实验演示使用网络拓扑图如下。
图5.17 SSL VPN基于IOS路由器实验拓扑图
1．基本配置
? 路由器R1的配置如下。
R1(config)# int F0/0
R1(config-if)# no shut
R1(config-if)# ip add 10.10.1.254 255.255.255.0
R1(config-if)# int S1/0
R1(config-if)# no shut
R1(config-if)# ip add 200.1.1.1 255.255.255.252
R1(config)# ip route 0.0.0.0 0.0.0.0 S1/0
? 路由器ISP的配置如下。
ISP(config)# int F0/0
ISP(config-if)# no shut
ISP(config-if)# ip add 200.2.2.2 255.255.255.252
ISP(config)# int S1/0
ISP(config-if)# no shut
ISP(config-if)# ip add 200.1.1.2 255.255.255.252
ISP(config)# int F2/0
ISP(config-if)# no shut
ISP(config-if)# ip add 200.3.3.2 255.255.255.252
? 服务器In安装Windows 2003系统，启用远程桌面。
? 服务器Out安装Windows 2003系统，搭建网站www.isp.com，配置DNS，新建区域isp.com，并能够解析www.isp.com。
? 主机PC1安装Windows XP系统，配置DNS指向200.3.3.1。
? 测试。
主机PC1可以ping通200.1.1.1。
主机PC1可以访问网站www.isp.com，但不能通过远程桌面登录到服务器In。
2．SSL VPN服务器R1的配置
? 安装SVC软件sslclient-win-1.1.3.173.pkg。
R1#format flash:
R1#copy tftp flash:
R1(config)#webvpn install svc flash:/sslclient-win-1.1.3.173.pkg
SSLVPN Package SSL-VPN-Client : installed successfully
? 定义AAA，创建SSL VPN用户。
R1(config)#aaa new-model
R1(config)#aaa authentication login vpn_authen local
R1(config)#username cisco password cisco
? 启用WebVPN，产生自签名证书。
R1(config)#webvpn gateway vpn_gateway //定义WebVPN虚拟网关，路由器会自动产生自签名证书
R1(config-webvpn-gateway)#ip address 200.1.1.1 port 443
R1(config-webvpn-gateway)#inservice //启用WebVPN虚拟网关
R1(config-webvpn-gateway)#exit
? 定义IP地址池。
R1(config)#ip local pool vpn_pool 192.168.1.1 192.168.1.200
//IP地址池与内网10.10.1.0不在同一网段，需要创建一个Loopback接口
R1(config)#int lo0
R1(config-if)#ip address 192.168.1.254 255.255.255.0
R1(config-if)#exit
? 建立WebVPN环境。
R1(config)#webvpn context vpn_context //相当于ASA中的tunnel-group
R1(config-webvpn-context)#gateway vpn_gateway domain group1 //将网关与context相关联
R1(config-webvpn-context)#aaa authentication list vpn_authen
R1(config-webvpn-context)#inservice //启用WebVPN环境
R1(config-webvpn-context)#exit
? 定义组策略。
R1(config)#webvpn context vpn_context
R1(config-webvpn-context)#policy group vpn_group_policy
R1(config-webvpn-group)#functions svc-enabled //启用SVC
R1(config-webvpn-group)#svc address-pool vpn_pool
R1(config-webvpn-group)#svc split include 10.10.1.0 255.255.255.0 //分离隧道
R1(config-webvpn-group)#exit
R1(config-webvpn-context)#default-group-policy vpn_group_policy //指定默认的组策略
R1(config-webvpn-context)#exit
3．SSL VPN客户端的配置
在客户端主机PC1的浏览器中输入https://200.1.1.1/group1，出现登录界面，如图 5.18所示。
图5.18 基于IOS路由器的SSL VPN客户端登录界面
输入用户名和密码登录后，自动安装SSL VPN Client，然后安装证书，安装完成后会自动建立VPN连接，连接成功后在屏幕右下角的任务栏会显示一个***的小钥匙标志。
4．测试
（1）使用ipconfig /all命令查看主机PC1的IP配置，增加了“本地连接 2”。
Ethernet adapter 本地连接 2:
Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Cisco Systems VPN Adapter
Physical Address. . . . . . . . . : 00-05-9A-3C-78-00
Dhcp Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.1.1
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . :
（2）主机PC1可以ping通10.10.1.1，可以通过远程桌面登录到服务器In。
（3）由于配置了分离隧道，主机PC1可以在连接VPN期间同时访问网站www.isp.com。
（4）查看VPN会话信息。
R1#sh webvpn session context all
WebVPN context name: vpn_context
Client_Login_Name Client_IP_Address No_of_Connections Created Last_Used
cisco 200.2.2.1 1 00:10:11 00:01:58