Shunze 學園 >資訊設備專區 >Sophos XG > 《分享》如何限制SSL VPN可連線的Client端IP 哈囉,還沒有註冊或者登入。請你[註冊|登入]
« 上一篇主題 下一篇主題 » 顯示成列印模式 | 增加到我的最愛
發表新主題 發表回覆
作者
主題
shunze
工友伯伯


註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2392

shunze 離線
《分享》如何限制SSL VPN可連線的Client端IP引用回覆 編輯/刪除文章 搜尋由  發表的其他文章 回報給版主 IP 位置 回此頁最上方

有網友在問,如何限制SSL VPN可連線的Client端IP?

由於SSL VPN是直接連到XG本身,也就是XG上所謂LOCAL這個特殊區域,
並不是LAN或是WAN這些可以透過Firewall Rule進行控管的區域,
因此沒有辦法透過Firewall Rule進行限制。

要限制可以使用SSL VPN的前端使用者IP,其實就跟 限制XG的管理連線 一樣,
必需在Device Access中來進行。


首先我們先在Device Access中,取消WAN的SSL VPN存取。



然後在Local Service ACL Exception Rule中,再加入欲允許連線的使用者IP例外放行規則。



在例外放行規則中,指定Source Zone為WAN,Service為SSL VPN,
並在Network/Host中,將欲放行的IP加入此清單之中;
最後再允許此例外規則。



完成後,雖然我們已經取消WAN的SSL VPN使用權限,
但上述的例外放行規則倒是允許了我們所設定的小範圍外部IP使用權限,
理論上是達成了這個需求~




但真的是這樣嗎?
實際在進行SSL VPN的撥接時,會發現Client端user永遠都無法成功撥入!?

這是因為SSL VPN的設定檔在製作時,會參考XG上Device Access裏SSL VPN允許的Zone區域設定,
然後以如下的remote參數把它寫在設定檔 XXX_ssl_vpn_config.ovpn 中的最後幾行。

remote <介面IP> 8443



在我們把WAN自SSL VPN所允許的區域取消後,設定檔中的remote IP參數就少了WAN的介面IP,
造成了SSL VPN在連線撥接時,找不到XG的WAN IP來進行連線,
SSL VPN當然無法成功撥通...


解決方式是手動修改此SSL VPN設定檔 XXX_ssl_vpn_config.ovpn,路徑如下。
C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config

在補回這個WAN的remote IP參數後,問題總算是解決了~



♥順子老婆的網拍,請多關照~

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!


2017-09-04, 21:50 shunze 的個人資料 把 shunze 加入好友列表 發送Email給 shunze 瀏覽 shunze 的網站 MSN : shunze@gmail.com
shunze
工友伯伯


註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2392

shunze 離線
《分享》反向思考,換個角度來進行引用回覆 編輯/刪除文章 搜尋由  發表的其他文章 回報給版主 IP 位置 回此頁最上方

在上文,我們知道了要限制SSL VPN Client端的連線必需在Device Access中設限,
也知道了取消WAN的SSL VPN權限後,會造成設定檔少了WAN IP參數而必需手動修改ovpn設定檔以補回此參數,
那麼有沒有更理想的方式,不需要使用者去修改設定檔,也可以達到目的呢?


有的,不過這需要做個反向思考。

假設我們要限制IP,必需要關掉WAN的SSL VPN權限,然後再開放特定IP來做例外放行;
那麼我們也可以反過來,開放WAN的SSL VPN權限,然後封鎖不必要的IP連線,一樣可以達成需求!



雖然我們無法在例外中逐一輸入不必要的IP來進行封鎖,
但我們可以在建立好需要的例外放行規則後,
再建立一筆封鎖規則來所有IP的SSL VPN服務,並放在上述的放行規則之後。





由於例外中的規則也是有先後順序,由上往下逐一比對來進行規則的套用,
所以在允許放行的IP之後,其它所有IP就會被此封鎖規則所阻擋,
間接的完成了SSL VPN Client端IP的存取限制。

這個做法明顯的比上一篇簡單多了~



♥順子老婆的網拍,請多關照~

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!


2017-09-05, 22:33 shunze 的個人資料 把 shunze 加入好友列表 發送Email給 shunze 瀏覽 shunze 的網站 MSN : shunze@gmail.com
  « 上一篇主題 下一篇主題 »
發表新主題 發表回覆
跳到:

Powered by: Burning Board 1.1.1 2001 WoltLab GbR