SANGFOR_SSL_v7.0_2016年度渠道初级认证培训03_用户认证技术

192.200.200.X/24 GW:192.200.200.254 OA：192.200.200.20/24 GW:192.200.200.254
EasyLink资源介绍
配置思路：
1.添加用户账号“张三” （添加用户的配置，此PPT不再赘述）
2.资源配置： 根据前面的讲解，将业务系统配置成WEB应用，开启站点映射，将SSL
HTTP DATA
解密数据包发现目 的IP以及目的端口是 IP1:8080，于是设备 向10请求数据
LAN：192.168.1.1
HTTP DATA
http://192.168.1.10
http://192.168.1.11
同理，如果客户端访问的是 IP1:8081，则SSL会向11请求 数据。
EasyLink资源介绍
资源服务选项
• 资源服务模式
1、使用设备的IP地址作为源地址：则访问资源时，数据到达内网服务器时看到的 源IP地址是SSL设备的LAN口地址 2、使用分配的虚拟IP地址作为源地址：则访问资源时，数据到达内网服务器时看 到的源IP地址是客户端PC获取的虚拟IP地址
资源服务选项
• 资源服务模式（单臂模式）
192.200.200.X/24 GW:192.200.200.254
OA：192.200.200.20/24 GW:192.200.200.254
问题思考
1.EasyLink资源的实现方式有哪两种模式？这两种模式是如何实现的？ 2.请简述EasyLink资源的应用场景？ 3.资源服务选项支持哪两种模式？各有什么不同？
SANGFOR SSL VPN 资源、角色、策略组
培训内容 EasyLink资源
培训目标 1、掌握EasyLink应用资源的实现原理以及配置

上的服务程序， 将服务器上的程序以远程应用的形式发布出来，管理 远程发布的应用程序、与WebUI交互一些控制信息和状态信息。 • RemoteApp Client: 远程应用的客户端组件，利用该组件可以访问安 装了RemoteAPP Agent的虚拟终端服务器的应用程序。 • SSL VPN WebUI：集中对安装了RemoteApp Agent的远程终端服务 器进行管理，配置需要发布的应用。
SSL VPN应用资源介绍
➢ 远程应用资源总体部署示意图：
客户端在访问远程应用发布资源时就会安装上RemoteAppClient组件， RemoteAppAgent组件需要管理员在终端服务器上进行手动安装。
SSL VPN应用资源介绍
➢ 远程应用资源总体部署示意图： • RemoteApp Agent：安装在Windows 2003或Windows 2008服务器
SSL VPN应用资源介绍
L3VPN应用数据流示意图：
1. 客户端和SSL设备建立SSLVPN链接，客户端虚拟网卡获得虚拟IP并
建立SSL隧道，通过抓取访问服务器的数据并对数据进行封装传到SSL
设备。
2. 数据到达SSL设备后解封装，由虚拟IP或设备自身IP发起对Server的
访问。注意：源IP可以是Client端获得的虚拟IP，也可以是设备的IP，默
优点：客户端免控件，所有浏览器均支持。
建议： 常规测试不建议使用WEB应用，较常用于手机，无IE接入。
注意：客户端接入SSL VPN访问WEB应用，不能打开新窗口输入地址访 问，只能点击链接或者利用WEB全网服务的地址栏访问。
SSL VPN应用资源介绍
名词解释： SANGFOR SSL资源是指远程接入SSL VPN后可供访问 的服务。

接线注意事项： a.将一手机sim 卡放入短信Modem 内。 b.短信Modem 通过发货时自带的串口线（一端为公头，另一端为母头）连接到短信服务器（电 脑）的com 口。 c.把接口上的旋钮扭紧，确保串口线和短信Modem 以及串口线和短信服务器接触良好。 系统要求：Windows XP、Windows 2000、Windows 2003，丌支持vista 系统。
c 添加用户关联到组，使用用户名密码、数字证书以及硬件特征码认证
刚添加的组显示在列表里 填写好为此 用户分配的 刚生成的用户 用户名密码 生成的证书字段
证书保存 到本地
选择此用 户所要关 联到的组 点击选择
填写相应 信息后点 击【生成】
最后一定要点 击【配置生效】
【一般用 户组】
SSL用户访问案例配置
最基本的认证方式， 所添加用户的用户 填写登录时使用的密码并 名密码信息库保存 重复输入进行确认 在SSL设备中，属于 设备本地认证
填写登录时使用的用户名
使用用户名密码认证时，可 选择【公共用户】或【私有 用户】,根据客户需求选择。 公共用户:允许多个人同时 使用此账号登录； 当启用多种认证方式时需 私有用户:同一时间内只允 选择【不】、【或】。 许一个人使用此账号登录。 不:所有启用的认证方式均 通过才表示认证成功； 戒:启用认证方式中任一 勾选【用户名/密码】,表示 一个通过则表示认证成功。 启用用户名密码认证方式
【数字证书/Dkey认证】 及【短信】为丌可选状态, 下载保存到本地PC 必须选择【私有用户】。 点击下一步 生成证书
选择【私有】用户并勾选 【数字证书/Dkey认证】
硬件特征码认证
实现SSL VPN帐号和电脑硬件特征的绑定(读取绑定信息顺序:硬盘ID ->网卡mac ->C盘ID ->D盘ID->E盘ID...），防止他人盗用帐号在其 他电脑上登录。 硬件特征码认证属于辅劣认证，必须同时使用一种主要认证。

7、模糊匹配-添加黑链判断篡改不重定向 通过上传被篡改的index.php，篡改内容为添加<a href>的黑链 篡改前
篡改后
清空浏览器缓存，并再次访问网页，发现网页无明显变化，登陆 NGAF控制台，看到有篡改事件并有篡改日志
篡改恢复过程略
1.2 网页防篡改1.0排错及常见问题
常见的防篡改问题有如下两种 1、防篡改状态显示“故障”； 2、网页防篡改无效。
7.收到的短信或邮件篡改提醒怎么这么多？
网站本身就存在很多动态网页元素，却 使用了精确匹配模式 AF网站防篡改，模糊模式，总是报验 证码被篡改图片。验证码这个东西每次 都会变，不需要防篡“直接排除掉”
8.AF支持防护HTTPS站点么？ 1.AF能不能做https网站的防篡改？ 此功能需要ssl卸载做内容解密，AF不支持，所以AF就不支持https站 点的防护。
配置完成后可以看到抓取了33个缓存页面。
3、图片篡改还原
访问网站首页上方大图为：http://10.10.2.170/images/header.jpg。删除 header.jpg并上传一张本地篡改后的header.jpg，清空浏览器缓存，并再次访问 网站，可见网页并未被篡改，查看NGAF控制台，发现有篡改提示，点击“篡改 网页”，可以看到是/images/header.jpg被篡改，说明防篡改作用生效。
2.2版本及之前版本的错误部署模式
在2.2R1版本以后的不管是哪个部署模式都OK
2、网页防篡改无效 路由模式部署并DNAT发布服务器，服务器的url配置为外网IP，而 域名IP对应关系中，又配置外网IP对应内网服务器真实IP时可能出现。故 路由模式DNAT发布服务器场景下，请务必配置服务器URL和IP对应关系 都为内网IP。