁定10分钟不能登录。
②、最后点击应用的时候提示接口地址池不能超过某个数，需要计算在范围内的IP和掩码，计算方式请找度娘【IP在线计算】。
USG2000基础配置手册初始化设备：reset saved-configurationREBOOTNY1.# 进入系统视图。
<USG> system-view# 进入Ethernet 0/0/0视图。
[USG A] interface Ethernet 0/0/0# 配置Ethernet 0/0/0（公网）的IP地址。
[USG A-Ethernet0/0/0] ip address 61.163.165.108 255.255.255.128 #公网IP，运营商提供# 退回系统视图。
[USG A-Ethernet0/0/0] quit2.# 进入Ethernet 0/0/1视图。
[USG A] interface Ethernet 0/0/1# 配置内部局域网Ethernet 0/0/1的IP地址。
[USG A-Ethernet0/0/1] ip address 192.168.0.1 255.255.255.0[USG A-Ethernet0/0/1] dhcp select interface# 退回系统视图。
[USG A-Ethernet0/0/1] quit3.# 进入Trust区域视图。
[USG A] firewall zone trust# 配置Ethernet 0/0/1加入Trust区域。
#通常内网在trust区域[USG A-zone-trust] add interface Ethernet 0/0/1# 退回系统视图。
[USG A-zone-trust] quit# 进入Untrust区域视图。
[USG A] firewall zone untrust# 配置Ethernet 0/0/0加入Untrust区域。
#通常外网在untrust区域[USG A-zone-untrust] add interface Ethernet 0/0/0# 退回系统视图。
[USG A-zone-untrust] quit4.#配置需要上网的ACL[USG] acl 2000[USG-acl-basic-2000] rule permit[USG-acl-basic-2000] quit5.# 配置NAT地址池。
华为usg防火墙基本配置命令有哪些华为usg防火墙基本配置命令登陆缺省配置的防火墙并修改防火墙的名称防火墙和路由器一样，有一个Console接口。
使用console 线缆将console接口和计算机的com口连接在一块。
使用windows 操作系统自带的超级终端软件，即可连接到防火墙。
防火墙的缺省配置中，包括了用户名和密码。
其中用户名为admin、密码Admin@123，所以登录时需要输入用户名和密码信息，输入时注意区分大小写。
修改防火墙的名称的方法与修改路由器名称的方法一致。
另外需要注意的是，由于防火墙和路由器同样使用了VRP 平台操作系统，所以在命令级别、命令帮助等，与路由器上相应操作相同。
sys13:47:28 2014/07/04Enter system view, return user view withCtrl+Z.[SRG]sysname FW13:47:32 2014/07/04修改防火墙的时间和时区信息默认情况下防火墙没有定义时区，系统保存的时间和实际时间可能不符。
使用时应该根据实际的情况定义时间和时区信息。
实验中我们将时区定义到东八区，并定义标准时间。
clock timezone 1 add 08:00:0013:50:57 2014/07/04dis clock21:51:15 2014/07/032014-07-03 21:51:15ThursdayTime Zone : 1 add 08:00:00clock datetime 13:53:442014/07/0421:53:29 2014/07/03dis clock13:54:04 2014/07/042014-07-04 13:54:04FridayTime Zone : 1 add 08:00:00修改防火墙登录标语信息默认情况下，在登陆防火墙，登陆成功后有如下的标语信息。
Please Press ENTER.Login authenticationUsername:adminPassword:*********NOTICE:This is a private communicationsystem.Welcome to USG5500You are logining insystem Please do not delete system config filesNOTICE:This is a private communicationsystem.Unauthorized access or use may lead to prosecution.注意，默认达到NOTICE信息一般都会存在，不会消失或被代替。
网络安全之华为USG防火墙配置实例USG5500系列产品是华为技术有限公司面向大中型企业和下一代数据中心推出的新一代电信级统一安全网关设备。
USG5500系列产品部署于网络出口处，有效阻止Internet 上的黑客入侵、DDoS攻击，阻止内网用户访问非法网站，限制带宽，为内部网络提供一个安全可靠的网络环境。
这里华迪教育以此为例，给同学们讲解防火墙配置实例。
华为USG防火墙配置内容：（1）内部网络通过防火墙访问外部网络(NAT)（2）外部网络能够访问内部服务器的映射网站主要配置命令如下：Step 1: 设置内、外网接口IPinterface GigabitEthernet0/0/1ip address 192.168.10.1 255.255.255.0interface GigabitEthernet0/0/8ip address 211.95.1.200 255.255.255.0Step 2: 指定内网信任区和外网非信任区firewall zone trustdetect ftp (启用FTP应用层转换)add interface GigabitEthernet0/0/1firewall zone untrustadd interface GigabitEthernet0/0/8step 3 : 开启内网FTP服务映射到外网，开通区域间的通信许可firewall interzone trust untrustdetect ftp （开启内网到外网的FTP服务映射）firewall packet-filter default permit allstep 4:定义NAT地址池、配置NAT Server发布内网站点服务nat address-group 1 211.95.1.200 211.95.1.200nat server zone untrust protocol tcp global 211.95.1.200 www inside 192.168.10.254 wwwnat server zone untrust protocol tcp global 211.95.1.200 ftp inside 192.168.10.254 ftpnat server zone trust protocol tcp global 211.95.1.200 www inside 192.168.10.254 wwwnat server zone trust protocol tcp global 211.95.1.200 ftp inside 192.168.10.254 ftpStep 5 :配置nat转换，使得内网可以访问外网nat-policy interzone trust untrust outboundpolicy 1action source-natpolicy source 192.168.10.0 0.0.0.255address-group 1Step 6: 配置源地址转换，强制要求内网用户须通过映射地址访问内部服务器nat-policy zone trustpolicy 1action source-natpolicy source 192.168.10.0 0.0.0.255policy destination 211.95.1.254 0 address-group 1。
USG2000基础配置手册初始化设备：reset saved-configurationREBOOTNY1.# 进入系统视图。
<USG> system-view# 进入Ethernet 0/0/0视图。
[USG A] interface Ethernet 0/0/0# 配置Ethernet 0/0/0（公网）的IP地址。
[USG A-Ethernet0/0/0] ip address 61.163.165.108 255.255.255.128 #公网IP，运营商提供# 退回系统视图。
[USG A-Ethernet0/0/0] quit2.# 进入Ethernet 0/0/1视图。
[USG A] interface Ethernet 0/0/1# 配置内部局域网Ethernet 0/0/1的IP地址。
[USG A-Ethernet0/0/1] ip address 192.168.0.1 255.255.255.0[USG A-Ethernet0/0/1] dhcp select interface# 退回系统视图。
[USG A-Ethernet0/0/1] quit3.# 进入Trust区域视图。
[USG A] firewall zone trust# 配置Ethernet 0/0/1加入Trust区域。
#通常内网在trust区域[USG A-zone-trust] add interface Ethernet 0/0/1# 退回系统视图。
[USG A-zone-trust] quit# 进入Untrust区域视图。
[USG A] firewall zone untrust# 配置Ethernet 0/0/0加入Untrust区域。
#通常外网在untrust区域[USG A-zone-untrust] add interface Ethernet 0/0/0# 退回系统视图。
[USG A-zone-untrust] quit4.#配置需要上网的ACL[USG] acl 2000[USG-acl-basic-2000] rule permit[USG-acl-basic-2000] quit5.# 配置NAT地址池。
华为USG防火墙配置手册1. 简介本手册旨在指导用户进行华为USG防火墙的配置和使用。
华为USG防火墙是一款功能强大的网络安全设备，可用于保护企业网络免受网络攻击和安全威胁。
2. 配置步骤2.1 硬件连接在配置USG防火墙之前，请确保正确连接好相关硬件设备，包括USG防火墙、路由器和服务器等。
2.2 登录USG防火墙使用SSH客户端等工具，输入USG防火墙的IP地址和管理员账号密码进行登录。
2.3 配置基本参数登录USG防火墙后，根据实际需求配置以下基本参数：- 设置管理员密码- 配置IP地址和子网掩码- 设置DNS服务器地址2.4 配置网络地址转换（NAT）根据实际网络环境，配置网络地址转换（NAT）功能。
NAT 功能可以将内部IP地址转换为合法的公网IP地址，实现内网和外网的通信。
2.5 配置访问控制策略配置访问控制策略可以限制网络流量的访问权限，确保只有授权的用户或设备可以访问特定网络资源。
2.6 配置安全服务华为USG防火墙提供多种安全服务功能，例如防病毒、入侵检测和内容过滤等。
根据实际需求，配置相应的安全服务功能。
2.7 配置远程管理和监控配置远程管理和监控功能，可以通过远程管理工具对USG防火墙进行实时监控和管理。
3. 常见问题解答3.1 如何查看防火墙日志？登录USG防火墙的Web界面，找到"日志"选项，可以查看防火墙的各种日志信息，包括安全事件、连接记录等。
3.2 如何升级USG防火墙固件版本？4. 其他注意事项- 在配置USG防火墙之前，请先备份原有的配置文件，以防配置错误或损坏设备。
- 请勿将USG防火墙暴露在不安全的网络环境中，以免受到未授权的访问和攻击。
以上是华为USG防火墙的配置手册，希望能帮助到您。
如有其他问题，请随时联系我们的技术支持。
华为U S G配置S S L V P N
说明：本文将在USG2200平台创建SSL VPN，使用LDAP做认证服务器，做网络扩展。
如下1-4点是个人的理解，不认同可跳过。
本文使用网页为主要配置手段，CLI辅助，网页配置之后，CLI是可以查看配置信息的。
1.前提
a)USG接口配置完毕，外部IP可以跟接口公网IP互通；
b)SSL VPN连接成功后，USG将作为外部IP的“代理”，所以必须确保所部署的服务
器都必须跟USG连通。
（WEB代理、端口映射必须跟被代理/映射的服务器连通，
网络拓展必须跟被访问的网络互通）。
2.VPN类型
a)WEB代理/文件共享
USG将后端服务以WEB的形式呈现给SSL VPN用户，通俗理解就是转码；
b)端口映射
USG将后端服务跟SSL VPN互通，除了NAT等必须的转换之外，USG不做其他的内
容改变；
c)网络拓展
USG不是严格意义上的代理，只是用户地址段的直连路由器，用户能访问策略允
许的任何内网资源。
3.VPN业务流程
a)客户端跟USG之间的SSL连接
这一步还未涉及到用户信息验证，使用华为的SVN客户端一般都没问题。
b)USG将用户通过SSL上传的认证信息做验证（本地、LDAP、RADIUS）
建议先做本地的VPNDB认证，成功之后再考虑LDAP、RADIUS认证，有序排错。
c)用户访问指定资源
这一步主要是涉及用户策略和USG到后台的互联互通问题。
4.注意事项
a)USG的网页兼容性不好，可能会给配置过程造成困扰；
b)IE11、火狐、Chrome均有问题，360浏览器没问题（我是做广告的吗？）。
主要是
在填写IP地址，搜索外部服务器组的时候。
c)网页版的配置，有些在CLI找不到，比如VPNDB，外部服务器组。
（能力有限？）
d)创建VPN虚拟网关的时候，USG会默认创建AAA组和LDAP/RADIUS组（烦！）
e)虚拟网关的认证域是不能指定的，名字必须是网关名字.dom，这个它会自己生成。
但是这个域下面的认证配置是可以修改的
5.配置LDAP服务器
使用微软的WIN 2008 SERVER R2的AD，创建的域，并在该域下面创建一级OU，名字“公司”；二级OU，名字“测试部”，测试部门下面放的用户是test；二级OU，名字“管理员”，用户admin。
所以，使用LDAP浏览器（Xplore，LDAP浏览器）可以看到test的DN是”cn=test,ou=测试部,ou=公司,dc=test,dc=com”；
admin的DN是”cn=admin,ou=管理员,ou=公司,dc=test,dc=com”。
Admin是用来对用户的信息做认证和同步的，test是VPN用户。
6.配置USG
a)新建虚拟网关
VPN SSL VPN 虚拟网关管理，新建；
填写网关名字，类型独占，IP地址，域名，最大并发用户数；关于类型是共享或
者独占、网关域名究竟是什么用，我没查到相关资料。
b)创建完成之后，可以在虚拟网关列表看到当前所拥有的网关列表。
USG支持多网
关并发，并且互相之间不影响。
在创建虚拟网关之后，系统默认自动创建了LDAP，
RADIUS，AAA的认证、授权模板。
（视需要，我们可以使用自己配置的信息，删除
自动生成的配置。
）如下图，我们可以配置的内容：
i.网络配置（必选），包括DNS信息。
这是下发给SSL VPN客户端的；
ii.SSL配置（可选），这是配置客户端跟USG协商SSL连接的，建议按最严格配置，视懒惰情况勾选“生命周期无限制”
iii.认证授权配置（必选），这是配置SSL连接建立后，USG如何处理客户端抛上来的用户认证信息。
建议先用本地认证（VPNDB）做测试，再做成LDAP或者
RADIUS。
一步到位可能不是好事，特别是在配置不成功需要排错的情况下。
iv.策略配置（必选），默认是全部允许的。
v.VPNDB配置（可选），这是本地用户信息配置，在上述认证授权配置选择“VPNDB”
时候必须配置。
vi.外部组配置（可选），这是将认证服务器上面的组信息同步到本地，在上述认证授权配置选择“LDAP“或者”RADIUS“时必选。
（有说法是下一代防火墙是
可以不配置的，没测试，没发言权）
vii.WEB代理、文件共享、端口转发、网络扩展（可选），这是对应USG提供的SSL VPN功能的，视需要开启。
本文介绍网络扩展。
viii.日志管理、在线监控、虚拟网关维护（可选），这是监控和排错用的。
c)通过上述说明，我们需要做的配置包括：网络配置，SSL配置，认证授权配置，
策略配置，外部组配置，网络扩展。
VPNDB配置不介绍，就是新建用户而已。
i.网络配置，填写内网DNS信息即可。
用户VPN回来经常要使用内部资源，所
以使用内外DNS。
ii.SSL配置
使用最高算法的SSL，勾选生命周期无限制（懒…，或者叫用户体验吧！）。
这部分在官方文档有比较好的说明。
iii.认证授权配置
认证方式使用LDAP，然后在“认证授权服务器“配置栏，对LDAP配置。
官
方文档有比较好的说明。
本人是CLI里面删除了自动生成的LDAP和AAA模
板，使用自己早前配置好的模板。
需要提醒的是，做完LDAP等外部服务器
配置后，需要测试一下连接是否成功。
方法：CLI进入LDAP模板，输入
ldap-server test user name psw，得到” Server detection succeeded.
“；网页版本的，在OS是V300R001C10SPC500这个版本，测试检查有bug，
提醒注意一下。
如示例的LDAP服务器配置，这里BaseDN填写dc=test,dc=com，用户过滤
字段填写sAMAccountName，组过滤字段填写ou，管理员DN填写
cn=admin,ou=管理员,ou=公司，勾选“附带Base DN”。
iv.策略配置
系统默认全部允许。
官方文档有比较好的说明。
可以通过做目的IP的方法
来限制用户访问。
v.外部组配置
这是把外部服务器组同步到USG上。
官方文档在这没特别明白的说明，而且
因为浏览器兼容性问题，导致本人浪费大量时间调试。
官方说明不是不明确，
而是没告诉用户为什么要做这个。
USG2200必须将外部组通过搜索导入，否
则认证将会失败。
如下，搜索成功后，将会有组信息呈现。
搜索配置如下，
方式是subtree。
如示例LDAP服务器，这里将会出现公司，测试部，管理
员，可按需要删除，例如仅仅保留测试部，这样仅测试部能接入，其他部门
不能接入。
vi.网络扩展
这里配置给用分配的IP，路由信息。
路由模式我不是很了解，不过手动模
式可以指定用户能访问哪些资源。
如下示例，内网必须跟172.
7.测试
使用华为的SVN Client，在外部网络，输入虚拟网关的IP，LDAP用户名密码，点击登录即可。
如示例的LDAP服务器，用户名是test，不能加域名后缀。
使用route print从本机的路由表可以看到，SSL VPN会将配置的路由信息下发到本机。
