来源丨GitHub科技
文章插图
SSL VPN技术
文章插图
文章插图
SSl协议支队通信双方传输的应用数据进行加密，而不是对从一个主机到另一个主机的所有数据进行加密 。
IPSec缺陷
由于IPSec是基于网络层的协议，很难穿越NAT和防火墙，特别是在接入一些防护措施较为严格的个人网络和公共计算机时，往往会导致访问受阻 。移动用户使用IPSec VPN需要安装专用的客户端软件，为日益增长的用户群发放、安装、配置、维护客户端软件已经使管理员不堪重负 。因此，IPSec VPN在Point- to-Site远程移动通信方面并不适用 。
SSL VPN功能技术
虚拟网关
文章插图
每个虚拟网关都是独立可管理的，可以配置各自的资源、用户、认证方式、访问控制规则以及管理员等 。
当企业有多个部门时，可以为每个部门或者用户群体分配不同的虚拟网关，从而形成完全隔离的访问体系 。
WEB代理
文章插图
它将远端浏览器的页面请求(采用https协议)转发给web服务器，然后将服务器的响应回传给终端用户，提供细致到URL的权限控制，即可控制到用户对某一张具体页面的访问 。
web代理实现对内网Web资源的安全访问：
Web代理有两种实现方式：
Web-Link和Web改写（默认） 。
- Web-link采用ActiveX控件方式，对页面进行转发 。
- Web改写方式采用脚本改写方式，将请求所得页面上的链接进行改写，其他网页内容不作修改 。
文章插图
从业务交互流程可以看出，Web代理功能的基本实现原理是将远程用户访问Web Server的过程被分成了两个阶段 。首先是远程用户与NGFW虛拟网关之间建立HTTPS会话，然后NGFW虚拟网关再与Web Server建立HTTP会话 。虚拟网关在远程用户访问企业内网Web Server中起到了改写、转发Web请求的作用 。
文件共享
文章插图
文件共享实现过程
文章插图
- 客户端向内网文件服务器发起HTTPS格式的请求，发送到USG防火墙 。
- USG防火墙将HTTPS格式的请求报文转换为SMB格式的报文 。
- USG防火墙发送SMB格式的请求报文给文件服务器 。
- 文件服务器接受请求报文，将请求结果发送给USG防火墙，用的是SMB报文 。
- USG防火墙将SMB应答报文转换为HTTPS格式 。
- 将请求结果(HTTPS格式的报文)发送到客户端 。
提供丰富的内网TCP应用服务 。
广泛支持静态端口的TCP应用：
- 单端口单服务器（如：Telnet，SSH，MS RDP，VNC等） 。
- 单端口多服务器（如：Lotus Notes） 。
- 多端口多服务器（如：Outlook） 。
- 动态端口（如：FTP，Oracle） 。
端口转发实现原理
文章插图
端口转发特点
- 实现对内网TCP应用的广泛支持 。
- 远程桌面、outlook、Notes、FTP等 。
- 所有数据流都经过加密认证 。
- 对用户进行统一的授权、认证 。
- 提供对TCP应用的访问控制 。
- 只需标准浏览器，不用安装客户端 。
文章插图
- 分离模式：用户可以访问远端企业内网(通过虚拟网卡)和本地局域网(通过实际网卡)，不能访问Internet 。
- 全路由模式：用户只允许访问远端企业内网(通过虚拟网卡)，不能访问Internet和本地局域网 。
- 手动模式：用户可以访问远端企业内网特定网段的资源(通过虚拟网卡)，对其它Internet和本地局域网的访问不受影响(通过实际网卡) 。网段冲突时优先访问远端企业内网 。
推荐阅读
- 玫瑰花茶用什么温度的水泡,喝玫瑰花茶有什么好处
- 雪菊跟什么起泡最佳,饮用芙蓉花茶的5条禁忌
- Apache Ignite 内存速度级的分布式数据库
- 洋甘菊花草茶的功效与作用,洋甘菊的功效和作用
- 喝茉莉花茶的危害,茉莉花茶如何喝
- 怎样自制桃罐头
- 葛花茶的禁忌有哪些,玫瑰花茶的功效与禁忌有哪些
- 青蛙烧丝瓜的做法大全
- 茄子丝瓜的做法大全
- 花茶是好东西,花茶的讲究
