国家 / 地区

12-安全命令参考

15-SSL VPN命令

本章节下载  (471.28 KB)

docurl=/cn/Service/Document_Software/Document_Center/Routers/Catalog/MSR_Winet/H3C_MSR_810_WiNet/Command/Command_Manual/H3C_MSR_WiNet_CR(V7)-R0605-6W200/12/201911/1244969_30005_0.htm

15-SSL VPN命令

目  录

1 SSL VPN

1.1 SSL VPN配置命令

1.1.1 aaa domain

1.1.2 bandwidth

1.1.3 certificate-authentication enable

1.1.4 content-type

1.1.5 default

1.1.6 default-policy-group

1.1.7 description (shortcut view)

1.1.8 description (SSL VPN interface view)

1.1.9 display interface sslvpn-ac

1.1.10 display sslvpn context

1.1.11 display sslvpn gateway

1.1.12 display sslvpn policy-group

1.1.13 display sslvpn port-forward connection

1.1.14 display sslvpn session

1.1.15 dynamic-password enable

1.1.16 emo-server

1.1.17 exclude

1.1.18 execution (port forwarding item view)

1.1.19 execution (shortcut view)

1.1.20 file-policy

1.1.21 filter ip-tunnel acl

1.1.22 filter ip-tunnel uri-acl

1.1.23 filter tcp-access acl

1.1.24 filter tcp-access uri-acl

1.1.25 filter web-access acl

1.1.26 filter web-access uri-acl

1.1.27 force-logout

1.1.28 force-logout max-onlines enable

1.1.29 gateway

1.1.30 heading

1.1.31 http-redirect

1.1.32 include

1.1.33 interface sslvpn-ac

1.1.34 ip address

1.1.35 ipv6 address

1.1.36 ip-route-list

1.1.37 ip-tunnel access-route

1.1.38 ip-tunnel address-pool

1.1.39 ip-tunnel dns-server

1.1.40 ip-tunnel interface

1.1.41 ip-tunnel keepalive

1.1.42 ip-tunnel wins-server

1.1.43 local-port

1.1.44 log resource-access enable

1.1.45 log user-login enable

1.1.46 login-message

1.1.47 logo

1.1.48 max-onlines

1.1.49 max-users

1.1.50 message-server

1.1.51 mtu

1.1.52 new-content

1.1.53 old-content

1.1.54 policy-group

1.1.55 port-forward

1.1.56 port-forward-item

1.1.57 reset counters interface sslvpn-ac

1.1.58 resources port-forward

1.1.59 resources port-forward-item

1.1.60 resources shortcut

1.1.61 resources shortcut-list

1.1.62 resources url-list

1.1.63 rewrite-rule

1.1.64 rule

1.1.65 service enable (SSL VPN context view)

1.1.66 service enable (SSL VPN gateway view)

1.1.67 session-connections

1.1.68 shortcut

1.1.69 shortcut-list

1.1.70 shutdown

1.1.71 ssl server-policy

1.1.72 sslvpn context

1.1.73 sslvpn gateway

1.1.74 sslvpn ip address-pool

1.1.75 sms-imc address

1.1.76 sms-imc enable

1.1.77 ssl client-policy

1.1.78 timeout idle

1.1.79 title

1.1.80 uri-acl

1.1.81 url (file policy view)

1.1.82 url (url list view)

1.1.83 url-list

1.1.84 verify-code

1.1.85 vpn-instance (SSL VPN context view)

1.1.86 vpn-instance (SSL VPN gateway view)

 


1 SSL VPN

设备各款型对于本节所描述的特性支持情况有所不同,详细差异信息如下:

型号

特性

描述

MSR810/810-W/810-W-DB/810-LM/810-W-LM/810-10-PoE/810-LM-HK/810-W-LM-HK/810-LMS/810-LUS

SSL VPN

仅810-LMS/810-LUS不支持

MSR2600-10-X1

不支持

MSR 2630

支持

MSR3600-28/3600-51

支持

MSR3600-28-SI/3600-51-SI

不支持

MSR3610-X1/3610-X1-DP/3610-X1-DC/3610-X1-DP-DC

支持

MSR 3610/3620/3620-DP/3640/3660

支持

MSR5620/5660/5680

不支持

 

1.1  SSL VPN配置命令

1.1.1  aaa domain

aaa domain命令用来配置SSL VPN访问实例使用指定的ISP域进行AAA认证。

undo aaa domain命令用来恢复缺省情况。

【命令】

aaa domain domain-name

undo aaa domain

【缺省情况】

SSL VPN访问实例使用缺省的ISP域进行认证。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

domain-name:ISP域名称,为1~255个字符的字符串,不区分大小写,不能包括“/”、“\”、“|”、“””、“:”、“*”、“?”、“<”、“>”以及“@”字符,且不能为字符串“d”、“de”、“def”、“defa”、“defau”、“defaul”、“default”、“i”、“if”、“if-”、“if-u”、“if-un”、“if-unk”、“if-unkn”、“if-unkno”、“if-unknow”和“if-unknown”。

【使用指导】

SSL VPN用户的用户名中不能携带所属ISP域信息。配置本命令后,SSL VPN用户将采用指定ISP域内的认证、授权、计费方案对SSL VPN用户进行认证、授权和计费。

【举例】

# 配置SSL VPN访问实例使用ISP域myserver进行AAA认证。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] aaa domain myserver

1.1.2  bandwidth

bandwidth命令用来配置接口的期望带宽。

undo bandwidth命令用来恢复缺省情况。

【命令】

bandwidth bandwidth-value

undo bandwidth

【缺省情况】

接口的期望带宽为64kbps。

【视图】

SSL VPN AC接口视图

【缺省用户角色】

network-admin

【参数】

bandwidth-value:接口的期望带宽,取值范围为1~400000000,单位为kbps。

【使用指导】

接口的期望带宽会对下列内容有影响:

·     CBQ队列带宽。具体介绍请参见“ACL和QoS配置指导”中的“拥塞管理”。

·     链路开销值。具体介绍请参见“三层技术-IP路由配置指导”中的“OSPF”、“OSPFv3”和“IS-IS”。

【举例】

# 配置接口SSL VPN AC 1000的期望带宽为10000kbps。

<Sysname> system-view

[Sysname] interface sslvpn-ac 1000

[Sysname-SSLVPN-AC1000] bandwidth 10000

1.1.3  certificate-authentication enable

certificate-authentication enable命令用来开启证书认证功能。

undo certificate-authentication enable命令用来关闭证书认证功能。

【命令】

certificate-authentication enable

undo certificate-authentication enable

【缺省情况】

证书认证功能处于关闭状态。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【使用指导】

开启证书认证功能后,需要同时在SSL服务器端策略视图下执行client-verify enable命令。SSL VPN网关会对SSL客户端(SSL VPN用户)进行基于数字证书的身份验证,并检查SSL VPN用户的用户名是否与SSL VPN用户的数字证书中的用户名信息一致。若不一致,则认证不通过,不允许SSL VPN用户登录。

【举例】

# 开启SSL VPN访问实例的证书认证功能。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] certificate-authentication enable

【相关命令】

·     client-verify enable(安全命令参考/SSL)

1.1.4  content-type

content-type命令用来配置改写的文件类型。

undo content-type命令用来恢复缺省情况。

【命令】

content-type { css | html | javascript | other }

undo content-type

【缺省情况】

未配置文件改写类型,设备根据解析HTTP响应报文获得的文件类型对网页文件进行改写。

【视图】

文件策略视图

【缺省用户角色】

network-admin

【参数】

css:表示按照css文件类型进行改写。

html:表示按照html文件类型进行改写。

javascript:表示按照JavaScript文件类型进行改写。

other:表示文件类型为css、html、JavaScript之外的其他文件类型,不对网页文件进行改写。

【使用指导】

在对网页文件改写的过程中,设备会按照配置的文件类型对网页文件进行改写。如果配置的改写类型与报文中的文件类型不一致,则文件改写将会不准确。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置按照html文件类型进行改写。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] file-policy fp

[Sysname-sslvpn-context-ctx-file-policy-fp] content-type html

1.1.5  default

default命令用来恢复当前接口的缺省配置。

【命令】

default

【视图】

SSL VPN AC接口视图

【缺省用户角色】

network-admin

【使用指导】

接口下的某些配置恢复到缺省情况后,会对设备上当前运行的业务产生影响。建议您在执行该命令前,完全了解其对网络产生的影响。

可以在执行default命令后通过display this命令确认执行效果。对于未能成功恢复缺省的配置,建议您查阅相关功能的命令手册,手工执行恢复该配置缺省情况的命令。如果操作仍然不能成功,您可以通过设备的提示信息定位原因。

【举例】

# 将接口SSL VPN AC 1000恢复为缺省配置。

<Sysname> system-view

[Sysname] interface sslvpn-ac 1000

[Sysname-SSLVPN-AC1000] default

This command will restore the default settings. Continue? [Y/N]:y

1.1.6  default-policy-group

default-policy-group命令用来指定缺省策略组。

undo default-policy-group命令用来恢复缺省情况。

【命令】

default-policy-group group-name

undo default-policy-group

【缺省情况】

未指定缺省策略组。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

group-name:策略组名称,为1~31个字符的字符串,不区分大小写,支持输入中文字符。

【使用指导】

一个SSL VPN访问实例下可以配置多个策略组。远端接入用户访问SSL VPN访问实例时,AAA服务器将授权给该用户的策略组信息下发给SSL VPN网关。该用户可以访问的资源由授权的策略组决定。如果AAA服务器没有为该用户进行授权,则用户可以访问的资源由缺省策略组决定。

本命令中指定的策略组必须为已经通过policy-group命令创建的策略组。

【举例】

# 指定名为pg1的策略组为缺省策略组。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] policy-group pg1

[Sysname-sslvpn-context-ctx1-policy-group-pg1] quit

[Sysname-sslvpn-context-ctx1] default-policy-group pg1

【相关命令】

·     display sslvpn context

·     policy-group

1.1.7  description (shortcut view)

description命令用来配置快捷方式的描述信息。

undo description命令用来恢复缺省情况。

【命令】

description text

undo description

【缺省情况】

未配置快捷方式的描述信息。

【视图】

快捷方式视图

【缺省用户角色】

network-admin

【参数】

text:快捷方式的描述信息,为1~63个字符的字符串,区分大小写。

【使用指导】

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置快捷方式shortcut1的描述信息。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] shortcut shortcut1

[Sysname-sslvpn-context-ctx1-shortcut-shortcut1] description shortcut1

1.1.8  description (SSL VPN interface view)

description命令用来配置当前接口的描述信息。

undo description命令用来恢复缺省情况。

【命令】

description text

undo description

【缺省情况】

接口的描述信息为“接口名 Interface”,例如:SSLVPN-AC1000 Interface。

【视图】

SSL VPN AC接口视图

【缺省用户角色】

network-admin

【参数】

text:接口的描述信息,为1~255个字符的字符串,区分大小写。

【使用指导】

当设备上存在多个接口时,可以根据接口的连接信息或用途来配置接口的描述信息,以便区别和管理各接口。

本命令仅用于标识某接口,并无特别的功能。使用display interface等命令可以看到设置的描述信息。

【举例】

# 配置接口SSL VPN AC 1000的描述信息为“SSL VPN A”。

<Sysname> system-view

[Sysname] interface sslvpn-ac 1000

[Sysname-SSLVPN-AC1000] description SSL VPN A

1.1.9  display interface sslvpn-ac

display interface sslvpn-ac命令用来显示SSL VPN AC接口的相关信息。

【命令】

display interface sslvpn-ac [ interface-number ] [ brief [ description | down ] ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

sslvpn-ac interface-number:显示指定SSL VPN AC接口的相关信息。interface-number表示SSL VPN AC接口的编号,取值范围为0~4095。如果不指定interface-number,则显示所有SSL VPN AC接口的信息。

brief:显示接口的概要信息。如果不指定该参数,则显示接口的详细信息。

description:用来显示用户配置的接口的全部描述信息。如果某接口的描述信息超过27个字符,不指定该参数时,只显示描述信息中的前27个字符,超出部分不显示;指定该参数时,可以显示全部描述信息。

down:显示当前物理状态为down的接口的信息以及down的原因。如果不指定该参数,则不会根据接口物理状态来过滤显示信息。

【举例】

# 显示接口SSL VPN AC 1000的相关信息。

<Sysname> display interface sslvpn-ac 1000

SSLVPN-AC1000

Current state: UP

Line protocol state: DOWN

Description: SSLVPN-AC1000 Interface

Bandwidth: 64kbps

Maximum transmission unit: 1500

Internet protocol processing: Disabled

Link layer protocol is SSLVPN

Last clearing of counters: Never

Last 300 seconds input rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Last 300 seconds output rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Input: 0 packets, 0 bytes, 0 drops

Output: 0 packets, 0 bytes, 0 drops

表1-1 display interface sslvpn-ac命令显示信息描述表

字段

描述

SSLVPN-AC1000

接口SSL VPN AC 1000的相关信息

Current state

接口的物理状态和管理状态,取值包括:

·     Administratively DOWN:表示该接口已经通过shutdown命令被关闭,即管理状态为关闭

·     DOWN:该接口的管理状态为开启,但物理状态为关闭

·     UP:该接口的管理状态和物理状态均为开启

Line protocol state

接口的链路层协议状态,取值包括:

·     UP:表示该接口的链路层协议状态为开启

·     UP (spoofing):表示该接口的链路层协议状态为开启,但实际可能没有对应的链路,或者所对应的链路不是永久存在而是按需建立。通常NULL、LoopBack等接口会具有该属性

·     DOWN:表示该接口的链路层协议状态为关闭

Description

接口的描述信息

Bandwidth

接口的期望带宽,单位为kbps

Maximum transmission unit

接口的最大传输单元

Internet protocol processing

接口的IP地址。如果没有为接口配置IP地址,则该字段显示为Internet protocol processing: Disabled,表示不能处理IP报文

Primary表示该IP地址为接口的主IP地址

Link layer protocol

链路层协议类型

Last clearing of counters

最近一次使用reset counters interface命令清除接口下的统计信息的时间(如果从设备启动一直没有执行reset counters interface命令清除过该接口下的统计信息,则显示Never)

Last 300 seconds input rate

最近300秒钟的平均输入速率:bytes/sec表示平均每秒输入的字节数,bits/sec表示平均每秒输入的比特数,packets/sec表示平均每秒输入的包数

Last 300 seconds output rate

最近300秒钟的平均输出速率:bytes/sec表示平均每秒输出的字节数,bits/sec表示平均每秒输出的比特数,packets/sec表示平均每秒输出的包数

Input: 0 packets, 0 bytes, 0 drops

总计输入的报文数,总计输入的字节,总计丢弃的输入报文数

Output: 0 packets, 0 bytes, 0 drops

总计输出的报文数,总计输出的字节,总计丢弃的输出报文数

 

# 显示所有SSL VPN AC类型接口的概要信息。

<Sysname> display interface sslvpn-ac brief

Brief information of interfaces in route mode:

Link: ADM - administratively down

Protocol: (s) - spoofing

Interface            Link Protocol Primary IP         Description

SSLVPN-AC1000        UP DOWN     --

# 显示接口SSL VPN AC 1000的概要信息,包括用户配置的全部描述信息。

<Sysname> display interface sslvpn-ac 1000 brief description

Brief information of interfaces in route mode:

Link: ADM - administratively down

Protocol: (s) - spoofing

Interface            Link Protocol Primary IP         Description

SSLVPN-AC1000        UP    UP      1.1.1.1            SSLVPN-AC1000 Interface

# 显示当前状态为down的接口的信息以及DOWN的原因。

<Sysname> display interface sslvpn-ac brief down

Brief information on interfaces in route mode:

Link: ADM - administratively down

Interface            Link Cause

SSLVPN-AC1000        ADM

SSLVPN-AC1001        ADM

表1-2 display interface brief命令显示信息描述表

字段

描述

Brief information of interfaces in route mode:

三层模式下(route)的接口的概要信息,即三层接口的概要信息

Link: ADM - administratively down;

如果某接口的Link属性值为“ADM”,则表示该接口被管理员通过shutdown命令关闭,需要在该接口下执行undo shutdown命令才能恢复接口本身的物理状态

Protocol: (s) - spoofing

如果某接口的Protocol属性值中带有“(s)”字符串,则表示该接口的网络层协议状态显示是UP的,但实际可能没有对应的链路,或者所对应的链路不是永久存在而是按需建立

Interface

接口名称缩写

Link

接口物理连接状态,取值包括:

·     UP:表示本链路物理上是连通的

·     DOWN:表示本链路物理上是不通的

·     ADM:表示本链路被管理员通过shutdown命令关闭,需要执行undo shutdown命令才能恢复真实的物理状态

Protocol

接口的链路层协议状态,取值包括:

·     UP:表示该接口的链路层协议状态为开启

·     UP (s):表示该接口的链路层协议状态为开启,但实际可能没有对应的链路,或者所对应的链路不是永久存在而是按需建立。通常NULL、LoopBack等接口会具有该属性

·     DOWN:表示该接口的链路层协议状态为关闭

Primary IP

接口主IP地址

Description

接口的描述信息

Cause

接口物理连接状态为down的原因,取值为:

·     Administratively:表示本链路被手工关闭了(配置了shutdown命令),需要执行undo shutdown命令才能恢复真实的物理状态

·     Not connected:表示物理层不通

 

【相关命令】

·     reset counters interface

1.1.10  display sslvpn context

display sslvpn context命令用来显示SSL VPN访问实例的信息。

【命令】

display sslvpn context [ brief | name context-name ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

brief:显示所有SSL VPN访问实例的简要信息。如果不指定本参数,则显示SSL VPN访问实例的详细信息。

name context-name:显示指定SSL VPN访问实例的详细信息。context-name表示SSL VPN访问实例名称,为1~31个字符的字符串,只能包含字母、数字、下划线,不区分大小写。如果不指定本参数,则显示所有SSL VPN访问实例的信息。

【举例】

# 显示所有SSL VPN访问实例的详细信息。

<Sysname> display sslvpn context

Context name: ctx1

  Operation state: Up

  AAA domain: domain1

  Certificate authentication: Enabled

  Dynamic password: Enabled

  Code verification: Enabled

  Default policy group not configured

    Associated SSL VPN gateway: gw1

    Domain name: 1

  Associated SSL VPN gateway: gw2

    Virtual host: abc.com

  Associated SSL VPN gateway: gw3

  SSL client policy configured: ssl1

  SSL client policy in use: ssl

  Maximum users allowed: 200

  VPN instance:vpn1

  Idle timeout: 30 min

 

Context name: ctx2

  Operation state: Down

Down reason: Administratively down

  AAA domain not specified

  Certificate authentication: Disabled

  Dynamic password: Disabled

  Code verification: Disabled

  Default group policy: gp

  Associated SSL VPN gateway: -

  SSL client policy configured: ssl1

  SSL client policy in use: ssl

  Maximum users allowed: 200

  VPN instance not configured

  Idle timeout: 50 min

  Address pool: Conflicted with an IP address on the device

表1-3 display sslvpn context命令显示信息描述表

字段

描述

Context name

SSL VPN访问实例的名称

Operation state

SSL VPN访问实例的操作状态,取值包括:

·     Up:SSL VPN访问实例处于运行状态

·     Down:SSL VPN访问实例未处于运行状态

Down reason

SSL VPN访问实例处于down状态的原因,取值包括:

·     Administratively down:管理down,即未通过service enable命令开启SSL VPN访问实例

·     No gateway associated:SSL VPN访问实例未引用SSL VPN网关

AAA domain

SSL VPN访问实例使用的ISP域

Certificate authentication

SSL VPN访问实例是否开启证书认证功能

Dynamic password

SSL VPN访问实例是否开启动态口令验证功能

Code verification

SSL VPN访问实例是否开启验证码验证功能

Default policy group

SSL VPN访问实例使用的缺省策略组

Associated SSL VPN gateway

SSL VPN访问实例引用的SSL VPN网关

Domain name

SSL VPN访问实例的域名

Virtual host

SSL VPN访问实例的虚拟主机名称

SSL client policy configured

配置的SSL客户端策略名称。配置的SSL客户端策略在重启SSL VPN访问实例后才能生效

SSL client policy in use

生效的SSL客户端策略名称

Maximum users allowed

SSL VPN访问实例的最大用户会话数

VPN instance

SSL VPN访问实例关联的VPN实例

Idle timeout

SSL VPN会话可以保持空闲状态的最长时间,单位为分钟

Address pool: Conflicted with an IP address on the device

检测到SSL VPN访问实例IP地址冲突

 

# 显示所有SSL VPN访问实例的简要信息。

<Sysname> display sslvpn context brief

Context name   Admin   Operation   VPN instance   Gateway   Domain/VHost

ctx1           Down    Down        -              -         -/-        

ctx2           Up      Up          -              gw2       abc.com     

表1-4 display sslvpn context brief命令显示信息描述表

字段

描述

Context name

SSL VPN访问实例的名称

Admin

SSL VPN访问实例的管理状态,取值包括:

·     up:已通过service enable命令开启SSL VPN访问实例

·     down:未通过service enable命令开启SSL VPN 访问实例

Operation

SSL VPN访问实例的操作状态,取值包括:

·     up:SSL VPN访问实例处于运行状态

·     down:SSL VPN访问实例未处于运行状态

VPN instance

SSL VPN访问实例关联的VPN实例

Gateway

SSL VPN访问实例引用的SSL VPN网关

Domain/VHost

SSL VPN访问实例的域名或虚拟主机名称

 

1.1.11  display sslvpn gateway

display sslvpn gateway命令用来显示SSL VPN网关的信息。

【命令】

display sslvpn gateway [ brief | name gateway-name ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

brief:显示所有SSL VPN网关的简要信息。如果不指定本参数,则显示SSL VPN网关的详细信息。

name gateway-name:显示指定SSL VPN网关的详细信息。gateway-name表示SSL VPN网关名称,为1~31个字符的字符串,只能包含字母、数字、下划线,不区分大小写。如果不指定本参数,则显示所有SSL VPN网关的信息。

【举例】

# 显示所有SSL VPN网关的详细信息。

<Sysname> display sslvpn gateway

Gateway name: gw1

  Operation state: Up

  IP: 192.168.10.75  port: 443

  HTTP redirect port: 80

  SSL server policy configured: ssl1

  SSL server policy in use: ssl

  Front VPN instance: vpn1

 

Gateway name: gw2

  Operation state: Down

  Down reason: Administratively down

  IP: 0.0.0.0  Port: 443

  SSL server policy configured: ssl1

  SSL server policy in use: ssl

  Front VPN instance: Not configured

 

Gateway name: gw3

  Operation state: Up

  IPv6: 3000::2  Port: 443

  SSL server policy configured: ssl1

  SSL server policy in use: ssl

  Front VPN instance: Not configured

表1-5 display sslvpn gateway命令显示信息描述表

字段

描述

Gateway name

SSL VPN网关的名称

Operation state

SSL VPN网关的操作状态,取值包括:

·     Up:SSL VPN网关处于运行状态

·     Down:SSL VPN网关未处于运行状态

Down reason

SSL VPN网关处于down状态的原因,取值包括:

·     Administratively down:管理down,即没有通过service enable命令开启SSL VPN网关

·     VPN instance not exist:SSL VPN网关所属的VPN实例不存在

·     Applying SSL server-policy failed:为SSL VPN网关应用SSL服务器端策略失败

IP

SSL VPN网关的IPv4地址

IPv6

SSL VPN网关的IPv6地址

Port

SSL VPN网关的端口号

HTTP redirect port

HTTP重定向端口号

SSL server policy configured

配置的SSL服务器端策略名称。配置的SSL服务器端策略在重启SSL VPN网关后才能生效

SSL server policy in use

生效的SSL服务器端策略名称

Front VPN instance

前端VPN实例名称,即SSL VPN网关所属的VPN实例名称

 

# 显示所有SSL VPN网关的简要信息。

<Sysname> display sslvpn gateway brief

Gateway name                    Admin  Operation

gw1                             Up     Up

gw2                             Down   Down (Administratively down)

gw3                             Up     Up

表1-6 display sslvpn gateway brief命令显示信息描述表

字段

描述

Gateway name

SSL VPN网关的名称

Admin

SSL VPN网关的管理状态,取值包括:

·     Up:已通过service enable命令开启SSL VPN网关

·     Down:未通过service enable命令开启SSL VPN网关

Operation

SSL VPN网关的操作状态,取值包括:

·     Up:SSL VPN网关处于运行状态

·     Down (Administratively down):管理down,即没有通过service enable命令开启SSL VPN网关

·     Down (VPN instance not exist):SSL VPN网关所属的VPN实例不存在

·     Down (Applying SSL server-policy failed):为SSL VPN网关应用SSL服务器端策略失败

 

1.1.12  display sslvpn policy-group

display sslvpn policy-group命令用来显示指定策略组的信息。

【命令】

display sslvpn policy-group group-name [ context context-name ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

group-name:策略组名称,为1~31个字符的字符串,不区分大小写,支持输入中文字符。

context context-name:显示指定SSL VPN访问实例下的指定策略组的信息。context-name表示SSL VPN访问实例的名称,为1~31个字符的字符串,只能包含字母、数字、下划线,不区分大小写。如果不指定本参数,则显示所有SSL VPN访问实例下的指定名称的策略组信息。

【举例】

# 显示所有SSL VPN访问实例下名称为pg1的策略组的信息。

<Sysname> display sslvpn policy-group pg1

Group policy: pg1

  Context: context1

   Idle timeout: 35 min

 

  Context: context2

   Idle timeout: 40 min

表1-7 display sslvpn policy-group命令显示信息描述表

字段

描述

Group policy

策略组名称

Context

SSL VPN访问实例名称

Idle timeout

SSL VPN会话可以保持空闲状态的最长时间,单位为分钟

 

1.1.13  display sslvpn port-forward connection

display sslvpn port-forward connection命令用来显示TCP端口转发的连接信息。

【命令】

集中式设备-独立运行模式:

display sslvpn port-forward connection [ context context-name ]

集中式设备-IRF模式:

display sslvpn port-forward connection [ context context-name ] [ slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

context context-name:显示指定SSL VPN访问实例下的TCP端口转发连接信息。context-name 表示SSL VPN访问实例名称,为1~31个字符的字符串,只能包含字母、数字、下划线,不区分大小写。如果不指定本参数,则显示所有SSL VPN访问实例下的TCP端口转发连接信息。

slot slot-number:显示指定成员设备的SSL VPN访问实例下的TCP端口转发连接信息。slot-number表示设备在IRF中的成员编号。如果未指定本参数,则显示所有成员设备上的SSL VPN访问实例下的TCP端口转发连接信息。(集中式设备-IRF模式)

【举例】

# 显示所有SSL VPN访问实例下TCP端口转发的连接信息。(集中式设备-独立运行模式)

<Sysname> display sslvpn port-forward connection

SSL VPN context  : ctx1

  Client address : 192.0.2.1

  Client port    : 1025

  Server address : 192.168.0.39

  Server port    : 80

  Status         : Connected

SSL VPN context  : ctx2

  Client address : 3000::983F:7A36:BD06:342D

  Client port    : 56190

  Server address : 300::1

  Server port    : 23

  Status         : Connecting

# 显示所有SSL VPN访问实例下TCP端口转发的连接信息。(集中式设备-IRF模式)

<Sysname> display sslvpn port-forward connection

SSL VPN context  : ctx1

  Client address : 192.0.2.1

  Client port    : 1025

  Server address : 192.168.0.39

  Server port    : 80

  Slot           : 1

  Status         : Connected

SSL VPN context  : ctx2

  Client address : 3000::983F:7A36:BD06:342D

  Client port    : 56190

  Server address : 300::1

  Server port    : 23

  Slot           : 1

  Status         : Connecting

表1-8 display sslvpn port-forward connection命令显示信息描述表

字段

描述

Client address

SSL VPN客户端的IPv4/IPv6地址

Client port

SSL VPN客户端的本地端口号

Server address

企业网内服务器的IPv4/IPv6地址

Server port

企业网内服务器的端口号

Slot

设备在IRF中的成员编号(集中式设备-IRF模式)

Status

连接状态,取值包括:

·     Connected:连接成功

·     Connecting:正在连接

 

1.1.14  display sslvpn session

display sslvpn session命令用来显示SSL VPN会话信息。

【命令】

display sslvpn session [ context context-name ] [ user user-name | verbose ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

context context-name:显示指定SSL VPN访问实例下的SSL VPN会话的简要信息。context-name表示SSL VPN访问实例名称,为1~31个字符的字符串,只能包含字母、数字、下划线,不区分大小写。如果不指定本参数,则显示所有SSL VPN访问实例下的SSL VPN会话的简要信息。

user user-name:显示指定或所有SSL VPN访问实例下指定SSL VPN用户对应的SSL VPN会话的详细信息。user-name表示SSL VPN用户名称,为1~63个字符的字符串,不区分大小写。如果不指定本参数,则显示指定或所有SSL VPN访问实例下SSL VPN会话的简要信息。

verbose:显示指定或所有SSL VPN访问实例下SSL VPN会话中所有用户的详细信息。如果不指定本参数,则显示指定或所有SSL VPN访问实例下SSL VPN会话的简要信息。

【举例】

# 显示所有SSL VPN访问实例下SSL VPN会话的简要信息。

<Sysname> display sslvpn session

Total users: 4

 

SSL VPN context: ctx1

Users: 2

Username  Conn  Idle Time  Created  User IP address

user1     5     00:00:23   04:47:16 192.0.2.1

user2     5     00:00:46   04:48:36 192.0.2.2

 

SSL VPN context: ctx2

Users: 2

Username  Conn  Idle Time  Created  User IP address

user3     5     00:00:30   04:50:06 192.168.2.1

user4     5     00:00:50   04:51:16 192.168.2.2

表1-9 display sslvpn session命令简要显示信息描述表

字段

描述

Total users

所有访问实例下的总用户数目

SSL VPN context

SSL VPN访问实例名称

Users

当前访问实例下的用户数目

User name

SSL VPN会话的登录用户名称

Conn

SSL VPN会话的连接次数

Idle Time

SSL VPN会话的空闲时间

Created

SSL VPN会话的创建时间

User IP address

SSL VPN会话使用的IPv4或IPv6地址

 

# 显示SSL VPN用户user1对应的SSL VPN会话的详细信息。

<Sysname> display sslvpn session user user1

User              : user1

Context           : context1

Policy group      : pgroup

Idle timeout      : 30 min

Created at        : 13:49:27 UTC Wed 05/14/2014

Lastest           : 17:50:58 UTC Wed 05/14/2014

User IPv4 address: 192.0.2.1

Web browser/OS    : Internet Explorer

 

User              : user1

Context           : context2

Policy group      : Default

Idle timeout      : 2100 sec

Created at        : 14:15:12 UTC Wed 05/14/2014

Lastest           : 18:56:58 UTC Wed 05/14/2014

User IPv6 address : 0:30::983F:7A36:BD06:342D

Session ID        : 5

Web browser/OS    : Internet Explorer

# 显示SSL VPN会话中所有用户的详细信息。

<Sysname> display sslvpn session verbose

User              : user1

Context           : context1

Policy group      : pgroup

Idle timeout      : 30 min

Created at        : 13:49:27 UTC Wed 05/14/2014

Lastest           : 17:50:58 UTC Wed 05/14/2014

User IPv4 address : 192.0.2.1

Session ID        : 1

Web browser/OS    : Internet Explorer

 

User              : user1

Context           : context2

Policy group      : Default

Idle timeout      : 2100 sec

Created at        : 14:15:12 UTC Wed 05/14/2014

Lastest           : 18:56:58 UTC Wed 05/14/2014

User IPv6 address : 0:30::983F:7A36:BD06:342D

Session ID        : 5

Web browser/OS    : Internet Explorer

表1-10 display sslvpn session和display sslvpn session verbose命令显示信息描述表

字段

描述

User

SSL VPN用户的名称

Context

SSL VPN用户所属的SSL VPN访问实例

Policy group

SSL VPN用户使用的策略组

Idle timeout

SSL VPN超时时间

Created at

SSL VPN会话的创建时间

Lastest

用户最近一次访问时间

Allocated IP

iNode客户端分配到的IP地址,通过iNode登录的用户,会显示该字段信息

User IPv4 address

SSL VPN会话使用的IPv4地址

User IPv6 address

SSL VPN会话使用的IPv6地址

Session ID

SSL VPN会话的标识

Web browser/OS

SSL VPN登录用户所用的的浏览器或操作系统类型信息

 

1.1.15  dynamic-password enable

dynamic-password enable命令用来开启动态口令验证功能。

undo dynamic-password enable命令用来关闭动态口令验证功能。

【命令】

dynamic-password enable

undo dynamic-password enable

【缺省情况】

动态口令验证功能处于关闭状态。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【使用指导】

开启动态口令验证功能后,用户登录SSL VPN页面时,需要输入动态口令进行验证。

【举例】

# 开启动态口令验证功能。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] dynamic-password enable

1.1.16  emo-server

emo-server命令用来配置为客户端指定的EMO(Endpoint Mobile Office,终端移动办公)服务器。

undo emo-server命令用来恢复缺省情况。

【命令】

emo-server address { host-name | ipv4-address } port port-number

undo emo-server

【缺省情况】

未配置为客户端指定的EMO服务器。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

address:指定EMO服务器的主机名或IPv4地址。

host-name:EMO服务器的主机名,为1~127个字符的字符串,只能包含字母、数字、下划线、“-”和“.”,不区分大小写。

ipv4-address:EMO服务器的IPv4地址,为点分十进制格式,不能是组播、广播、环回地址。

port port-number:指定EMO服务器使用的端口号。port-number取值范围为1025~65535。

【使用指导】

EMO服务器用来为移动客户端提供服务。执行本命令后,SSL VPN网关会将配置的EMO服务器信息下发给客户端,以便客户端访问EMO服务器。

在同一个SSL VPN访问实例视图下,多次执行本命令,最后一次执行的命令生效。

【举例】

# 在名称为ctx1的SSL VPN访问实例下配置EMO服务器地址为10.10.1.1、端口号为9058。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] emo-server address 10.10.1.1 port 9058

1.1.17  exclude

exclude命令用来在路由列表中添加例外路由。

undo exclude命令用来删除路由列表中的例外路由。

【命令】

exclude ip-address { mask | mask-length }

undo exclude ip-address { mask | mask-length }

【缺省情况】

路由列表中不存在例外路由。

【视图】

路由列表视图

【缺省用户角色】

network-admin

【参数】

ip-address:路由的目的IP地址,不能是组播、广播、环回地址。

mask:路由目的地址的掩码。

mask-length:路由目的地址的掩码长度,取值范围为0~32。

【使用指导】

策略组引用路由列表后,SSL VPN网关将路由列表中的例外路由表项下发给客户端。客户端在本地添加这些路由表项,匹配这些路由表项的报文将不会被发送给SSL VPN网关。客户端报文按照最长匹配原则选择匹配的例外路由。通过配置例外路由,可以防止访问指定网段的报文通过虚拟网卡发送给SSL VPN网关,便于网络管理员灵活设置路由表项。

多次执行本命令,可以在路由列表中添加多条例外路由。

通过include命令和exclude命令指定相同的路由表项时,最后一次执行的命令生效。

【举例】

# 在路由列表rtlist下添加例外路由192.168.0.0/16。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] ip-route-list rtlist

[Sysname-sslvpn-context-ctx1-route-list-rtlist] exclude 192.168.0.0 16

【相关命令】

·     include

1.1.18  execution (port forwarding item view)

execution命令用来配置端口转发表项对应的资源。

undo execution命令用来恢复缺省情况。

【命令】

execution script

undo execution

【缺省情况】

不存在端口转发表项对应的资源。

【视图】

端口转发表项视图

【缺省用户角色】

network-admin

【参数】

script:端口转发表项对应的资源,为1~255个字符的字符串,用“url(‘url-value’)”表示。一个URL内容由协议类型、主机名称或地址、端口号、资源路径四部分组成,完整格式为“协议类型://主机名称或地址:端口号/资源路径”。

【使用指导】

每个端口转发表项只能配置一个对应的资源。配置本命令后,用户可以在Web页面上单击指定的链接访问资源。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置端口转发表项pfitem1对应的资源为url(‘http://127.0.0.1’)。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] port-forward-item pfitem1

[Sysname-sslvpn-context-ctx1-forward-item-pfitem1] execution url(‘http://127.0.0.1’)

1.1.19  execution (shortcut view)

execution命令用来配置快捷方式对应的资源。

undo execution命令用来恢复缺省情况。

【命令】

execution script

undo execution

【缺省情况】

不存在快捷方式对应的资源。

【视图】

快捷方式视图

【缺省用户角色】

network-admin

【参数】

script:快捷方式对应的资源,为1~255个字符的字符串,用“url(‘url-value’)”表示。一个URL内容由协议类型、主机名称或地址、端口号、资源路径四部分组成,完整格式为“协议类型://主机名称或地址:端口号/资源路径”。

【使用指导】

配置本命令后,用户可以在Web页面上单击指定的快捷方式访问资源。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置快捷方式shortcut1对应的资源为url(‘http://10.0.0.1’)。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] shortcut shortcut1

[Sysname-sslvpn-context-ctx1-shortcut-shortcut1] execution url(‘http://10.0.0.1’)

1.1.20  file-policy

file-policy命令用来创建文件策略,并进入文件策略视图。如果指定的文件策略已经存在,则直接进入该文件策略视图。

undo file-policy命令用来删除指定的文件策略。

【命令】

file-policy policy-name

undo file-policy policy-name

【缺省情况】

不存在文件策略。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

policy-name:文件策略名称,为1~31个字符的字符串,不区分大小写。

【使用指导】

此命令创建的文件策略用于对Web接入方式访问的Web服务器网页文件进行匹配和改写。

同一个SSL VPN访问实例视图中可以配置多个文件策略。

【举例】

# 创建名称为fp的文件策略,并进入文件策略视图。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] file-policy fp

[Sysname-sslvpn-context-ctx-file-policy-fp]

【相关命令】

·     sslvpn context

1.1.21  filter ip-tunnel acl

filter ip-tunnel acl命令用来配置对IP接入进行高级ACL过滤。

undo filter ip-tunnel acl命令用来恢复缺省情况。

【命令】

filter ip-tunnel [ ipv6 ] acl advanced-acl-number

undo filter ip-tunnel [ ipv6 ] acl

【缺省情况】

禁止所有客户端访问IP接入资源。

【视图】

SSL VPN策略组视图

【缺省用户角色】

network-admin

【参数】

ipv6:指定引用的ACL类型为IPv6 ACL。若不指定该参数,则表示引用IPv4 ACL。

acl advanced-acl-number:用来过滤IP接入报文的高级ACL的编号。advanced-acl-number表示高级ACL,取值范围为3000~3999。引用的ACL规则中不能存在VPN实例,否则该规则不生效。

【使用指导】

用户访问资源时,匹配顺序为:

(1)     进行URI ACL的规则检查,成功匹配URI ACL中permit规则后用户的访问请求才允许通过。

(2)     若URI ACL匹配失败时,再进行高级ACL的检查,成功匹配permit规则后用户的访问请求才允许通过。

(3)     若高级ACL检查失败,则授权失败,用户不允许访问资源。如果引用的ACL不存在,则SSL VPN网关拒绝所有IP接入方式的访问。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置策略组pg1通过IPv4 ACL 3000和IPv6 ACL 3500过滤IP接入方式访问。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] policy-group pg1

[Sysname-sslvpn-context-ctx1-policy-group-pg1] filter ip-tunnel acl 3000

[Sysname-sslvpn-context-ctx1-policy-group-pg1] filter ip-tunnel ipv6 acl 3500

【相关命令】

·     filter ip-tunnel uri-acl

1.1.22  filter ip-tunnel uri-acl

filter ip-tunnel uri-acl命令用来配置对IP接入进行URI ACL过滤。

undo filter ip-tunnel uri-acl命令用来取消IP接入的URI ACL过滤。

【命令】

filter ip-tunnel uri-acl uri-acl-name

undo filter ip-tunnel uri-acl

【缺省情况】

禁止所有客户端访问IP接入资源。

【视图】

SSL VPN策略组视图

【缺省用户角色】

network-admin

【参数】

uri-acl-name:URI ACL名称,为1~31个字符的字符串,不区分大小写,且必须已经存在。

【使用指导】

用户访问资源时,匹配顺序为:

(1)     进行URI ACL的规则检查,成功匹配URI ACL中permit规则后用户的访问请求才允许通过。

(2)     若URI ACL匹配失败时,再进行高级ACL的检查,成功匹配permit规则后用户的访问请求才允许通过。

(3)     若高级ACL检查失败,则授权失败,用户不允许访问资源。

配置对IP接入进行URI ACL过滤时,指定的URI ACL规则中不能包含HTTP和HTTPS协议,否则该规则不生效。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 在SSL VPN策略组abcpg中,配置通过URI ACL abcuriacl过滤IP接入方式访问。

<Sysname> system-view

[Sysname] sslvpn context abc

[Sysname-sslvpn-context-abc] policy-group abcpg

[Sysname-sslvpn-context-abc-policy-group-abcpg] filter ip-tunnel uri-acl abcuriacl

【相关命令】

·     filter ip-tunnel acl

1.1.23  filter tcp-access acl

filter tcp-access acl命令用来配置对TCP接入进行高级ACL过滤。

undo filter tcp-access acl命令用来恢复缺省情况。

【命令】

filter tcp-access [ ipv6 ] acl advanced-acl-number

undo filter tcp-access [ ipv6 ] acl

【缺省情况】

SSL VPN网关仅允许SSL VPN客户端访问端口转发列表下的资源。

【视图】

SSL VPN策略组视图

【缺省用户角色】

network-admin

【参数】

ipv6:指定引用的ACL类型为IPv6 ACL。如果不指定该参数,则表示引用IPv4 ACL。

acl advanced-acl-number:指定用于过滤TCP接入的高级ACL。advanced-acl-number表示高级ACL的编号,取值范围为3000~3999。引用的ACL规则中不能存在VPN实例,否则该规则不生效。

【使用指导】

对于手机版TCP客户端,用户访问资源时,匹配顺序为:

(1)     优先匹配端口转发资源列表,成功匹配后用户可以访问授权资源。

(2)     若端口转发资源列表匹配失败时,则进行URI ACL的规则检查,成功匹配URI ACL中permit规则后用户的访问请求才允许通过。

(3)     若URI ACL匹配失败时,再进行高级ACL的检查,成功匹配permit规则后用户的访问请求才允许通过。

(4)     若高级ACL检查失败,则授权失败,用户不允许访问资源。

对于PC版TCP客户端,优先匹配端口转发资源列表,成功匹配后用户可以访问授权资源,否则禁止所有客户端访问TCP接入资源。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置策略组pg1通过IPv4 ACL 3000和IPv6 ACL 3500过滤TCP接入。

<Sysname> system-view

[Sysname]sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] policy-group pg1

[Sysname-sslvpn-context-ctx1] filter tcp-access acl 3000

[Sysname-sslvpn-context-ctx1-policy-group pg1] filter tcp-access ipv6 acl 3500

【相关命令】

·     filter tcp-access uri-acl

1.1.24  filter tcp-access uri-acl

filter tcp-access uri-acl命令用来配置对TCP接入进行URI ACL过滤。

undo filter tcp-access uri-acl命令用来取消TCP接入的URI ACL的过滤。

【命令】

filter tcp-access uri-acl uri-acl-name

undo filter tcp-access uri-acl

【缺省情况】

SSL VPN网关仅允许SSL VPN客户端访问被授权URL列表下的资源。

【视图】

SSL VPN策略组视图

【缺省用户角色】

network-admin

【参数】

uri-acl-name:URI ACL名称,为1~31个字符的字符串,不区分大小写,且必须已经存在。

【使用指导】

对于手机版TCP客户端,用户访问资源时,匹配顺序为:

(1)     优先匹配端口转发资源列表,成功匹配后用户可以访问授权资源。

(2)     若端口转发资源列表匹配失败时,则进行URI ACL的规则检查,成功匹配URI ACL中permit规则后用户的访问请求才允许通过。

(3)     若URI ACL匹配失败时,再进行高级ACL的检查,成功匹配permit规则后用户的访问请求才允许通过。

(4)     若高级ACL检查失败,则授权失败,用户不允许访问资源。

对于PC版TCP客户端,优先匹配端口转发资源列表,成功匹配后用户可以访问授权资源,否则禁止所有客户端访问TCP接入资源。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 在SSL VPN策略组abcpg中,配置通过URI ACL abcuriacl2过滤TCP接入方式访问。

<Sysname> system-view

[Sysname] sslvpn context abc

[Sysname-sslvpn-context-abc] policy-group abcpg

[Sysname-sslvpn-context-abc-policy-group-abcpg] filter tcp-access uri-acl abcuriacl2

【相关命令】

·     filter tcp-access acl

1.1.25  filter web-access acl

filter web-access acl命令用来配置对Web接入进行过滤。

undo filter web-access acl命令用来恢复缺省情况。

【命令】

filter web-access [ ipv6 ] acl advanced-acl-number

undo filter web-access [ ipv6 ] acl

【缺省情况】

SSL VPN网关仅允许SSL VPN客户端访问被授权URL列表下的资源。

【视图】

SSL VPN策略组视图

【缺省用户角色】

network-admin

【参数】

ipv6:指定引用的ACL类型为IPv6 ACL。如果不指定该参数,则表示引用IPv4 ACL。

acl advanced-acl-number:指定用于过滤Web接入的高级ACL。advanced-acl-number表示高级ACL的编号,取值范围为3000~3999。引用的ACL规则中不能存在VPN实例,否则该规则不生效。

【使用指导】

用户访问资源时,匹配顺序为:

(1)     优先匹配被授权URL列表下的资源,成功匹配后用户可以访问授权资源。

(2)     若被授权URL列表下的资源匹配失败时,则进行URI ACL的规则检查,成功匹配URI ACL中permit规则后用户的访问请求才允许通过。

(3)     若URI ACL匹配失败时,再进行高级ACL的检查,成功匹配permit规则后用户的访问请求才允许通过。

(4)     若高级ACL检查失败,则授权失败,用户不允许访问资源。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置策略组pg1通过IPv4 ACL 3000和IPv6 ACL 3500过滤Web接入。

<Sysname> system-view

[Sysname]sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] policy-group pg1

[Sysname-sslvpn-context-ctx1-policy-group pg1] filter web-access acl 3000

[Sysname-sslvpn-context-ctx1-policy-group pg1] filter web-access ipv6 acl 3500

【相关命令】

·     filter web-access uri-acl

1.1.26  filter web-access uri-acl

filter web-access uri-acl命令用来配置对Web接入进行URI ACL过滤。

undo filter web-access uri-acl命令用来取消Web接入的URI ACL的过滤。

【命令】

filter web-access uri-acl uri-acl-name

undo filter web-access uri-acl

【缺省情况】

SSL VPN网关仅允许SSL VPN客户端访问被授权URL列表下的资源。

【视图】

SSL VPN策略组视图

【缺省用户角色】

network-admin

context-admin

【参数】

uri-acl-name:URI ACL名称,为1~31个字符的字符串,不区分大小写,且必须已经存在。

【使用指导】

用户访问资源时,匹配顺序为:

(1)     优先匹配被授权URL列表下的资源,成功匹配后用户可以访问授权资源。

(2)     若被授权URL列表下的资源匹配失败时,则进行URI ACL的规则检查,成功匹配URI ACL中permit规则后用户的访问请求才允许通过。

(3)     若URI ACL匹配失败时,再进行高级ACL的检查,成功匹配permit规则后用户的访问请求才允许通过。

(4)     若高级ACL检查失败,则授权失败,用户不允许访问资源。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 在SSL VPN策略组abc中,配置通过URI ACL abcuriacl1过滤Web接入方式访问。

<Sysname> system-view

[Sysname] sslvpn context abc

[Sysname-sslvpn-context-abc] policy-group abcpg

[Sysname-sslvpn-context-abc-policy-group-abcpg] filter web-access uri-acl abcuriacl1

【相关命令】

·     filter web-access acl

1.1.27  force-logout

force-logout命令用来强制在线用户下线。

【命令】

force-logout [ all | session session-id | user user-name ]

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

all:强制所有用户下线。

session session-id:强制指定会话的用户下线。session-id表示用户会话标识,取值范围为1~4294967295。

user user-name:强制指定用户名的用户下线。user-name表示SSL VPN用户名称,为1~63个字符的字符串,区分大小写。

【举例】

# 强制会话标识为1的用户下线。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] force-logout session 1

1.1.28  force-logout max-onlines enable

force-logout max-onlines enable命令用来开启达到最大在线数时的用户强制下线功能。

undo force-logout max-onlines enable命令用来关闭达到最大在线数时的用户强制下线功能。

【命令】

force-logout max-onlines enable

undo force-logout max-onlines enable

【缺省情况】

达到最大在线数时的用户强制下线功能处于关闭状态。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【使用指导】

当某个用户达到同一用户名同时最大在线数,该用户再次登录时,如果开启了本功能,则从该用户的在线连接中选择一个空闲时间最长的,强制其下线,新登录用户上线;如果未开启本功能,则不允许新用户登录。

【举例】

# 开启达到最大在线数再登录时强制下线功能。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] force-logout max-onlines enable

1.1.29  gateway

gateway命令用来配置SSL VPN访问实例引用SSL VPN网关。

undo gateway命令用来删除指定的SSL VPN网关。

【命令】

gateway gateway-name [ domain domain-name | virtual-host virtual-host-name ]

undo gateway [ gateway-name ]

【缺省情况】

未引用SSL VPN网关。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

gateway-name:SSL VPN网关名称。为1~31个字符的字符串,只能包含字母、数字、下划线,不区分大小写。

domain domain-name:域名,为1~127个字符的字符串,只能包含字母、数字、下划线、“-”,不区分大小写。

virtual-host virtual-host-name:虚拟主机名称,为1~127个字符的字符串,只能包含字母、数字、下划线、“-”和“.”,不区分大小写。

【使用指导】

多个SSL VPN访问实例引用同一个SSL VPN网关时,可以通过以下方法判断远端接入用户所属的SSL VPN访问实例:

·     为不同的SSL VPN访问实例指定不同的域名。远端用户登录SSL VPN网关时,指定自己所在的域,SSL VPN网关根据用户指定的域判断该用户所属的SSL VPN访问实例。

·     为不同的SSL VPN访问实例指定不同的虚拟主机名称。远端用户访问SSL VPN网关时,输入虚拟主机名称,SSL VPN网关根据虚拟主机名称判断该用户所属的SSL VPN访问实例。

如果SSL VPN访问实例引用SSL VPN网关时没有指定域名和虚拟主机名称,那么其他的SSL VPN访问实例就不能再引用该SSL VPN网关。

在同一个SSL VPN访问实例视图下,最多可以引用10个SSL VPN网关。

【举例】

# 配置名为ctx1的SSL VPN访问实例引用SSL VPN网关gw1,域名为domain1。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] gateway gw1 domain domain1

【相关命令】

·     display sslvpn context

1.1.30  heading

heading命令用来配置URL列表标题。

undo heading命令用来删除URL列表标题。

【命令】

heading string

undo heading

【缺省情况】

URL列表的标题为“Web”。

【视图】

URL列表视图

【缺省用户角色】

network-admin

【参数】

string:URL列表标题,为1~31个字符的文本字符串,区分大小写。

【举例】

# 配置URL列表的标题为urlhead。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] url-list url

[Sysname-sslvpn-context-ctx1-url-list-url] heading urlhead

【相关命令】

·     sslvpn context

·     url-list

1.1.31  http-redirect

http-redirect命令用来开启HTTP流量的重定向功能。

undo http-redirect命令用来关闭HTTP流量的重定向功能。

【命令】

http-redirect [ port port-number ]

undo http-redirect

【缺省情况】

HTTP流量的重定向功能处于关闭状态,SSL VPN网关不会处理HTTP流量。

【视图】

SSL VPN网关视图

【缺省用户角色】

network-admin

【参数】

port-number:需要重定向的HTTP流量的端口号,取值范围为80、1025~65535,缺省值为80。

【使用指导】

配置该命令后,SSL VPN网关将监听指定的端口号,并把指定端口号的HTTP流量重定向到HTTPS服务监听的端口,向客户端发送重定向报文,让客户端重新以HTTPS方式登录。

【举例】

# 为端口号为1025的HTTP流量开启重定向功能。

<Sysname> system-view

[Sysname] sslvpn gateway gateway1

[Sysname-sslvpn-gateway-gateway1] http-redirect port 1025

1.1.32  include

include命令用来在路由列表中添加路由。

undo include命令用来删除路由列表中的路由。

【命令】

include ip-address { mask | mask-length }

undo include ip-address { mask | mask-length }

【缺省情况】

不存在路由。

【视图】

路由列表视图

【缺省用户角色】

network-admin

【参数】

ip-address:路由的目的地址,不能是组播、广播、环回地址。

mask:路由目的地址的掩码。

mask-length:路由的掩码长度,取值范围为0~32。

【使用指导】

本命令指定的目的网段需要是企业内部服务器所在的网络。策略组引用路由列表后,SSL VPN网关将路由列表中的路由表项下发给客户端。客户端在本地添加这些路由表项,以便客户端将访问企业网络内部服务器的报文通过虚拟网卡发送给SSL VPN网关,防止这些报文进入Internet。

多次执行本命令,可以在路由列表中添加多条路由。

通过include命令和exclude命令指定相同的路由表项时,最后一次执行的命令生效。

【举例】

# 在路由列表rtlist下添加路由10.0.0.0/8。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] ip-route-list rtlist

[Sysname-sslvpn-context-ctx1-route-list-rtlist] include 10.0.0.0 8

【相关命令】

·     exclude

1.1.33  interface sslvpn-ac

interface sslvpn-ac命令用来创建SSL VPN AC接口,并进入SSL VPN AC接口视图。如果指定的SSL VPN AC接口已经存在,则直接进入SSL VPN AC接口视图。

undo interface sslvpn-ac命令用来删除指定的SSL VPN AC接口。

【命令】

interface sslvpn-ac interface-number

undo interface sslvpn-ac interface–number

【缺省情况】

不存在SSL VPN AC接口。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

interface-number:SSL VPN AC接口的编号,取值范围为0~4095。

【举例】

# 创建SSL VPN AC接口1000,并进入SSL VPN AC接口视图。

<Sysname>system-view

[Sysname]interface SSLVPN-AC 1000

[Sysname-SSLVPN-AC1000]

1.1.34  ip address

ip address命令用来配置SSL VPN网关的IPv4地址和端口号。

undo ip address命令用来恢复缺省情况。

【命令】

ip address ip-address [ port port-number ]

undo ip address

【缺省情况】

SSL VPN网关的IP地址为0.0.0.0,端口号为443。

【视图】

SSL VPN网关视图

【缺省用户角色】

network-admin

【参数】

ip-address:SSL VPN网关的IPv4地址,为点分十进制格式。

port port-number:指定SSL VPN网关的端口号。port-number取值范围为443、1025~65535,缺省值为443。

【使用指导】

远端接入用户可以通过本命令配置的IPv4地址和端口号访问SSL VPN网关。当配置的IP地址为非缺省IP地址时,本命令指定的IP地址应为SSL VPN网关上接口的IP地址,并需要保证该IP地址路由可达。

SSL VPN网关的IPv4地址不要使用缺省地址,也不要与设备的管理地址相同。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置SSL VPN网关的IPv4地址为10.10.1.1、端口号为8000。

<Sysname> system-view

[Sysname] sslvpn gateway gw1

[Sysname-sslvpn-gateway-gw1] ip address 10.10.1.1 port 8000

【相关命令】

·     display sslvpn gateway

1.1.35  ipv6 address

ipv6 address命令用来配置SSL VPN网关的IPv6地址和端口号。

undo ipv6 address命令用来恢复缺省情况。

【命令】

ipv6 address ipv6-address [ port port-number ]

undo ipv6 address

【缺省情况】

未配置SSL VPN网关的IPv6地址和端口号。

【视图】

SSL VPN网关视图

【缺省用户角色】

network-admin

【参数】

ipv6-address:SSL VPN网关的IPv6地址,为以冒号(:)分隔的一连串16比特的十六进制数。

port port-number:指定SSL VPN网关的端口号。port-number取值范围为443、1025~65535,缺省值为443。

【使用指导】

远端接入用户可以通过本命令配置的IPv6地址和端口号访问SSL VPN网关。本命令指定的IPv6地址应为SSL VPN网关上接口的IPv6地址,并需要保证该IPv6地址路由可达。

SSL VPN网关的IPv6地址不能与设备的管理地址相同。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置SSL VPN网关的IPv6地址为200::1、端口号为8000。

<Sysname> system-view

[Sysname] sslvpn gateway gw1

[Sysname-sslvpn-gateway-gw1] ipv6 address 200::1 port 8000

【相关命令】

·     display sslvpn gateway

1.1.36  ip-route-list

ip-route-list命令用来创建路由列表,并进入路由列表视图。如果指定的路由列表已经存在,则直接进入路由列表视图。

undo ip-route-list命令用来删除指定的路由列表。

【命令】

ip-route-list list-name

undo ip-route-list list-name

【缺省情况】

不存在路由列表。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

list-name:路由列表名称,为1~31个字符的字符串,不区分大小写,支持输入中文字符。

【使用指导】

在路由列表视图下,通过include命令可以添加路由表项,路由表项的目的网段为企业内部服务器所在的网段。策略组引用路由列表后,SSL VPN网关将路由列表中的路由表项下发给客户端,客户端在本地添加这些路由表项,路由表项的出接口为客户端的虚拟网卡,以便客户端通过这些路由表项访问企业网络内部的服务器。

若路由列表被策略组引用,则不允许删除该路由列表。请先通过undo ip-tunnel access-route命令取消引用,再执行本命令删除路由列表。

【举例】

# 在名为ctx1的SSL VPN访问实例下,创建路由列表rtlist,并进入路由列表视图。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] ip-route-list rtlist

[Sysname-sslvpn-context-ctx1-route-list-rtlist]

【相关命令】

·     ip-tunnel access-route

1.1.37  ip-tunnel access-route

ip-tunnel access-route命令用来配置下发给客户端的路由表项。

undo ip-tunnel access-route命令用来恢复缺省情况。

【命令】

ip-tunnel access-route { ip-address { mask-length | mask } | force-all | ip-route-list list-name }

undo ip-tunnel access-route

【缺省情况】

未指定下发给客户端的路由表项。

【视图】

SSL VPN策略组视图

【缺省用户角色】

network-admin

【参数】

ip-address { mask-length | mask }:将指定路由下发给客户端。ip-address为路由的目的地址,不能是组播、广播、环回地址;mask-length为路由的掩码长度,取值范围为0~32;mask为路由的掩码。

force-all:强制将客户端的流量转发给SSL VPN网关。

ip-route-list list-name:将指定路由列表中的路由表项下发给客户端。list-name表示路由列表名称,为1~31个字符的字符串,不区分大小写,支持输入中文字符。

【使用指导】

客户端通过IP接入方式访问网关时,网关将指定的路由下发给客户端。客户端若访问该网段内的服务器,报文就会通过虚拟网卡发送给SSL VPN网关,防止报文进入Internet。

本命令中指定的路由列表必须先通过ip-route-list命令创建。通过指定路由列表,可以同时将路由列表中的多条路由下发给客户端。若只需要为客户端下发一条路由,则可以直接配置ip-address { mask-length | mask }参数,无需指定路由列表。

执行本命令时如果指定了force-all参数,则SSL VPN网关将在客户端上添加优先级最高的缺省路由,路由的出接口为虚拟网卡,从而使得所有没有匹配到路由表项的流量都通过虚拟网卡发送给SSL VPN网关。SSL VPN网关还会实时监控SSL VPN客户端,不允许SSL VPN客户端删除此缺省路由,且不允许SSL VPN客户端添加优先级高于此路由的缺省路由。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 在策略组pg1下,配置将路由列表rtlist中的路由下发给客户端。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] ip-route-list rtlist

[Sysname-sslvpn-context-ctx1-route-list-rtlist] include 10.0.0.0 8

[Sysname-sslvpn-context-ctx1-route-list-rtlist] include 20.0.0.0 8

[Sysname-sslvpn-context-ctx1-route-list-rtlist] quit

[Sysname-sslvpn-context-ctx1] policy-group pg1

[Sysname-sslvpn-context-ctx1-policy-group-pg1] ip-tunnel access-route ip-route-list rtlist

【相关命令】

·     ip-route-list

1.1.38  ip-tunnel address-pool

ip-tunnel address-pool命令用来配置IP接入引用地址池。

undo ip-tunnel address-pool命令用来恢复缺省情况。

【命令】

ip-tunnel address-pool pool-name mask { mask-length | mask }

undo ip-tunnel address-pool

【缺省情况】

IP接入未引用地址池。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

pool-name:引用的地址池名称,为1~31个字符的字符串,不区分大小写,支持输入中文字符。

mask { mask-length | mask }:指定地址池的掩码或掩码长度。mask-length表示地址池的掩码长度,取值范围为1~30;mask表示地址池的掩码。

【使用指导】

客户端使用IP接入方式访问SSL VPN网关时,网关需要为客户端分配IP地址。本命令指定了分配的地址所属的地址池,即从地址池中选取地址分配给客户端。本命令还可以指定分配的地址的掩码或掩码长度。

本命令可以引用不存在的地址池。但此时SSL VPN网关无法为客户端分配IP地址。只有创建地址池后,SSL VPN网关才可以为客户端分配IP地址。

每个SSL VPN访问实例视图下只能引用一个地址池。多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置IP接入引用地址池pool1。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] ip-tunnel address-pool pool1 mask 24

【相关命令】

·     sslvpn ip address-pool

1.1.39  ip-tunnel dns-server

ip-tunnel dns-server命令用来配置为客户端指定的内网DNS服务器地址。

undo ip-tunnel dns-server命令用来恢复缺省情况。

【命令】

ip-tunnel dns-server { primary | secondary } ip-address

undo ip-tunnel dns-server { primary | secondary }

【缺省情况】

未配置为客户端指定的DNS服务器地址。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

primary:指定主DNS服务器。

secondary:指定备DNS服务器。

ip-address:DNS服务器的IPv4地址,不能是组播、广播、环回地址。

【举例】

# 配置为客户端指定的主DNS服务器地址为1.1.1.1。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] ip-tunnel dns-server primary 1.1.1.1

1.1.40  ip-tunnel interface

ip-tunnel interface命令用来配置IP接入引用的SSL VPN AC接口。

undo ip-tunnel interface命令用来恢复缺省情况。

【命令】

ip-tunnel interface sslvpn-ac interface-number

undo ip-tunnel interface

【缺省情况】

IP接入未引用SSL VPN AC接口。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

sslvpn-ac interface-number:引用的SSL VPN AC接口。interface-number为SSL VPN AC接口编号,取值范围为设备上已创建的SSL VPN AC接口的编号。

【使用指导】

当SSL VPN用户使用IP接入方式访问SSL VPN网关时,网关使用指定的SSL VPN AC接口与客户端通信。网关从SSL VPN AC接口接收到客户端发送的报文后,将报文转发到远端服务器;服务器做出响应后,网关会把应答报文通过SSL VPN AC接口发给客户端。

指定的SSL VPN AC接口必须已经通过interface sslvpn-ac命令创建。

【举例】

# 指定IP接入引用的接口为SSL VPN AC 100。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] ip-tunnel interface sslvpn-ac 100

【相关命令】

·     interface sslvpn-ac

1.1.41  ip-tunnel keepalive

ip-tunnel keepalive命令用来配置保活报文的发送时间间隔。

undo ip-tunnel keepalive命令用来恢复缺省情况。

【命令】

ip-tunnel keepalive seconds

undo ip-tunnel keepalive

【缺省情况】

保活报文的发送时间间隔为30秒。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

seconds:保活报文的发送间隔时间,取值范围为0~600,单位为秒。

【使用指导】

保活报文由客户端发送给网关,用于维持客户端和网关之间的会话。如果保活报文发送时间间隔配置为0,则客户端不会发送保活报文。

如果SSL VPN会话的空闲时间超过timeout idle命令指定的时间,即在该命令指定的时间内,既没有收到客户端发送的数据报文,也没有收到保活报文,则会断开客户端与网关之间的会话。

通常情况下,配置的保活报文发送时间间隔应该小于timeout idle命令配置的最大空闲时间。

【举例】

# 在访问实例ctx下配置保活报文的发送时间间隔为50秒。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] ip-tunnel keepalive 50

1.1.42  ip-tunnel wins-server

ip-tunnel wins-server命令用来配置为客户端指定的内网WINS服务器地址。

undo ip-tunnel wins-server命令用来恢复缺省情况。

【命令】

ip-tunnel wins-server { primary | secondary } ip-address

undo ip-tunnel wins-server { primary | secondary }

【缺省情况】

未配置为客户端指定的WINS服务器地址。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

primary:配置主WINS服务器。

secondary:配置备WINS服务器。

ip-address:WINS服务器的IPv4地址,不能是组播、广播、环回地址。

【举例】

# 配置为客户端指定的内网主WINS服务器地址为1.1.1.1。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] ip-tunnel wins-server primary 1.1.1.1

1.1.43  local-port

local-port命令用来添加一个端口转发实例。

undo local-port命令用来删除指定的端口转发实例。

【命令】

local-port local-port-number local-name local-name remote-server remote-server remote-port remote-port-number [ description text ]

undo local-port

【缺省情况】

不存在端口转发实例。

【视图】

端口转发表项视图

【缺省用户角色】

network-admin

【参数】

local-port-number:企业网内的TCP服务映射的本地端口号,取值范围为1~65535。

local-name local-name:指定企业网内的TCP服务映射的本地地址或本地主机名称。local-name为1~253个字符的字符串,只能包含字母、数字、下划线、“-”和“.”,不区分大小写。如果local-name为IPv6地址,需要为该地址增加一个中括号,例如:local-name [1234::5678]。

remote-server remote-server:指定企业网内TCP服务的IP地址或完整域名。remote-server为为1~253个字符的字符串,只能包含字母、数字、下划线、“-”和“.”,不区分大小写。如果remote-server为IPv6地址,需要为该地址增加一个中括号,例如:remote-server [1234::5678]。

remote-port remote-port-number:指定企业网内TCP服务的端口号。remote-port-number取值范围为1~65535。

description text:指定端口转发实例的描述信息。description-string为1~63个字符的字符串,区分大小写。

【使用指导】

本命令用来将企业网内的基于TCP的服务(如Telnet、SSH、POP3)映射为SSL VPN客户端上的本地地址和本地端口,以便SSL VPN客户端通过本地地址和本地端口访问企业网内的服务器。例如,执行如下命令,表示在SSL VPN客户端上通过127.0.0.1、端口80可以访问企业网内的HTTP服务器192.168.0.213。

local-port 80 local-name 127.0.0.1 remote-server 192.168.0.213 remote-port 80

添加端口转发实例时,需要注意:

·     配置的local-port-number不能与本地已有服务的端口号相同。

·     如果将企业网内的TCP服务映射为本地地址,则建议将本地地址配置为127.0.0.0/8网段的地址;如果映射为本地主机名,SSL VPN的TCP接入客户端软件会在主机文件hosts(C:\Windows\System32\drivers\etc\hosts)中添加主机名对应的IP地址,并在用户退出时恢复原来的主机文件hosts。

·     每个端口转发表项只能添加一个端口转发实例。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置端口转发实例:将企业网内的HTTP服务器192.168.0.213映射为本地地址127.0.0.1、本地端口80。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] port-forward-item pfitem1

[Sysname-sslvpn-context-ctx1-port-forward-item-pfitem1] local-port 80 local-name 127.0.0.1 remote-server 192.168.0.213 remote-port 80 description http

【相关命令】

·     port-forward

1.1.44  log resource-access enable

log resource-access enable命令用来开启用户访问资源日志生成功能。

undo log resource-access enable命令用来关闭用户访问资源日志生成功能。

【命令】

log resource-access enable [ filtering ]

undo log resource-access enable

【缺省情况】

用户访问资源日志生成功能处于关闭状态。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

filtering:开启用户访问资源日志过滤功能。当开启该功能后,1分钟内同一用户重复访问相同资源时仅生成一条日志信息。若不指定该参数,则表示同一用户重复访问相同资源时,均生产日志信息。

【使用指导】

开启本功能后,用户访问资源信息时,SSL VPN网关会生成日志信息。生成的日志信息将被发送到设备的信息中心,通过设置信息中心的参数,决定日志信息的输出规则(即是否允许输出以及输出方向)。有关信息中心参数的配置请参见“网络管理和监控配置指导”中的“信息中心”。

【举例】

# 开启用户访问资源日志生成功能。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] log resource-access enable

1.1.45  log user-login enable

log user-login enable命令用来开启用户上下线日志生成功能。

undo log user-login enable命令用来关闭用户上下线日志生成功能。

【命令】

log user-login enable

undo user-login log enable

【缺省情况】

用户上下线日志生成功能处于关闭状态。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【使用指导】

开启本功能后,用户上线下线时,SSL VPN网关会生成日志信息。生成的日志信息将被发送到设备的信息中心,通过设置信息中心的参数,决定日志信息的输出规则(即是否允许输出以及输出方向)。有关信息中心参数的配置请参见“网络管理和监控配置指导”中的“信息中心”。

【举例】

# 开启用户上下线生成日志功能。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] log user-login enable

1.1.46  login-message

login-message命令用来配置SSL VPN登录页面的欢迎信息。

undo login-message命令用来恢复缺省情况。

【命令】

login-message { chinese chinese-message | english english-message }

undo login-message { chinese | english }

【缺省情况】

英文登录页面的欢迎信息为“Welcome to SSL VPN”,中文登录页面的欢迎信息为“欢迎进入SSL VPN”。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

chinese chinese-message:指定中文页面的欢迎信息。chinese-message为1~255个字符的字符串,区分大小写。

english english-message:指定英文页面的欢迎信息。english-message为1~255个字符的字符串,区分大小写。

【举例】

# 配置SSL VPN英文页面的欢迎信息为“hello”,中文页面的欢迎信息为“你好”。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] login-message english hello

[Sysname-sslvpn-context-ctx1] login-message chinese 你好

1.1.47  logo

logo命令用来配置SSL VPN页面上显示的logo。

undo logo命令用来恢复缺省情况。

【命令】

logo { file file-name | none }

undo logo

【缺省情况】

SSL VPN页面上显示“H3C”logo图标。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

file file-name:指定logo图标文件。file-name为1~255字符的字符串,不区分大小写。filename指定的logo图标文件必须为gif、jpg或png格式,且不能超过100KB,建议图片尺寸在110*30像素左右。

none:不显示logo图标。

【使用指导】

指定的logo图标文件必须是本地已经存在的文件。

如果指定logo图标文件后,删除该文件,则仍然会显示该文件对应的logo图标。

【举例】

# 配置SSL VPN页面上显示的logo为flash:/mylogo.gif文件对应的logo图标。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] logo file flash:/mylogo.gif

1.1.48  max-onlines

max-onlines命令用来配置同一用户名的同时最大在线数。

undo max-onlines命令用来恢复缺省情况。

【命令】

max-onlines number

undo max-onlines

【缺省情况】

同一用户名的同时最大在线数为32。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

number:SSL VPN的同一用户名同时最大在线数,取值范围为0~1048575,取值为0时表示不限制同一用户的同时最大在线数。

【使用指导】

在同一个SSL VPN访问实例视图下,多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置同一用户名的同时最大在线数为50。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] max-onlines 50

1.1.49  max-users

max-users命令用来配置SSL VPN访问实例的最大会话数。

undo max-users命令用来恢复缺省情况。

【命令】

max-users max-number

undo max-users

【缺省情况】

SSL VPN访问实例的最大会话数为1048575。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

max-number:SSL VPN访问实例的最大会话数,取值范围为1~1048575。

【使用指导】

SSL VPN访问实例下的会话数目达到本命令配置的值后,新的用户将无法登录。

【举例】

# 配置SSL VPN访问实例的最大会话数为500。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] max-users 500

【相关命令】

·     display sslvpn context

1.1.50  message-server

message-server命令用来配置为客户端指定的Message服务器。

undo message-server命令用来恢复缺省情况。

【命令】

message-server address { host-name | ipv4-address } port port-number

undo message-server

【缺省情况】

没有配置为客户端指定的Message服务器。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

address:指定Message服务器的主机名或IPv4地址。

host-name:Message服务器的主机名,为1~127个字符的字符串,可以包含字母、数字、下划线、“-”和“.”,不区分大小写。

ipv4-address:Message服务器的IPv4地址,为点分十进制格式,不能是组播、广播、环回地址。

port port-number:指定Message服务器使用的端口号。port-number取值范围为1025~65535。

【使用指导】

Message服务器用来为移动客户端提供服务。执行本命令后,SSL VPN网关会将配置的Message服务器信息下发给客户端,以便客户端访问Message服务器。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置SSL VPN Context的Message服务器。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] message-server address 10.10.1.1 port 8000

【相关命令】

·     sslvpn context

1.1.51  mtu

mtu命令用来配置接口的MTU值。

undo mtu命令用来恢复缺省情况。

【命令】

mtu size

undo mtu

【缺省情况】

接口的MTU值为1500字节。

【视图】

SSL VPN AC接口视图

【缺省用户角色】

network-admin

【参数】

size:接口的MTU值,取值范围为100~64000,单位为字节。

【举例】

# 配置接口SSL VPN AC 1000的MTU值为1430字节。

<Sysname> system-view

[Sysname] interface sslvpn-ac 1000

[Sysname-SSLVPN-AC1000] mtu 1430

1.1.52  new-content

new-content命令用来配置改写之后的文件内容。

undo new-content命令用来恢复缺省情况。

【命令】

new-content string

undo new-content

【缺省情况】

未配置改写之后的文件内容。

【视图】

改写规则视图

【缺省用户角色】

network-admin

【参数】

string:改写之后的文件内容,为1~256个字符的字符串,区分大小写。

【使用指导】

在对网页文件进行改写的过程中,首先通过old-content命令配置的string对文件内容进行匹配,匹配成功之后,采用本命令配置的string对文件内容进行替换。

如果改写的文件内容中存在空格,需要使用双引号把文件内容引起来。

【举例】

# 配置改写之后的文件内容。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] file-policy fp

[Sysname-sslvpn-context-ctx-file-policy-fp] rewrite-rule rule1

[Sysname-sslvpn-context-ctx-file-policy-fp-rewrite-rule-rule1] new-content sslvpn_rewrite_htmlcode(d)

【相关命令】

·     old-content

1.1.53  old-content

old-content命令用来配置需要改写的文件内容。

undo old-content命令用来恢复缺省情况。

【命令】

old-content string

undo old-content

【缺省情况】

未配置需要改写的文件内容。

【视图】

改写规则视图

【缺省用户角色】

network-admin

【参数】

string:需要改写的文件内容,为1~256个字符的字符串,区分大小写。

【使用指导】

在对网页文件改写的过程中,首先通过本命令配置的string对文件内容进行匹配,匹配成功之后,采用new-content命令配置的改写之后的文件内容对其进行替换。

如果改写的文件内容中存在空格,需要使用双引号把文件内容引起来。

同一文件策略中的不同规则下需要改写的文件内容不能相同。

【举例】

# 配置需要改写的文件内容。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] file-policy fp

[Sysname-sslvpn-context-ctx-file-policy-fp] rewrite rule rule1

[Sysname-sslvpn-context-ctx-file-policy-fp-rewrite-rule-rule1] old-content "a.b.c.innerHTML = d;"

【相关命令】

·     new-content

1.1.54  policy-group

policy-group命令用来创建策略组,并进入SSL VPN策略组视图。如果指定的策略组已经存在,则直接进入策略组视图。

undo policy-group命令用来删除指定的策略组。

【命令】

policy-group group-name

undo policy-group group-name

【缺省情况】

不存在策略组。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

group-name:策略组名称,为1~31个字符的字符串,不区分大小写,支持输入中文字符。

【使用指导】

策略组包含一系列规则,这些规则为用户定义了资源的访问权限。

一个SSL VPN访问实例下可以配置多个策略组。远端接入用户访问SSL VPN访问实例时,AAA服务器将授权给该用户的策略组信息下发给SSL VPN网关。该用户可以访问的资源由授权的策略组决定。如果AAA服务器没有为该用户进行授权,则用户可以访问的资源由缺省策略组决定。

【举例】

# 创建名为pg1的策略组,并进入SSL VPN策略组视图。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] policy-group pg1

[Sysname-sslvpn-context-ctx1-policy-group-pg1]

【相关命令】

·     default-policy-group

1.1.55  port-forward

port-forward命令用来创建端口转发列表,并进入端口转发列表视图。如果指定的端口转发列表已经存在,则直接进入端口转发列表视图。

undo port-forward命令用来删除指定的端口转发列表。

【命令】

port-forward port-forward-name

undo port-forward port-forward-name

【缺省情况】

不存在端口转发列表。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

port-forward-name:端口转发列表名称,为1~31个字符的字符串,不区分大小写,支持输入中文字符。

【使用指导】

端口转发列表用来为SSL VPN用户提供TCP接入服务。

在转发列表视图下,通过port-forward-item命令可以创建端口转发表项。一个端口转发列表中可以配置多个端口转发表项。

在SSL VPN策略组视图下,通过resources port-forward命令可以配置策略组引用的端口转发列表。SSL VPN用户被授权访问某个策略组后,该策略组引用的端口转发列表指定的TCP接入服务将同时授权给SSL VPN用户,SSL VPN用户可以访问这些TCP接入服务。

【举例】

# 创建端口转发列表pflist1,并进入端口转发列表视图。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-gateway-ctx1] port-forward pflist1

[Sysname-sslvpn-context-ctx1-port-forward-pflist1]

【相关命令】

·     local-port

·     resources port-forward

1.1.56  port-forward-item

port-forward-item命令用来创建端口转发表项,并进入端口转发表项视图。如果指定的端口转发表项已经存在,则直接进入端口转发表项视图。

undo port-forward-item命令用来删除指定的端口转发表项。

【命令】

port-forward-item item-name

undo port-forward-item item-name

【缺省情况】

不存在端口转发表项。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

item-name:端口转发表项名称,为1~31个字符的字符串,不区分大小写。

【使用指导】

端口转发表项用来为SSL VPN用户提供TCP接入服务。

在端口转发表项视图下,需要进行以下配置:

·     通过local-port命令可以创建端口转发实例。端口转发实例将企业网内的基于TCP的服务(如Telnet、SSH、POP3)映射为SSL VPN客户端上的本地地址和本地端口,以便SSL VPN客户端通过本地地址和本地端口访问企业网内的服务器。

·     通过execution命令创建访问企业网内的服务器的资源。

一个端口转发列表中可以配置多个端口转发表项。

在同一端口转发表项视图下,通过execution命令指定的资源必须与local-port命令创建的端口转发实例所对应的资源相同,否则用户无法在Web页面上单击对应的链接访问服务器资源。

【举例】

# 创建端口转发表项pfitem1,并进入端口转发表项视图。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] port-forward-item pfitem1

[Sysname-sslvpn-context-ctx1-port-forward-item-pfitem1]

【相关命令】

·     execution

·     local-port

·     resources port-forward-item

1.1.57  reset counters interface sslvpn-ac

reset counters interface sslvpn-ac命令用来清除SSL VPN AC接口的统计信息。

【命令】

reset counters interface [ sslvpn-ac [ interface-number ] ]

【视图】

用户视图

【缺省用户角色】

network-admin

【参数】

interface-number:SSL VPN AC接口的编号,取值范围为0~4095。

【使用指导】

在某些情况下,需要统计一定时间内某接口的流量,这就需要在统计开始前清除该接口原有的统计信息,重新进行统计。

如果不指定接口类型sslvpn-ac,则清除所有接口的统计信息。

如果指定接口类型,不指定接口编号interface-number,则清除所有SSL VPN AC接口的统计信息。

如果同时指定接口类型和接口编号,则清除指定SSL VPN AC接口的统计信息。

【举例】

# 清除接口SSL VPN AC 1000的统计信息。

<Sysname> reset counters interface sslvpn-ac 1000

【相关命令】

·     display interface sslvpn-ac

1.1.58  resources port-forward

resources port-forward命令用来配置策略组引用端口转发列表。

undo resources port-forward命令用来取消策略组引用端口转发列表。

【命令】

resources port-forward port-forward-name

undo resources port-forward

【缺省情况】

策略组没有引用任何端口转发列表。

【视图】

SSL VPN策略组视图

【缺省用户角色】

network-admin

【参数】

port-forward-name:端口转发列表名称,为1~31个字符的字符串,不区分大小写,支持输入中文字符,且必须已经存在。

【使用指导】

SSL VPN用户被授权访问某个策略组后,该策略组引用的端口转发列表指定的TCP接入服务将同时授权给SSL VPN用户,SSL VPN用户可以访问这些TCP接入服务。

【举例】

# 配置策略组pg1引用端口转发列表pflist1。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] policy-group pg1

[Sysname-sslvpn-context-ctx1-policy-group-pg1] resources port-forward pflist1

【相关命令】

·     local-port

·     port-forward

1.1.59  resources port-forward-item

resources port-forward-item命令用来配置端口转发列表引用端口转发表项。

undo resources port-forward-item命令用来取消端口转发列表引用的端口转发表项。

【命令】

resources port-forward-item item-name

undo resources port-forward-item item-name

【缺省情况】

端口转发列表未引用任何端口转发表项。

【视图】

端口转发列表视图

【缺省用户角色】

network-admin

【参数】

item-name:端口转发表项名称,为1~31个字符的字符串,不区分大小写。

【使用指导】

本命令引用的端口转发表项必须先通过port-forward-item命令创建。

一个端口转发列表可以引用多条端口转发表项。

【举例】

# 配置端口转发列表pflist1引用端口转发表项pfitem1。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] port-forward-item pfitem1

[Sysname-sslvpn-context-ctx1-port-forward-pflist1-port-forward-item-pfitem1] quit

[Sysname-sslvpn-context-ctx1] port-forward pflist1

[Sysname-sslvpn-context-ctx1-port-forward-pflist1] resources port-forward-item pfitem1

【相关命令】

·     port-forward-item

1.1.60  resources shortcut

resources shortcut命令用来配置快捷方式列表引用快捷方式。

undo resources shortcut命令用来取消快捷方式列表引用的快捷方式。

【命令】

resources shortcut shortcut-name

undo resources shortcut shortcut-name

【缺省情况】

快捷方式列表未引用任何快捷方式。

【视图】

快捷方式列表视图

【缺省用户角色】

network-admin

【参数】

shortcut-name:快捷方式名称,为1~31个字符的字符串,不区分大小写。

【使用指导】

在快捷方式列表视图下,可以引用多条快捷方式。

【举例】

# 配置快捷方式列表list1引用快捷方式shortcut1。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] shortcut shortcut1

[Sysname-sslvpn-context-ctx1-shortcut-shortcut1] quit

[Sysname-sslvpn-context-ctx1] shortcut-list list1

[Sysname-sslvpn-context-ctx1-shortcut-list-list1] resources shortcut shortcut1

1.1.61  resources shortcut-list

resources shortcut-list命令用来配置策略组引用快捷方式列表。

undo resources shortcut-list命令用来恢复缺省情况。

【命令】

resources shortcut-list list-name

undo resources shortcut-list

【缺省情况】

策略组未引用任何快捷方式列表。

【视图】

SSL VPN策略组视图

【缺省用户角色】

network-admin

【参数】

list-name:快捷方式列表名称,为1~31个字符的字符串,不区分大小写。

【使用指导】

SSL VPN用户被授权访问某个策略组后,该策略组引用的快捷方式列表将显示在SSL VPN用户的Web页面上,SSL VPN用户可以单击这些快捷方式访问资源。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置策略组pg1引用快捷方式列表list1。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] shortcut-list list1

[Sysname-sslvpn-context-ctx1-shortcut-list-list1] quit

[Sysname-sslvpn-context-ctx1] policy-group pg1

[Sysname-sslvpn-context-ctx1-policy-group-pg1] resources shortcut-list list1

1.1.62  resources url-list

resources url-list命令用来配置策略组引用URL列表。

undo resources url-list命令用来取消策略组引用URL列表。

【命令】

resources url-list url-list-name

undo resources url-list

【缺省情况】

策略组没有引用任何URL列表。

【视图】

SSL VPN策略组视图

【缺省用户角色】

network-admin

【参数】

url-list-name:URL列表名称,为1~31个字符的字符串,不区分大小写,支持输入中文字符,且必须已经存在。

【使用指导】

在Web接入模式下,配置策略组引用URL列表后,远端用户可以使用浏览器访问URL列表下的URL资源。

【举例】

# 配置策略组pg1引用URL列表url1。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] policy-group pg1

[Sysname-sslvpn-context-ctx1-policy-group-pg1] resources url-list url1

【相关命令】

·     sslvpn context

·     policy-group

·     url-list

1.1.63  rewrite-rule

rewrite-rule命令用来创建改写规则,并进入改写规则视图。如果指定的改写规则已经存在,则直接进入该改写规则视图。

undo rewrite-rule命令用来删除指定的改写规则。

【命令】

rewrite-rule rule-name

undo rewrite-rule rule-name

【缺省情况】

不存在改写规则。

【视图】

文件策略视图

【缺省用户角色】

network-admin

【参数】

rule-name:改写规则名称,为1~31个字符的字符串,不区分大小写。

【使用指导】

同一个文件策略视图中可以配置多个改写规则。

【举例】

# 创建改写规则rule1,并进入改写规则视图。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] file-policy fp

[Sysname-sslvpn-context-ctx-file-policy-fp] rewrite-rule rule1

[Sysname-sslvpn-context-ctx-file-policy-fp-rewrite-rule-rule1]

1.1.64  rule

rule命令用来创建URI ACL规则。

undo rule命令用来删除指定的URI ACL规则。

【命令】

rule [ rule-id ] { deny | permit } uri uri-pattern-string

undo rule rule-id

【缺省情况】

不存在URL ACL规则。

【视图】

URI ACL视图

【缺省用户角色】

network-admin

【参数】

deny:表示拒绝符合条件的报文。

permit:表示允许符合条件的报文。

rule-id:规则ID,取值范围为0~65534,步长为5。若未指定本参数,自动分配一个大于现有最大编号的最小编号。例如现有规则的最大编号为28,那么自动分配的新编号将是30。

uri:指定URI形式字符串。

uri-pattern-string:URI匹配字段,为不超过256个字符的字符串。格式为protocol://host:port/pathprotocolhost必须指定。格式中各字段详细的取值情况,见表1-11

表1-11 URI匹配字段说明

字段

描述

protocol

协议名称,取值包括:

·     http

·     https

·     tcp

·     udp

·     icmp

·     ip

host

主机IP地址或域名

1.     支持的主机地址格式如下:

·     IPv4地址或IPv6地址,例如:192.168.1.1

·     使用字符-表示的IPv4地址或IPv6地址地址范围,例如:3.3.3.1-3.3.3.200

·     指定子网掩码长度的IPv4地址或指定前缀长度的IPv6地址,例如2.2.2.2/24

以上三种格式的组合,使用逗号分隔,例如:192.168.1.1,3.3.3.1-3.3.3.200,2.2.2.2/24

2.     支持的域名格式如下:

·     精确的主机域名,例如www.domain.com

·     包含通配符的主机域名。支持的通配符包括:

¡     *:匹配零个或多个任意字符,例如:*.com

¡     ?:匹配单个任意字符,例如:www.do?main.com

¡     %:匹配本级域名为任意字符,例如:www.%.com

port

主机端口。若未指定,则使用该协议的缺省端口号。支持的端口格式如下:

·     单个端口,例如:1002

·     使用字符-表示的端口范围,例如:8080-8088

以上两种格式的组合,使用逗号分隔,例如:1002,90,8080-8088

path

主机上的文件或目录,以一个或多个/或\分隔的路径。路径支持的通配符包括:

·     *:匹配零个或多个任意字符,例如:/path1/*

·     ?:匹配单个任意字符,例如:/path?/

·     %:匹配本级域名为任意字符,例如:/path1/%/

 

【使用指导】

URI ACL在匹配过滤时会按照规则ID从小到大的顺序依次匹配报文,一旦匹配上某条规则便结束匹配过程。

【举例】

# 在URI ACL视图下,配置一条URI ACL规则。

<Sysname> system-view

[Sysname] sslvpn context abc

[Sysname-sslvpn-context-abc] uri-acl uriacla

[Sysname-sslvpn-context-abc-uri-acl-uriacla] rule 1 permit uri http://*.abc.com:80,443,2000-5000/path/

1.1.65  service enable (SSL VPN context view)

service enable命令用来开启当前的SSL VPN访问实例。

undo service enable命令用来关闭当前的SSL VPN访问实例。

【命令】

service enable

undo service enable

【缺省情况】

SSL VPN访问实例处于关闭状态。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【举例】

# 开启名为ctx1的SSL VPN访问实例。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] service enable

【相关命令】

·     display sslvpn context

1.1.66  service enable (SSL VPN gateway view)

service enable命令用来开启当前的SSL VPN网关。

undo service enable命令用来关闭当前的SSL VPN网关。

【命令】

service enable

undo service enable

【缺省情况】

当前的SSL VPN网关处于关闭状态。

【视图】

SSL VPN网关视图

【缺省用户角色】

network-admin

【举例】

# 开启当前的SSL VPN网关。

<Sysname> system-view

[Sysname] sslvpn gateway gw1

[Sysname-sslvpn-gateway-gw1] service enable

【相关命令】

·     display sslvpn gateway

1.1.67  session-connections

session-connections命令用来配置每个会话的最大连接数。

undo session-connections命令用来恢复缺省情况。

【命令】

session-connections number

undo session-connections

【缺省情况】

每个会话的同时最大连接数为64。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

number:SSL VPN访问实例下,单个会话的最大连接数,取值范围为0、10~1000。取值为0时表示不限制单个会话的最大连接数。

【使用指导】

SSL VPN会话收到报文时,如果收到报文的单板/设备上该会话的连接数超过单个会话的最大连接数,则回应客户端503 Service Unavailable,并关闭该连接。

在同一个SSL VPN访问实例视图下,多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置SSL VPN的单个会话的最大连接数为10。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] session-connections 10

1.1.68  shortcut

shortcut命令用来创建快捷方式,并进入快捷方式视图。如果指定的快捷方式已经存在,则直接进入快捷方式视图。

undo shortcut命令用来删除指定的快捷方式。

【命令】

shortcut shortcut-name

undo shortcut shortcut-name

【缺省情况】

不存在快捷方式。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

shortcut-name:快捷方式名称,为1~31个字符的字符串,不区分大小写。

【使用指导】

在快捷方式视图下,通过execution命令配置访问的资源后,SSL VPN用户在Web页面上通过该快捷方式可以快速该访问资源。

【举例】

# 创建快捷方式shortcut1,并进入快捷方式视图。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] shortcut shortcut1

[Sysname-sslvpn-context-ctx1-shortcut-shortcut1]

1.1.69  shortcut-list

shortcut-list命令用来创建快捷方式列表,并进入快捷方式列表视图。如果指定的快捷方式列表已经存在,则直接进入快捷方式列表视图。

undo shortcut-list命令用来删除指定的快捷方式列表。

【命令】

shortcut-list list-name

undo shortcut-list list-name

【缺省情况】

不存在快捷方式列表。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

list-name:快捷方式列表名称,为1~31个字符的字符串,不区分大小写。

【举例】

# 创建快捷方式列表list1,并进入快捷方式列表视图。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] shortcut-list list1

[Sysname-sslvpn-context-ctx1-shortcut-list-list1]

1.1.70  shutdown

shutdown命令用来关闭当前接口。

undo shutdown命令用来开启当前接口。

【命令】

shutdown

undo shutdown

【缺省情况】

SSL VPN AC接口均处于开启状态。

【视图】

SSL VPN AC接口视图

【缺省用户角色】

network-admin

【举例】

# 关闭接口SSL VPN AC 1000。

<Sysname> system-view

[Sysname] interface sslvpn-ac 1000

[Sysname-SSLVPN-AC1000] shutdown

1.1.71  ssl server-policy

ssl server-policy命令用来配置SSL VPN网关引用SSL服务器端策略。

undo ssl server-policy命令用来取消SSL VPN网关引用SSL服务器端策略。

【命令】

ssl server-policy policy-name

undo ssl server-policy

【缺省情况】

SSL VPN网关引用自签名证书的SSL服务器端策略。

【视图】

SSL VPN网关视图

【缺省用户角色】

network-admin

【参数】

policy-name:SSL VPN网关引用的SSL服务器端策略名称,为1~31个字符的字符串,不区分大小写。

【使用指导】

通过本命令指定SSL VPN网关引用的SSL服务器端策略后,SSL VPN网关将采用该策略下的参数与远端接入用户建立SSL连接。

SSL VPN网关只能引用一个SSL服务器端策略。多次执行本命令,最后一次执行的命令生效,但新的配置不会立即生效。只有执行undo service enable命令关闭SSL VPN网关,并执行service enable命令开启SSL VPN网关后,新的配置才会生效。

【举例】

# 配置SSL VPN网关gw1引用SSL服务器端策略CA_CERT。

<Sysname> system-view

[Sysname] sslvpn gateway gw1

[Sysname-sslvpn-gateway-gw1] ssl server-policy CA_CERT

【相关命令】

·     display sslvpn gateway

1.1.72  sslvpn context

sslvpn context命令用来创建SSL VPN访问实例,并进入SSL VPN访问实例视图。如果指定的SSL VPN访问实例已经存在,则直接进入SSL VPN访问实例视图。

undo sslvpn context命令用来删除指定的SSL VPN访问实例。

【命令】

sslvpn context context-name

undo sslvpn context context-name

【缺省情况】

不存在SSL VPN访问实例。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

context-name:SSL VPN访问实例名称,为1~31个字符的字符串,只能包含字母、数字、下划线,不区分大小写。

【使用指导】

SSL VPN访问实例用来管理用户会话、用户可以访问的资源、用户认证方式等。一个SSL VPN网关可以被多个SSL VPN访问实例引用,不同SSL VPN访问实例对应不同的资源。远端接入用户登录SSL VPN网关后可以访问的资源,由该用户所属的SSL VPN访问实例决定。

【举例】

# 创建名为ctx1的SSL VPN访问实例,并进入SSL VPN访问实例视图。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1]

【相关命令】

·     display sslvpn context

1.1.73  sslvpn gateway

sslvpn gateway命令用来创建SSL VPN网关,并进入SSL VPN网关视图。如果指定的SSL VPN网关已经存在,则直接进入SSL VPN网关视图。

undo sslvpn gateway命令用来删除指定的SSL VPN网关。

【命令】

sslvpn gateway gateway-name

undo sslvpn gateway gateway-name

【缺省情况】

不存在SSL VPN网关。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

gateway-name:SSL VPN网关名称,为1~31个字符的字符串,只能包含字母、数字、下划线,不区分大小写。

【使用指导】

SSL VPN网关位于远端接入用户和企业内部网络之间,负责在二者之间转发报文。SSL VPN网关与远端接入用户建立SSL连接,并对接入用户进行身份认证。远端接入用户的访问请求只有通过SSL VPN网关的安全检查和认证后,才会被SSL VPN网关转发到企业网络内部,从而实现对企业内部资源的保护。

在SSL VPN网关视图下,需要进行以下配置:

·     通过ip address命令指定SSL VPN网关的IP地址和端口号,以便远端接入用户通过该IP地址和端口号访问SSL VPN网关。

·     通过ssl server-policy命令指定SSL VPN网关引用的SSL服务器端策略,以便SSL VPN网关采用该策略下的参数与远端接入用户建立SSL连接。

·     通过service enable命令开启SSL VPN网关。

如果SSL VPN网关被SSL VPN访问实例引用,则该SSL VPN网关不能被删除。请先通过undo gateway命令取消引用,再执行本命令删除SSL VPN网关。

【举例】

# 创建SSL VPN网关gw1,并进入SSL VPN网关视图。

<Sysname> system-view

[Sysname] sslvpn gateway gw1

[Sysname-sslvpn-gateway-gw1]

【相关命令】

·     display sslvpn gateway

1.1.74  sslvpn ip address-pool

sslvpn ip address-pool命令用来创建地址池。

undo sslvpn ip address-pool命令用来删除指定的地址池。

【命令】

sslvpn ip address-pool pool-name start-ip-address end-ip-address

undo sslvpn ip address-pool pool-name

【缺省情况】

不存在地址池。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

pool-name:地址池名称,为1~31个字符的字符串,不区分大小写,支持输入中文字符。

start-ip-address:地址池的起始地址。

end-ip-address:地址池的结束地址。结束地址必须大于起始地址。

【使用指导】

在策略组中引用本命令创建的地址池后,SSL VPN网关将从引用的地址池中选择地址、分配给IP接入方式的客户端。

本命令中指定的起始地址和结束地址不能是组播、广播、环回地址。

【举例】

# 创建地址池pool1,指定地址范围为10.1.1.1~10.1.1.254。

<Sysname> system-view

[Sysname] sslvpn ip address-pool pool1 10.1.1.1 10.1.1.254

1.1.75  sms-imc address

sms-imc address命令用来配置短信认证使用的iMC服务器的IP地址和端口号。

undo sms-imc address命令用来恢复缺省情况。

【命令】

sms-imc address ip-address port port-number

undo sms-imc address

【缺省情况】

未配置短信认证使用的iMC服务器的IP地址和端口号。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

ip-address:短信认证使用的iMC服务器的IP地址,为点分十进制格式。

port port-number:短信认证使用的iMC服务器的端口号,取值范围为0~65535。

【使用指导】

在同一个SSL VPN访问实例视图下,多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置ctx1下用户进行短信认证使用的iMC服务器的IP地址为192.168.10.1,端口号为2000。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] sms-imc address 192.168.10.1 port 2000

【相关命令】

·     sms-imc enable

1.1.76  sms-imc enable

sms-imc enable命令用来开启iMC短信认证服务。

undo sms-imc enable命令用来关闭iMC短信认证服务。

【命令】

sms-imc enable

undo sms-imc enable

【缺省情况】

iMC短信认证服务处于关闭状态。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【使用指导】

本功能需要在iMC服务器上提前配置好短信认证功能。

开启iMC短信认证服务后,当用户采用IP接入方式,通过iNode客户端登录SSL VPN网关进行身份验证时,可以使用iNode客户端获取短信验证码。具体过程为:

(1)     iNode客户端将用户登录请求发送给SSL VPN网关。

(2)     SSL VPN网关从登录请求中获取验证码请求发给iMC服务器。

(3)     iMC服务器将短信验证码通过短信发到用户手机,同时给SSL VPN网关应答,SSL VPN网关从应答中获取响应信息,返回给客户端。

(4)     用户在登录时输入获取的短信验证码及用户名和密码,通过iMC服务器进行身份验证。

【举例】

# 开启iMC短信认证服务。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] sms-imc enable

【相关命令】

·     sms-imc address

1.1.77  ssl client-policy

ssl client-policy命令用来配置SSL VPN访问实例引用的SSL客户端策略。

undo ssl client-policy命令用来恢复缺省情况。

【命令】

ssl client-policy policy-name

undo ssl client-policy

【缺省情况】

非FIPS模式下:

缺省情况下,引用缺省的SSL客户端策略,该策略支持的加密套件为rsa_rc4_128_md5

FIPS模式下:

缺省情况下,引用缺省的SSL客户端策略,该策略支持的加密套件为rsa_aes_128_cbc_sha

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

policy-name:表示SSL客户端策略名称,为1~31个字符的字符串,不区分大小写。

【使用指导】

执行本配置后,SSL VPN网关将使用指定的SSL客户端策略与HTTPS类型的Web服务器建立连接。

SSL VPN访问实例只能引用一个SSL客户端策略。多次执行本命令,最后一次执行的命令生效,但新的配置不会立即生效。请先通过undo service enable命令关闭SSL VPN访问实例,再执行service enable命令开启SSL VPN访问实例后,新的配置才会生效。

有关SSL客户端策略的详细介绍,请参见“安全配置指导”中的“SSL”。

【举例】

# 配置SSL VPN访问实例ctx1引用SSL客户端策略abc。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] ssl client-policy abc

1.1.78  timeout idle

timeout idle命令用来配置SSL VPN会话保持空闲状态的最长时间。

undo timeout idle命令用来恢复缺省情况。

【命令】

timeout idle minutes

undo timeout idle

【缺省情况】

SSL VPN会话保持空闲状态的最长时间为30分钟。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

minutes:SSL VPN会话保持空闲状态的最长时间,取值范围为1~1440,单位为分钟。

【使用指导】

如果SSL VPN会话保持空闲状态的时间超过本命令配置的值,则将断开该会话。

【举例】

# 配置SSL VPN会话保持空闲状态的最长时间为50分钟。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] timeout idle 50

【相关命令】

·     display sslvpn policy-group

1.1.79  title

title命令用来配置SSL VPN页面的标题信息。

undo title命令用来恢复缺省情况。

【命令】

title { chinese chinese-title | english english-title }

undo title { chinese | english }

【缺省情况】

SSL VPN页面的标题为“SSL VPN”。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

chinese chinese-title:指定中文页面的标题信息。chinese-title为1~255个字符的字符串,区分大小写。

english english-title:指定英文页面的标题信息。english-title为1~255个字符的字符串,区分大小写。

【举例】

# 配置SSL VPN英文页面的标题信息为“SSL VPN service for company A”,中文页面的标题信息为“公司A的SSL VPN服务”。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] title english SSL VPN service for company A

[Sysname-sslvpn-context-ctx1] title chinese公司A的SSL VPN服务

 

1.1.80  uri-acl

uri-acl命令用来创建URI ACL,并进入URI ACL视图。如果指定的URI ACL已经存在,则直接进入URI ACL视图。

undo uri-acl命令用来删除指定的URI ACL。

【命令】

uri-acl uri-acl-name

undo uri-acl uri-acl-name

【缺省情况】

不存在URI ACL。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

uri-acl-name:URI ACL名称,为1~31个字符的字符串,不区分大小写。

【使用指导】

此命令创建URI形式的ACL,用于对SSL VPN的各种接入方式进行更精细的控制。对URL进行匹配,符合要求的URL请求可以访问对应的资源。

在一个SSL VPN访问实例视图中可以配置多个URI ACL。

【举例】

# 创建名称为uriacla的URI ACL,并进入URI ACL视图。

<Sysname> system-view

[Sysname] sslvpn context abc

[Sysname-sslvpn-context-abc] uri-acl uriacla

[Sysname-sslvpn-context-abc-uri-acl-uriacla]

1.1.81  url (file policy view)

url命令用来配置文件策略应用的URL地址。

undo url命令用来恢复缺省情况。

【命令】

url url

undo url

【缺省情况】

不存在文件策略应用的URL地址。

【视图】

文件策略视图

【缺省用户角色】

network-admin

【参数】

url:表示文件策略应用的完整路径,为1~256个字符的字符串,不区分大小写。

【使用指导】

只有配置的url与网关正在处理的网页文件的URL相同时,才会根据文件策略中的配置对该网页文件内容进行改写。

完整URL的语法为scheme://user:password@host:port/path,其含义如下:

·     scheme:表示访问服务器以获取资源时使用的协议类型,目前支持HTTP和HTTPS。

·     user:password:访问资源时需要提供的用户名和密码。

·     host:资源服务器的主机名或IPv4/IPv6地址。如果URL中包含IPv6地址,需要为该IPv6地址增加一个中括号,例如:http://[1234::5678]:8080/a.html。

·     port:资源服务器正在监听的端口号。大多数协议类型都有默认的端口号(例如:HTTP为80、HTTPS为443等)。

·     path:服务器上资源的本地路径。

每个文件策略只能创建一个URL。同一SSL VPN访问实例下不同文件策略下的URL不能相同。

【举例】

# 配置文件策略fp应用的URL地址。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] file-policy fp

[Sysname-sslvpn-context-ctx-file-policy-fp] url http://192.168.1.1:8080/js/test.js

1.1.82  url (url list view)

url命令用来添加一个URL表项。

undo url命令用来删除指定的URL表项。

【命令】

url name url-value url [ uri-acl uri-acl-name ]

undo url name

【缺省情况】

不存在URL表项。

【视图】

URL列表视图

【缺省用户角色】

network-admin

【参数】

name:指定URL表项的链接名,为1~31个字符的字符串,不区分大小写。

url-value url:指定URL表项中链接名对应的URL内容。url为1~253个字符的字符串,不区分大小写。一个URL内容由协议类型、主机名或地址、端口号、资源路径四部分组成,完整格式为“协议类型://主机名称或地址:端口号/资源路径”:

·     协议类型目前仅支持HTTP和HTTPS,如果没有指定,协议类型缺省为HTTP。

·     每一种协议类型都有一个缺省的端口号,HTTP缺省端口号为80,HTTPS缺省端口号为443,缺省端口号可以不指定。

·     如果URL中包含IPv6地址,需要为该IPv6地址增加一个中括号,例如:http://[1234::5678]:8080。

uri-acl uri-acl-name指定匹配URL内容的URI ACL。uri-acl-name为1~31个字符的字符串,不区分大小写。不指定该参数时,表示不对URL内容进行过滤。

【使用指导】

可以在同一个URL列表下添加多个URL表项,一个链接名只能对应一个URL。

【举例】

# 在URL列表url1下添加一个URL表项,链接名为abc,对应的URL为www.abc.com。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] url-list url1

[Sysname-sslvpn-context-ctx1-url-list-url1] url abc url-value www.abc.com

# 配置一个URL表项,并引用名称为abc的URI ACL。

<Sysname> system-view

[Sysname] sslvpn context abc

[Sysname-sslvpn-context-abc] url-list web

[Sysname-sslvpn-context-abc-url-list-web] url web1 url-value http://www.abc.com uri-acl abc

# 在URL列表url1下添加一个URL表项,链接名为ipv6,对应访问的Web服务器地址为IPv6地址1234::5678,端口号为8080。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] url-list url1

[Sysname-sslvpn-context-ctx1-url-list-url1] url ipv6 url-value http://[1234::5678]:8080

1.1.83  url-list

url-list命令用来创建URL列表并进入URL列表视图。如果指定的URL列表已经存在,则直接进入URL列表视图。

undo url-list命令用来删除URL列表。

【命令】

url-list name

undo url-list name

【缺省情况】

不存在URL列表。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

name:URL列表名称,为1~31个字符的字符串,不区分大小写,支持输入中文字符。

【举例】

# 创建名为url1的URL列表,并进入URL列表视图。

<Sysname> system-view

[Sysname] sslvpn context ctx1

[Sysname-sslvpn-context-ctx1] url-list url1

[Sysname-sslvpn-context-ctx1-url-list-url1]

【相关命令】

·     sslvpn context

1.1.84  verify-code

verify-code enable命令用来开启验证码验证功能。

undo verify-code enable命令用来关闭验证码验证功能。

【命令】

verify-code enable

undo verify-code enable

【缺省情况】

验证码验证功能处于关闭状态。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【使用指导】

开启验证码验证后,用户登录时需要输入验证码。只有验证码验证成功后,才允许用户登录SSL VPN页面。

【举例】

# 开启验证码验证功能。

<Sysname> system-view

[Sysname] sslvpn context ctx

[Sysname-sslvpn-context-ctx] verify-code enable

1.1.85  vpn-instance (SSL VPN context view)

vpn-instance命令用来配置SSL VPN访问实例关联的VPN实例。

undo vpn-instance命令用来恢复缺省情况。

【命令】

vpn-instance vpn-instance-name

undo vpn-instance

【缺省情况】

SSL VPN访问实例关联公网。

【视图】

SSL VPN访问实例视图

【缺省用户角色】

network-admin

【参数】

vpn-instance-name:SSL VPN访问实例关联的VPN实例名称,为1~31个字符的字符串,区分大小写。

【使用指导】

执行本命令后,SSL VPN访问实例包含的资源将属于关联的VPN实例。

每个SSL VPN访问实例只能关联一个VPN实例。

SSL VPN访问实例可以关联不存在的VPN实例,但该SSL VPN访问实例会处于未生效的状态。待VPN实例创建后,SSL VPN访问实例进入生效状态。

【举例】

# 配置名为contex1的SSL VPN访问实例关联VPN实例vpn1。

<Sysname> System-view

[Sysname] sslvpn context context1

[Sysname-sslvpn-context-context1] vpn-instance vpn1

1.1.86  vpn-instance (SSL VPN gateway view)

vpn-instance命令用来配置SSL VPN网关所属的VPN实例。

undo vpn-instance命令用来恢复缺省情况。

【命令】

vpn-instance vpn-instance-name

undo vpn-instance

【缺省情况】

SSL VPN网关属于公网。

【视图】

SSL VPN网关视图

【缺省用户角色】

network-admin

【参数】

vpn-instance-name:SSL VPN网关所属的VPN实例名称,为1~31个字符的字符串,区分大小写。

【使用指导】

每个SSL VPN网关只能属于一个VPN实例。SSL VPN所属的VPN实例又称为front VPN instance。

本命令指定的VPN实例可以不存在,但此时SSL VPN网关处于不生效的状态。待VPN实例创建后,SSL VPN网关进入生效状态。

【举例】

# 配置SSL VPN网关gateway1属于VPN实例vpn1。

<Sysname> system-view

[Sysname] sslvpn gateway gateway1

[Sysname-sslvpn-gateway-gateway1] vpn-instance vpn1

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!