Как настроить сервер SSL VPN на шлюзе Omada в автономном режиме

Содержание

Введение

Требования

Настройка

Проверка работы

Заключение

Вопросы и ответы (Q&A)

Введение

SSL VPN позволяет разграничивать права доступа пользователей к ресурсам и улучшает управление всей сетью. В этой статье описан процесс настройки SSL VPN-сервера на шлюзе Omada в автономном режиме (Standalone mode).

Требования

В соответствии со следующей топологией сети создайте три учетные записи с различными правами доступа на SSL VPN-сервере для решения разных задач.

• Учетная запись 1: VPN-клиент использует VPN-сервер в качестве прокси для выхода в Интернет;
• Учетная запись 2: VPN-клиент имеет доступ только к VLAN 20 и не имеет доступа к VLAN 30;
• Учетная запись 3: VPN-клиент и устройства за сервером могут взаимодействовать только по протоколу ICMP.

Настройка

Шаг 1. Создайте пул IP-адресов VPN (VPN IP Pool). Перейдите в раздел Preferences > VPN IP Pool (Параметры > Пул IP-адресов VPN) и нажмите Add (Добавить). В данном примере укажите имя пула IP Pool Name как SSL_VPN, начальный IP-адрес Starting IP Address — 10.10.10.10, конечный IP-адрес Ending IP Address — 10.10.10.100, затем нажмите OK для сохранения настроек. Вы можете задать значения в соответствии с вашей сетью.

Убедитесь, что диапазон пула IP-адресов не пересекается ни с одной из созданных локальных сетей (LAN).

Шаг 2. Включите SSL VPN-сервер. Перейдите в раздел SSL VPN > SSL VPN Server и установите флажок Enable (Включить). На всплывающей странице выберите сервисный порт (Service port) — WAN/LAN4, а в качестве виртуального пула IP-адресов (Virtual IP Pool) выберите SSL_VPN, созданный на шаге 1. Установите основной DNS-сервер (Primary DNS) как 8.8.8.8 (вы можете указать его в соответствии с вашими требованиями), затем нажмите Save для сохранения параметров.

Основной DNS задается по вашему усмотрению, в данном примере используется публичный DNS-сервер Google.

Шаг 3. Создайте туннельные ресурсы. Перейдите в раздел SSL VPN > Resource Management > Tunnel Resources (Управление ресурсами > Туннельные ресурсы) и нажмите Add, чтобы создать два туннельных ресурса. Во всплывающем окне для Allow VLAN20 разрешите доступ к VLAN 20, а для AllowICMP укажите использование протокола ICMP для ограничения ресурсов.

Шаг 4. Создайте группы ресурсов. Перейдите в раздел SSL VPN > Resource Management > Resource Group (Управление ресурсами > Группа ресурсов) и нажмите Add, чтобы применить два туннельных ресурса, созданных на шаге 3, к двум различным группам ресурсов.

Убедитесь, что соответствующий ресурс привязан к правильной группе ресурсов.

Шаг 5. Создайте группы пользователей. Перейдите в раздел SSL VPN > User Management > User Group (Управление пользователями > Группа пользователей) и нажмите Add, чтобы создать три группы пользователей. Назначьте различные группы ресурсов этим трем группам пользователей в соответствии с разграничением прав для трех учетных записей. Обратите внимание: если требуется реализовать проксирование интернет-трафика клиента, выберите группу ресурсов Group ALL.

Шаг 6. Перейдите в раздел SSL VPN > User Management > User (Управление пользователями > Пользователь) и нажмите Add для создания трех учетных записей пользователей. Каждая учетная запись относится к своей группе пользователей; задайте имя пользователя (Username) и пароль (Password) по своему усмотрению.

Шаг 7. Экспортируйте сертификат. Перейдите в раздел SSL VPN > SSL VPN Server, нажмите Export Certificate (Экспорт сертификата) для скачивания файла конфигурации. Клиент сможет подключаться к серверу с помощью этого файла конфигурации.

Проверка работы

Используйте OpenVPN GUI на стороне клиента для импорта файла конфигурации и введите соответствующие имя пользователя и пароль для подключения.

Учетная запись 1: VPN-клиент использует VPN-сервер в качестве прокси для выхода в Интернет;

После успешного подключения сервер назначает VPN-клиенту IP-адрес 10.10.10.11. При обращении клиента к 8.8.8.8 первым узлом (hop) является VPN-туннель. Поскольку данные зашифрованы, соответствующий IP-адрес не может быть определен. Вторым узлом является шлюз по умолчанию VPN-сервера, и все данные клиента проходят через VPN-туннель, реализуя проксирование интернет-трафика.

Перейдите в раздел SSL VPN > Status (Статус) — здесь также отображается информация об активном подключении клиента.

Учетная запись 2: VPN-клиент имеет доступ только к VLAN 20 и не имеет доступа к VLAN 30

После успешного подключения сервер назначает VPN-клиенту IP-адрес 10.10.10.12. VPN-клиент может выполнить команду ping к устройству в VLAN 20 (192.168.20.100), но не может выполнить ping к устройству в VLAN 30 (192.168.30.100). В то же время доступ к веб-интерфейсу управления роутером возможен по адресу 192.168.20.1.

Учетная запись 3: VPN-клиент и устройства за сервером могут взаимодействовать только по протоколу ICMP.

После успешного подключения сервер назначает VPN-клиенту IP-адрес 10.10.10.13. VPN-клиент может выполнить команду ping к устройству в VLAN 20 (192.168.20.100) и к устройству в VLAN 30 (192.168.30.100). Однако интерфейс управления роутером по адресу 192.168.20.1 недоступен.

Заключение

В данном руководстве успешно реализовано решение SSL VPN с тремя различными уровнями доступа пользователей, адаптированными под конкретные сетевые задачи. Одна учетная запись обеспечивает полный доступ к Интернету через VPN-сервер, другая ограничивает доступ только сетью VLAN 20 с блокировкой VLAN 30, а третья разрешает только ICMP-взаимодействие с внутренними ресурсами. За счет сочетания настройки пула IP-адресов VPN, туннельных ресурсов и политик групп пользователей данная схема демонстрирует эффективный ролевой контроль доступа и повышает уровень безопасности управления сетью.

Вопросы и ответы (Q&A)

Вопрос 1: Что делать, если не удается подключиться к SSL VPN?

Ответ 1: Убедитесь, что сервер включен, проверьте правильность выбранного сервисного порта, а также убедитесь, что клиент использует верные имя пользователя, пароль и импортированный файл сертификата.

Вопрос 2: Почему VPN-клиент не может получить доступ к определенным VLAN?

Ответ 2: Проверьте, правильная ли группа ресурсов и туннельные ресурсы назначены группе пользователей. Ограничения доступа управляются именно этими параметрами.

Вопрос 3: Что делать, если забыт пароль пользователя?

Ответ 3: Перейдите в раздел User Management (Управление пользователями), отредактируйте учетную запись пользователя и задайте новый пароль.

Вопрос 4: Что делать, если у VPN-клиента нет доступа к Интернету?

Ответ 4: Убедитесь, что для группы ресурсов выбрано значение «ALL» для полного доступа, проверьте настройки DNS и убедитесь, что шлюз VPN-сервера имеет подключение к Интернету.

Вопрос 5: Почему VPN-клиент не получает IP-адрес?

Ответ 5: Проверьте правильность настройки пула IP-адресов VPN (VPN IP Pool) и наличие в нем свободных адресов. Также убедитесь в отсутствии конфликтов с существующими подсетями LAN.

Чтобы узнать больше о каждой функции и настройке, перейдите в Центр поддержки и скачайте руководство для вашего устройства.