Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

外部用户身份验证（CLI 过程）

概述

此配置更安全，因为它允许您使用与域登录相同的用户名和密码，以及更改或恢复您的凭据，而无需与防火墙管理员交互。它还减少了管理员的工作负载，因为密码必须经常更改。建议使用此配置对用户进行身份验证。

我们假设您已完成 SRX 系列防火墙的基本设置，包括接口、区域和安全策略，如 图 1 所示。

图 1：拓扑结构 Topology

有关先决条件的信息，请参阅 瞻博网络安全连接的系统要求。

您必须确保 SRX 系列防火墙使用签名证书或自签名证书，而非默认的系统生成证书。开始配置瞻博网络安全连接之前，必须执行以下命令将证书绑定到 SRX 系列防火墙：

例如：

其中 SRX_Certificate 是从证书颁发机构或自签名证书获取的证书。

CLI 快速配置

要在 SRX 系列防火墙上快速配置此示例，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改任何必要的详细信息以匹配您的网络配置，然后将命令复制并粘贴到 [edit] 层级的 CLI 中。

分步程序

要使用命令行界面配置 VPN 设置：

  1. 使用命令行界面 （CLI） 登录到 SRX 系列防火墙。
  2. 进入配置模式。
  3. 配置远程访问 VPN。

    要部署瞻博网络安全连接，您必须创建自签名证书，并将该证书绑定到 SRX 系列防火墙。有关更多信息，请参阅 瞻博网络安全连接入门。

    IKE 配置：

    1. 配置 IKE 提议。
      • 定义 IKE 提议身份验证方法、Diffie-Hellman 组和身份验证算法。
      • 将 预共享密钥 配置为身份验证方法。输入 ASCII 格式的预共享密钥。瞻博网络不支持使用十六进制格式的远程访问 VPN。
      请参阅 提议（安全性 IKE）。
    2. 配置 IKE 策略。

      设置 IKE 第 1 阶段策略模式、对 IKE 提议的引用以及 IKE 第 1 阶段策略身份验证方法。

      请参阅 策略（安全性 IKE）。
    3. 配置 IKE 网关选项。请参阅动态。

      如果未配置 DPD 值和版本信息，Junos OS 会为这些选项分配默认值。请参阅 失效对等体检测。

      为客户端配置要连接的外部接口 IP 地址。您必须为 瞻博网络安全连接 应用程序的“网关地址”字段输入相同的 IP 地址（在本例中为：https://192.0.2.0/）。请参阅 网关。

    IPsec 配置：

    1. 配置 IPsec 提议。
      请参阅 提议（安全性 IPsec）。
    2. 配置 IPsec 策略。
      • 指定 IPsec 第 2 阶段 PFS 以使用 Diffie-Hellman 组 19。
      • 指定 IPsec 第 2 阶段提议参考。
      请参阅 策略（安全性 IPsec）。

    IPsec VPN 配置：

    1. 配置 IPsec VPN 参数。请参阅 vpn（安全性）。
    2. 配置 VPN 流量选择器。请参阅流量选择器。
  4. 配置远程用户客户端选项。
    1. 配置远程访问配置文件。请参阅远程访问。
    2. 配置多设备用户访问以进行远程访问。

      要配置多设备用户访问，请确保满足以下先决条件：

      • 支持安全连接客户端版本。

      • 每个远程设备（计算机或智能设备）都有一个唯一的主机名。

      • 要减少许可证消耗，可以使用命令配置空闲超时选项 set security ipsec vpn vpn-name ike idle-time 以断开非活动连接。

      • 仅 group-ike-id支持 .

      您可以使用命令 clear security ike active-peer aaa-username user-name清除用户的所有 IKE 关联。

      多设备用户访问功能不适用于使用 radius 属性 Framed-IP-Address 的静态 IP 地址分配。用户的第一次连接将成功，但后续连接可能会失败。

      authd 进程分配静态地址，为用户提供首次连接的配置 IP 地址。对于后续连接，已验证进程将使用命令 set access address-assignment pool family [inet|inet6] host ip-address user-name 从池中选择一个空闲 IP。

    3. 配置远程访问客户端配置。请参阅 client-config。

    表 1 总结了远程用户设置选项。

    表 1：远程用户设置选项

    远程用户设置

    描述

    连接模式

    要手动或自动建立客户端连接，请配置相应的选项。

    • 如果配置 手册 选项，则在瞻博网络安全连接应用程序中，要建立连接，必须单击切换按钮或从菜单中选择 连接>连接 。

    • 如果配置 了“始终” 选项，则瞻博网络安全连接会自动建立连接。

    已知限制：

    Android 设备：如果使用或选择 “始终”，则会从第一个使用的 SRX 设备下载配置。如果第一个 SRX 系列防火墙配置发生变化，或者您连接到新的 SRX 设备，则不会将该配置下载到瞻博网络安全连接应用。

    这意味着，一旦您使用 Android 设备以 始终 模式连接，SRX 系列防火墙中的任何配置更改都不会对瞻博网络安全连接生效。

    失效对等体检测

    默认情况下，失效对等方检测 （DPD） 处于启用状态，以允许客户端检测 SRX 系列防火墙是否可访问;如果设备不可访问，请禁用连接，直到恢复可访问性。

    默认配置文件

    如果将 VPN 连接配置文件配置为默认配置文件，则只需在瞻博网络安全连接应用程序中输入网关地址。是否可以选择在瞻博网络安全连接应用中输入领域名称，因为该应用会自动选择默认配置文件作为领域名称。在此示例中，在 瞻博网络安全连接 应用程序的网关地址字段中输入 ra.example.com。

    注意：

    从 Junos OS 23.1R1 版开始，我们已在 [edit security remote-access] 层次结构级别隐藏了该default-profile选项。在 Junos OS 23.1R1 版之前的版本中，您可以使用此选项将其中一个远程访问配置文件指定为瞻博网络安全连接中的默认配置文件。但随着远程访问配置文件名称格式的更改，我们不再需要该default-profile选项。

    我们已弃default-profile用该选项，而不是立即将其删除，以提供向后兼容性，并有机会使现有配置符合更改后的配置。如果继续在配置中使用该default-profile选项，您将收到一条警告消息。但是，如果修改当前配置，现有部署不会受到影响。请参阅默认配置文件（瞻博网络安全连接）。
  5. 配置本地网关。
    1. 为客户端动态 IP 分配创建地址池。请参阅地址分配（访问）。

      • 输入用于地址分配的网络地址。

      • 输入您的 DNS 服务器地址。如果需要，输入 WINS 服务器详细信息。创建地址范围以将 IP 地址分配给客户端。

      • 输入名称以及下限和上限。

    2. 创建访问配置文件。

      对于外部用户身份验证，请提供 RADIUS 服务器 IP 地址、Radius 密钥和源地址，以接收 RADIUS 通信的来源。为身份验证顺序配置 RADIUS。

    3. 创建 SSL 终止配置文件。SSL 终止是 SRX 系列防火墙充当 SSL 代理服务器并终止来自客户端的 SSL 会话的过程。输入 SSL 终止配置文件的名称，然后选择用于 SRX 系列防火墙 SSL 终止的服务器证书。服务器证书是本地证书标识符。服务器证书用于验证服务器的身份。
    4. 创建 SSL VPN 配置文件。请参阅 tcp-encap。
    5. 创建防火墙策略。
      创建安全策略以允许从信任区域到 VPN 区域的流量。
      创建安全策略以允许从 VPN 区域到信任区域的流量。
  6. 配置以太网接口信息。

    将 st0 接口配置为族设置为 inet。

  7. 配置安全区域。
  8. 通过 远程用户和本地网关配置成功。
  9. 启动瞻博网络安全连接应用，并在瞻博网络安全连接应用的网关地址字段中提供为外部 IP 地址配置的相同瞻博网络安全连接 IP 地址。

    在此示例中，已将 192.0.2.0 配置为客户端要连接的外部接口 IP 地址。您必须为瞻博网络安全连接应用的“网关地址”字段输入相同的 IP 地址 （192.0.2.0）。

结果

在操作模式下，输入 show security、 show access和 show services 命令以确认您的配置。如果输出未显示预期的配置，请重复此示例中的配置说明进行更正。

确保您已具有要附加到 SSL 终止配置文件的服务器证书。

在设备上完成该功能的配置后，请从配置模式输入 commit。

相关文档