Como configurar um servidor SSL VPN no Gateway Omada em modo autônomo (Standalone)
08-23-2022
25679
Introdução
A VPN SSL permite definir as permissões de acesso de cada usuário aos recursos e aprimorar o gerenciamento de toda a rede. Este artigo irá orientá-lo na configuração de um servidor SSL no Omada Gateway em modo autônomo.
Requisitos
De acordo com a seguinte topologia de rede, crie três contas com diferentes permissões no servidor VPN SSL para atender a diferentes requisitos.
- Conta 1: O cliente VPN implementa o acesso à Internet por meio de um proxy do servidor VPN;
- Conta 2: O cliente VPN só pode acessar a VLAN 20, mas não pode acessar a VLAN 30;
- Conta 3: O cliente VPN e os dispositivos atrás do servidor só podem interagir através do protocolo ICMP.
Configuração
Passo 1. Crie o Pool de IPs VPN. Navegue até Preferências > Pool de IPs VPN, clique em Adicionar. Aqui, nomeamos o Nome do Pool de IPs como SSL_VPN, configuramos o Endereço IP Inicial como 10.10.10.10, o Endereço IP Final como 10.10.10.100 e, em seguida, clicamos em OK para salvar as configurações. Você pode ajustar os valores de acordo com a sua rede.
Certifique-se de que o intervalo do pool de IPs não entre em conflito com nenhuma das LANs criadas.
Passo 2. Habilite o servidor VPN SSL. Acesse VPN SSL > Servidor VPN SSL e marque Habilitar. Na janela pop-up, selecione a porta de serviço WAN/LAN4 e o pool de IPs virtuais SSL_VPN, criado no passo 1. Defina o DNS primário como 8.8.8.8 (você pode configurá-lo de acordo com suas necessidades) e clique em Salvar para salvar as configurações.
O DNS primário é uma preferência; aqui estamos usando o servidor DNS público do Google.
Passo 3. Criar Recursos de Túnel. Vá para VPN SSL > Gerenciamento de Recursos > Recursos de Túnel, clique em Adicionar para criar os dois recursos de túnel a seguir. Na janela pop-up, Permitir VLAN20; PermitirICMP usa o protocolo ICMP para limitar os recursos.
Etapa 4. Criar Grupos de Recursos. Vá para VPN SSL > Gerenciamento de Recursos > Grupo de Recursos, clique em Adicionar para aplicar os dois recursos de túnel criados na etapa 3 a dois grupos de recursos diferentes.
Certifique-se de definir o recurso correspondente ao grupo de recursos correto.
Passo 5. Criar Grupo de Usuários. Acesse VPN SSL > Gerenciamento de Usuários > Grupo de Usuários, clique em Adicionar para criar três grupos de usuários. Atribua diferentes grupos de recursos aos três grupos de usuários de acordo com as diferentes permissões das três contas. Observe que, se você deseja implementar o acesso à Internet por proxy do cliente, selecione "Agrupar TODOS" para o grupo de recursos.
Passo 6. Acesse VPN SSL > Gerenciamento de Usuários > Usuário e clique em Adicionar para criar três contas de usuário. Cada conta corresponde a um grupo de usuários diferente, e você pode definir o nome de usuário e a senha de acordo com suas necessidades.
Etapa 7. Exportar Certificado. Acesse VPN SSL > Servidor VPN SSL, clique em Exportar Certificado para exportar o arquivo de configuração. O cliente poderá então se conectar ao servidor utilizando este arquivo de configuração.
Verificação
Use a interface gráfica do OpenVPN no cliente para importar o arquivo de configuração e insira o nome de usuário e a senha correspondentes para se conectar.
Conta 1: O cliente VPN implementa o acesso à Internet por meio de um proxy do servidor VPN;
Após uma conexão bem-sucedida, o servidor atribui ao cliente VPN o endereço IP 10.10.10.11. Quando o cliente acessa 8.8.8.8, o primeiro salto é o túnel VPN. Como os dados são criptografados, o endereço IP correspondente não pode ser resolvido. O segundo salto é o gateway padrão do servidor VPN, e todos os dados do cliente passam pelo túnel VPN para realizar o acesso à Internet via proxy.
Acesse SSL VPN > Status. Informações sobre a conexão do cliente também serão exibidas aqui.
Conta 2: O cliente VPN só pode acessar a VLAN 20, mas não pode acessar a VLAN 30
Após uma conexão bem-sucedida, o servidor atribui ao cliente VPN o endereço IP 10.10.10.12. O cliente VPN consegue pingar o dispositivo na VLAN 20 (192.168.20.100), mas não consegue pingar o dispositivo na VLAN 30 (192.168.30.100). Ao mesmo tempo, a interface de gerenciamento do roteador pode ser acessada através do endereço 192.168.20.1.
Conta 3: O cliente VPN e os dispositivos atrás do servidor só podem interagir através do protocolo ICMP.
Após uma conexão bem-sucedida, o servidor atribui ao cliente VPN o endereço IP 10.10.10.13. O cliente VPN consegue pingar o dispositivo na VLAN 20 (192.168.20.100) e o dispositivo na VLAN 30 (192.168.30.100). No entanto, a interface de gerenciamento do roteador não pode ser acessada através do endereço 192.168.20.1.
Conclusão
Esta configuração implementou com sucesso uma solução VPN SSL com três níveis distintos de acesso de usuário, adaptados a requisitos específicos da rede. Uma conta permite acesso total à internet via proxy por meio do servidor VPN, outra restringe o acesso apenas à VLAN 20, bloqueando a VLAN 30, e a terceira impõe comunicação estrita somente via ICMP com recursos internos. Ao combinar a alocação de pool de IPs da VPN, recursos de túnel e políticas de grupo de usuários, a configuração demonstra um controle de acesso baseado em funções eficaz e uma gestão de segurança de rede aprimorada.
QA
P1: O que devo fazer se não conseguir me conectar à VPN SSL?
A1: Verifique se o servidor está habilitado, confirme se a porta de serviço correta está selecionada e verifique se o cliente está usando o nome de usuário, a senha e o arquivo de certificado importado corretos.
P2: Por que o cliente VPN não consegue acessar determinadas VLANs?
A2: Certifique-se de que o grupo de recursos e os recursos de túnel corretos estejam atribuídos ao grupo de usuários. As restrições de acesso são controladas por essas configurações.
P3: O que devo fazer se esquecer a senha de um usuário?
A3: Acesse a seção Gerenciamento de Usuários, edite a conta do usuário, visualize e/ou defina uma nova senha.
P4: O que devo fazer se o cliente VPN não conseguir acessar a internet?
A4: Verifique se o grupo de recursos está definido como "TODOS" para acesso total, verifique as configurações de DNS e certifique-se de que o gateway do servidor VPN tenha conectividade com a internet.
P5: Por que o cliente VPN não está recebendo um endereço IP?
A5: Verifique se o pool de IPs da VPN está configurado corretamente e se possui endereços IP disponíveis. Certifique-se também de que não haja conflitos com as sub-redes LAN existentes.
Para saber mais sobre cada função e configuração, visite Página Inicial de Suporte para baixar ou consultar o manual do seu produto.
