2020年最佳 è‹¹æžœè¯•çŽ æŽâ€™è¡Œæ¦œiphone Vpn å¤ å¤ æ¸¸èµšç½‘
首次访问文件共享资源，要先通过文件服务器的认证 这里所说的认证一定要和SSL VPN 登录时的认证区分开，在登录阶段，远程用户首先要通过的是防火墙认证 而此时要访问文件共享资源，当然要看文件服务器是否答应 在单击资源列表中的"Public_share"时会弹出认证页面，如图eight-9所示 认证通过后显示文件资源页面，如图eight-10所示 图eight-10 文件共享的文件操作 上面的访问过程，强叔理解可以分解为认证和显示文件夹两个阶段，那么真正的交互过程是否是这样呢？
没错，看来强叔的理解是正确的，Login.html/LoginResult.html均是认证的页面，而且将加密报文解密后，LoginResult.html还包括了待文件服务器认证的用户名和密码 另外的Dirlist.html正是显示文件夹结构的页面 下载文件的页面以及对应的URL如图eight-11所示 但是要注意，这里有一点URL解码的内容，例如CurrentPath的取值2F解码之后是/，表示当前资源的根目录 代理上网_点击 重命名文件夹的页面如图eight-12所示 图eight-thirteen 重命名文件夹操作对应的URL 在防火墙和文件服务器之间抓包结果如下所示
为了解决这个问题，我们可以在防火墙上配置明细路由，让防火墙严格按照 ISP1和ISP2各自的公网地址来选路 但ISP1和ISP2的公网地址数量很大，配置起来工作量大，不太现实 为此，防火墙提供了源进源回（或者叫源进源出）功能，即请求报文从某条路径进入，响应报文依然沿着同样的路径返回，而不用查找路由表来确定出接口，保证了报文从同一个接口进出 图four-16 报文没有从同一接口进出导致NAT Server业务不通 源进源回功能在接口上配置，防火墙连接ISP1和ISP2的两个接口上都需要配置 下面给出了在接口GE1/0/2上开启源进源回功能的配置命令，这里假设ISP1提供的下一跳地址是1.1.1.254，该命令适用于USG9500系列防火墙
如果是USG2000/5000系列防火墙，相应的配置命令是： 如果是USG6000系列防火墙，相应的配置命令是： 经过前面几节的介绍，相信大家已经对源NAT 和NAT Server 有了相当了解
服务器响应信息中包含接下来使用的认证方式以及 sixteen 位挑战随机数 这里使用了一种安全的认证机制：NT挑战/响应机制，即NTLM，如下所示 （1）服务器产生一个sixteen位随机数字发送给防火墙，作为一个挑战随机数 （2）防火墙使用HASH算法生成用户密码的哈希值，并对收到的挑战随机数进行加密 同时将自己的用户名，使用明文传输，一并返回给服务器 （3）服务器将用户名、挑战随机数和防火墙返回的加密后的挑战随机数，发送给域控制器 （four）域控制器按用户名在密码管理库中找到用户密码的哈希值，也用来加密挑战随机数
如果防火墙上没有配置到该公网用户的明细路由，只配置了缺省路由，就可能会导致回应报文从连接ISP2的链路即GE1/0/three接口发出 该报文在ISP2的网络中传输时凶多吉少，很有可能就回不到ISP1中，访问就会中断
随着信息化技术的发展，有时候，信息化管理已经不再是企业自己的事情，更是一种跟客户进行谈判的手段 如笔者企业，就有不少的老外客户，他们在跟我们谈订单的时候，就特别强调，他们要能够访问我们公司的ERP系统，查询他们订单的处理进度
NAT功能就像一个武林高手，可内可外，游刃有余，那么这"一内一外"能否配合使用呢？ 如果需要同时改变报文的源地址和目的地址，就可以配置"源NAT+NAT Server"，我们称此类NAT技术为双向NAT 这里需要注意：双向NAT不是一个单独的功能，而是源NAT 和NAT Server 的组合 这里"组合"的含义是针对同一条流（例如公网用户访问私网服务器的报文），在其经过防火墙时同时转换报文的源地址和目的地址 大家千万不能理解为"防火墙上同时配置了源NAT 和NAT Server 就是双向NAT"，这是不对的，因为源NAT 和NAT Server 可能是为不同流配置的
尽管都是对象级别的资源访问，但URL与文件共享不同，访问URL本身使用的就是HTTP协议，而SSL协议生来就和HTTP是天生一对，因此在Web代理功能中，已经不再涉及协议转换的内容 但是我们还是要围绕两个最核心的内容进行阐述：URL级别的访问控制和隐藏真实的URL地址 Web代理，也就是通过防火墙做代理访问内网的Web服务器资源（也就是URL资源）
最简单的说，分公司的财务人员在往企业总公司放财务报表的时候，不需要频繁的输入用户名与密码 这就是说，企业两端的VPN服务器需要设置统一的访问帐户与密码 就好像现在有些网站推出的"一号通"功能，利用同一个帐号，就可以登陆博客、邮箱、论坛等等
