SSL VPN

本帮助主要介绍以下内容：

特性简介

SSL VPN是以SSL（Secure Sockets Layer，安全套接字层）为基础的VPN（Virtual Private Network，虚拟专用网络）技术。SSL VPN充分利用了SSL协议提供的基于证书的身份认证、数据加密和消息完整性验证机制，能够为应用层之间的通信建立安全连接。

SSL VPN可以为企业或机构提供安全、快捷的远程网络接入服务，并适合移动接入。企业员工可以使用移动客户端在任意能够访问互联网的位置安全地接入到企业内部网络，访问内部网络的共享资源。

SSL VPN工作机制

SSL VPN网关，在SSL VPN网关上创建与企业网内服务器对应的资源。
远程接入用户与SSL VPN网关建立HTTPS连接，通过SSL提供的基于证书的身份验证功能，SSL VPN网关和远程接入用户可以验证彼此的身份。
远程接入用户输入用户名、密码等身份信息，SSL VPN网关对用户的身份进行认证，并对用户可以访问的资源进行授权。
用户获取到可以访问的资源，通过SSL连接将访问请求发送给SSL VPN网关。
SSL VPN网关将资源访问请求转发给企业网内的服务器。
SSL VPN网关接收到服务器的应答后，通过SSL连接将其转发给用户。

SSL VPN 典型组网

SSL VPN的典型组网方式主要有两种：网关模式和单臂模式。

在网关模式中，SSL VPN网关直接作为网关设备连接用户和内网服务器，所有流量将通过SSL VPN网关进行转发。网关模式可以提供对内网的完全保护，但是由于SSL VPN网关处在内网与外网通信的关键路径上，其性能对内外网之间的数据传输有很大的影响。
在单臂模式中，SSL VPN网关不作为网关设备。用户访问内网服务器时，流量将先由网关设备转发到SSL VPN网关，经SSL VPN网关处理后再转发到网关设备，由网关设备转发到内网服务器。在单臂模式中，SSL VPN网关不处在网络通信的关键路径上，其性能不会影响内外网的通信。但是这种组网使得SSL VPN网关不能全面地保护企业内部的网络资源。

SSL VPN接入方式

隧道业务方式

隧道业务方式用来实现远程主机与企业内部服务器网络层之间的安全通信，进而实现所有基于IP的远程主机与服务器的互通，如在远程主机上ping内网服务器。

用户通过隧道业务方式访问内网服务器前，需要安装专用的隧道业务客户端软件（iNode），该客户端软件会在SSL VPN客户端上安装一个虚拟网卡。

Web代理方式

Web代理方式是指用户使用浏览器，通过HTTPS协议访问SSL VPN网关提供的Web资源。用户登录后，Web页面上会显示用户可访问的资源列表，用户选择需要访问的资源直接访问。Web代理方式中，所有数据的显示和操作均通过Web页面进行。

目前，通过Web代理方式可以访问的资源只有Web服务器。

TCP代理方式

TCP代理方式是指用户对企业内部服务器开放端口的安全访问。通过TCP代理方式，用户可以访问任意基于TCP的服务，包括远程访问服务（如Telnet）、桌面共享服务、电子邮件服务、Notes服务以及其他使用固定端口的TCP服务。

用户利用TCP代理方式访问内网服务器时，需要在SSL VPN客户端（用户使用的终端设备）上安装专用的TCP代理客户端软件，由该软件实现使用SSL连接传送应用层数据。

BYOD接入方式

BYOD接入方式用来实现移动客户端对企业内部服务器进行安全访问。

移动客户端利用BYOD接入方式访问内网服务器时，需要在客户端上安装移动客户端专用的客户端软件，并在SSL VPN网关上为客户端指定EMO（Endpoint Mobile Office，终端移动办公）服务器。移动客户端通过EMO服务器来获取可以访问的内网资源。

资源访问控制

SSL VPN采用基于用户的权限管理方法，可以根据用户的身份，限制用户可以访问的资源。

如图-1所示，SSL VPN对资源的管理方式为：同一台SSL VPN网关上可以创建多个SSL VPN访问实例（SSL VPN context）。每个SSL VPN访问实例包含多个资源组。资源组包含一系列规则，这些规则为用户定义了可访问的资源，包含Web接入资源、TCP代理资源、隧道业务资源等。

图-1 SSL VPN资源管理方式

SSL VPN用户访问网关的方式，及每种访问方式下SSL VPN网关判断该用户所属的SSL VPN访问实例的方法为：

直接访问：SSL VPN用户直接输入网关的IP地址和端口号访问网关。只有SSL VPN网关上仅存在一个SSL VPN访问实例时，可以采用此方式。SSL VPN用户属于该SSL VPN访问实例。
通过域名列表访问：为不同的SSL VPN访问实例指定不同的域名。远端用户输入网关的IP地址和端口号登录SSL VPN网关后，进入Domain List页面，在该页面上选择自己所在的域。SSL VPN网关根据用户选择的域判断该用户所属的SSL VPN访问实例。
通过主机名访问：为不同的SSL VPN访问实例指定不同的主机名称。远端用户访问SSL VPN网关时，输入主机名称。SSL VPN网关根据主机名称判断该用户所属的SSL VPN访问实例。

SSL VPN网关判断出用户所属的SSL VPN访问实例后，根据SSL VPN访问实例所在的ISP域对用户进行认证和授权，授权结果为资源组名称。如果某个用户被授权访问某个资源组，则该用户可以访问该资源组下的资源。如果没有为用户进行授权，则用户可访问的资源由缺省资源组决定。

SSL VPN网关对用户的认证和授权通过AAA来完成。目前，SSL VPN支持的AAA协议包括RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）协议和LDAP（Lightweight Directory Access Protocol，轻量级目录访问协议）协议。在实际应用中，RADIUS协议较为常用。

vSystem相关说明

非缺省vSystem对于本特性的支持情况，请以页面的实际显示为准。

使用限制和注意事项

SSL VPN功能使用限制和注意事项

SSL VPN功能仅支持在双机热备的主备运行模式下，并需配合VRRP联动的组网环境中进行高可靠性部署，其他双机热备模式下暂不支持可靠性部署。有关双机热备的详细介绍，请参见双机热备模块相关说明。

SSL VPN网关使用限制和注意事项

修改SSL VPN网关引用的SSL服务器端策略，或修改该策略内的SSL相关配置后，需要重新使能网关，否则新的配置不能生效。

访问实例使用限制和注意事项

配置访问实例关联网关时，设备默认采用直接访问方式，即SSL VPN用户直接输入网关的IP地址和端口号访问网关。如需配置通过域列表或主机名访问网关，请到CLI管理界面下进行配置，Web管理界面暂不支持配置访问方式。
新建访问实例时，设备默认仅支持关联一个网关，如需关联多个网关，请在完成新建访问实例后重新编辑该访问实例，指定多个关联的网关。

Web代理方式使用限制和注意事项

配置Web代理方式时，如果设备的引擎板个数大于1时，需要创建安全引擎地址池，并在SSL VPN访问实例中引用该地址池。安全引擎地址池中的地址需要与SSL VPN网关上连接内网服务器的接口IP地址在同一网段，且地址池中的地址数目需要大于引擎板的数目。

TCP代理方式使用限制和注意事项

客户端主机地址建议配置为127.0.0.0/8网段的地址，或者配置为主机名或域名。
主机通过TCP代理方式访问内网资源时，可能会修改主机上的Host文件，此时需要使用该主机的用户具有管理员权限。
主机上要求安装Java运行环境。
配置TCP代理方式时，如果设备的引擎板个数大于1时，需要创建安全引擎地址池，并在SSL VPN访问实例中引用该地址池。安全引擎地址池中的地址需要与SSL VPN网关上连接内网服务器的接口IP地址在同一网段，且地址池中的地址数目需要大于引擎板的数目。

隧道业务方式使用限制和注意事项

禁用IP接入接口可能会导致IP接入业务中断，请谨慎执行本操作。
为客户端地址池配置的网段需要满足以下要求：
- 不能和客户端物理网卡的IP地址在同一个网段。
- 不能包含SSL VPN网关所在设备的接口地址，否则会导致地址冲突。
- 不能和欲访问的内网地址在同一个网段。
配置SSL VPN用户绑定的IP地址必须属于用户登录的SSL VPN访问实例引用的地址池或用户被授权的资源组引用的地址池。
未关联VPN实例或在同一VPN实例中，不同SSL VPN用户不能绑定相同的IP地址。
隧道业务方式需要与NAT配合使用。在SSL VPN用户访问内网时，需要在SSL VPN网关连接内网服务器的接口上配置NAT对源地址进行转换。如果不做源地址转换，则反向报文的目的地址为虚拟网卡地址，未做统一分配和引流，该报文不能引向正确的引擎。
配置NAT时需要注意：
- NAT地址组中的地址需要与SSL VPN网关上连接内网服务器的接口IP地址在同一网段。
- 进行NAT转换的源地址应为SSL VPN网关分配给客户端的地址。

域名使用限制和注意事项

配置域名（如配置Web接入资源中的URL、端口转发表项中的客户端主机名）时，需要由用户保证域名的合法性，SSL VPN不检查域名是否存在以及是否合法。

页面模板使用限制和注意事项

用户上传的自定义模板文件必须以.zip为拓展名。
用户上传的自定义模板文件中必须在其根路径下包含home.html和login.html两个文件。

LDAP认证使用限制与注意事项

SSL VPN用户使用LDAP认证时，必须使用LDAP授权。管理员需要使用CLI方式在设备上进行LDAP的相关配置。

高可靠性支持SSL VPN安全引擎地址池使用限制与注意事项

在HA与VRRP配合的高可靠性组网环境中，当需要在HA的设备上使用安全引擎地址池功能时，必须将安全引擎地址池与VRRP备份组进行绑定，否则安全引擎地址池功能无法正常运行

单点登录使用限制和注意事项

自动构建登录请求方式下的单点登录，选择用户组作为登录参数时，只支持远程用户。
自动构建登录请求方式下的单点登录，只支持从SSL VPN资源页面单击URL链接时才会自动登录，不支持在地址栏或URL输入框中打开资源。
自动构建登录请求方式下的单点登录，不支持登录需要图形校验码校验的页面。
自动构建登录请求方式下的单点登录，不支持登录需要挑战码验证或调用脚本的页面。

企业微信认证使用限制和注意事项

若SSL VPN访问实例开启了企业微信认证功能，则该访问实例仅支持通过直接访问网关方式关联SSL VPN网关。

URI ACL使用限制和注意事项

URI ACL规则内容的格式为protocol://host:port/path，其中protocol和host必须指定。

protocol表示协议名称，支持的取值包括：http、https、tcp、udp、icmp和ip。
host表示主机IP地址或域名，支持的格式如下：
- 支持的主机地址格式如下：
  - IPv4地址或IPv6地址，例如：192.168.1.1。
  - 使用字符-表示的IPv4地址或IPv6地址范围，例如：3.3.3.1-3.3.3.200。
  - 指定子网掩码长度的IPv4地址或指定前缀长度的IPv6地址，例如2.2.2.2/24。
  - 以上三种格式的组合，使用逗号分隔，例如：192.168.1.1,3.3.3.1-3.3.3.200,2.2.2.2/24。
- 支持的域名格式包括精确的主机域名，例如www.domain.example.com、以及包含通配符的主机域名。其中，支持的通配符包括：
  - *：匹配零个或多个任意字符，例如：*.com。
  - ?：匹配单个任意字符，例如：www.do?main.com。
  - %：匹配本级域名为任意字符，例如：www.%.com。
port表示主机端口。若未指定，则使用该协议的缺省端口号。支持的端口格式如下：
- 单个端口，例如：1002。
- 使用字符-表示的端口范围，例如：8080-8088。
- 以上两种格式的组合，使用逗号分隔，例如：1002,90,8080-8088。
path表示主机上的文件或目录，以一个或多个/或\分隔的路径。路径支持的通配符包括：
- *：匹配零个或多个任意字符，例如：/path1/*。
- ?：匹配单个任意字符，例如：/path?/。
- %：匹配本级域名为任意字符，例如：/path1/%/。

配置指南

配置思路

为方便使用，SSL VPN提供了向导式的Web配置页面。如图-2所示，进入“新建访问实例”页面后，按照Web页面提示，逐步完成如下配置后即可使用SSL VPN功能：

图-2 SSL VPN配置指导图

除了按照配置向导逐步完成SSL VPN配置外，管理员还可以进行以下操作：

通过“网关”、“客户端地址池”、“IP接入接口”页面创建和修改网关、客户端地址池、IP接入接口。
在“编辑访问实例”页面配置SSL VPN用户登录的SSL VPN网关Web页面的形式，包括页面模板、页面标题、登录页面欢迎信息、登录页面是否显示密码输入框、Logo。
在“编辑访问实例”的“页面配置”页面配置登录页面和资源页面的中英文页面公告信息、供用户下载的中英文页面文件、中英文页面密码复杂度提示信息以及改写服务器返回信息。
在“全局配置”页面，管理员可以上传自定义隧道业务客户端供用户下载使用，也可选择已上传的页面模板作为全局页面模板。
当使用高可靠性功能时，可以在“全局配置”页面，配置SSL VPN备份通道使用的HA端口号。设备将使用此端口号以及高可靠性模块配置的“对端IP地址”，与HA的对端设备建立SSL VPN备份通道，此通道专用于SSL VPN用户信息的备份。此功能不同设备的支持情况不同，请以设备Web页面的实际支持情况为准。
在“模板管理”页面，点击创建按钮，弹出“新建自定义模板页面”，管理员可以上传自定义页面模板。上传后，管理员可在“全局配置”或“编辑访问实例”页面引用该页面模板。
通过“统计信息”页面，管理员可以查看在线用户信息，以及隧道业务相关的统计信息。
单点登录功能支持在“全局配置”页面，配置导出用户自定义配置和导入用户自定义配置。导出用户自定义配置用于导出当前用户在SSL VPN资源页面配置的自定义用户名和密码；导入用户自定义配置用于导入用户在SSL VPN资源页面配置的自定义用户名和密码。
当NAT模块下发OpenFlow流表功能关闭时，设备将无法借助NAT模块对流量进行引流，为保证IP接入业务的正常处理，可以在“全局配置”页面开启IP接入引流功能。

配置准备

在配置本特性之前，需要完成以下任务：

配置接口IP地址。接口在“网络 > 接口与VRF > 接口”页面配置。
配置路由，保证路由可达。路由在“网络 > 路由”页面配置。
创建安全域。安全域在“网络 > 安全域”页面配置。
配置接口加入安全域。可在安全域页面添加接口，也可在接口页面选择接口所属的安全域。
配置安全策略，放行业务流量。安全策略在“策略 > 安全策略”页面配置。
配置PKI，为SSL VPN网关获取数字证书，PKI在“对象 > 证书与密钥 > PKI”页面配置。
配置SSL服务器端策略。SSL服务器端策略在“对象 > SSL > 服务器端策略”页面配置。

使用隧道业务方式访问内网资源

隧道业务方式适用于需要实现远程主机与企业内部服务器之间全面网络层通信的场景，如在远程主机上ping内网服务器或运行需要稳定网络连接的应用程序。

需要注意，使用此方式时必须安装专用的客户端软件（iNode）。

配置网关

SSL VPN网关的具体配置步骤如下：

选择“网络 > VPN > SSL VPN > 网关”。

在“网关”页面单击<新建>按钮，进入“新建网关”页面，具体配置内容如下：

图-3 SSL VPN网关页面

图-4 新建网关

表-1 网关配置

参数	说明
网关	SSL VPN网关的名称
IP地址选择方式	SSL VPN网关IP地址的选择方式，包括使用接口IP地址和自定义IP地址
IP地址类型	SSL VPN网关的IP地址类型，包括IPv4和IPv6
使用接口IP	可通过在下拉框中选择指定的接口获取相应的IP地址作为SSL VPN网关的IP地址不可选择设备的管理地址
IP地址	SSL VPN网关的IP地址
HTTPS端口	SSL VPN网关的HTTPS端口号
SSL服务器端策略	SSL VPN网关引用的SSL服务器端策略
（可选）VRF	SSL VPN网关所属的VRF 本参数仅支持在编辑网关页面进行配置
使能	开启SSL VPN网关

单击<确定>按钮，完成网关配置。

配置访问实例-基本配置

配置访问实例的基本属性，包括访问实例关联的网关、开启访问实例等。具体配置步骤如下：

选择“网络 > VPN > SSL VPN > 访问实例”。
在“访问实例”页面单击<新建>按钮，进入“新建访问实例”页面。
图-5 访问实例页面

在“基本配置”页签，配置访问实例基本配置，具体配置内容如下：

图-6 访问实例-基本配置

表-2 访问实例基本配置

参数	说明
访问实例	访问实例名称
关联网关	访问实例引用的网关在关联网关下拉框中选择网关，如果未创建网关，单击<添加关联网关>按钮，可进入“新建网关”页面，创建网关多个访问实例引用同一个网关时，可以为不同访问实例指定域名或主机名。如果不指定域名或主机名，则网关只能被一个访问实例引用
开启访问实例	开启访问实例
安全引擎地址池	如果设备的引擎板个数大于1时，需要创建安全引擎地址池，并在SSL VPN访问实例中引用该地址池。安全引擎地址池中的地址需要与SSL VPN网关上连接内网服务器的接口IP地址在同一网段，且地址池中的地址数目需要大于引擎板的数目
（可选）自动生成安全策略	开启自动生成安全策略功能后，设备将在创建SSL VPN访问实例时，自动生成放通SSL VPN业务报文的安全策略

单击<下一步>按钮，进入“业务选择”页签。

配置访问实例-业务选择

配置外网用户通过IP接入方式可以访问的内网资源。具体配置内容如下：

开启隧道业务，使用户可通过IP接入方式访问内网资源。在“业务选择”页签，单击划钮开启隧道业务。
图-7 隧道业务配置
指定SSL VPN访问实例引用的IP接入接口，从而有效地分隔SSL VPN流量和其他类型的网络流量。
在IP接入接口区域，选择IP接入接口。其中，IP接入接口可通过如下方式创建：
- 单击<添加IP接入接口>按钮，进入“新建接口”页面，输入接口编号，单击<确定>按钮，进入“修改接口设置”页面，配置接口安全域和IP地址。单击<确定>按钮，完成IP接入接口配置。
  图-8 添加IP接入接口
  
  图-9 新建接口
  
  图-10 修改接口设置
- 或者选择“网络 > VPN > SSL VPN > IP接入接口”。单击<新建>按钮，进入“新建接口”页面，具体配置内容与上述方式相同。
指定SSL VPN网关引用的IPv4或IPv6地址池。客户端使用隧道业务方式访问SSL VPN网关时，网关需要为客户端分配IP地址，以确保客户端能够通过网关隧道与内部网络进行通信。
在隧道模式区域，选择隧道模式以及相应的客户端地址池后，SSL VPN网关将使用该地址池为客户端分配地址。其中，客户端地址池可通过如下方式创建，创建完成后还需要配置客户端IPv4地址掩码或客户端IPv6地址前缀：
- 单击<添加客户端地址池>按钮，进入“新建客户端IPv4地址池”或者“新建客户端IPv6地址池”页面，配置地址池的名称以及地址池的起始和结束地址。单击<确定>按钮，完成客户端地址池配置。
  图-11 添加客户端地址池（仅以IPv4客户端地址池为例）
  
  图-12 新建客户端地址池（仅以IPv4客户端地址池为例）
- 或者选择“网络 > VPN > SSL VPN > 客户端地址池”。可分别在客户端IPv4地址池和客户端IPv6地址池页签创建相应的地址池，具体配置内容与上述方式相同。

配置隧道业务资源（IPv4和IPv6接入资源）。隧道业务方式下，通过路由表项来定义可访问的资源，可以有效控制和限制客户端的访问范围，提高网络安全性。

在IPv4接入资源区域，单击<新建>按钮，进入“新建IPv4路由列表”页面，配置IPv4路由列表名称。在“IPv4路由列表表项”区域，单击<新建>按钮，进入“新建IPv4路由表项”页面，具体配置内容如下：

图-13 新建IPv4路由列表

图-14 新建IPv4路由表项

表-3 配置IPv4路由表项

参数	说明
类型	类型包括包含和排除。包含表示在路由列表中添加路由，路由的目的网段需要是企业内部服务器所在的网络。排除表示客户端在本地添加这些路由表项，匹配这些路由表项的报文将不会被发送给SSL VPN网关
子网地址	路由的目的地址
掩码长度	路由目的地址的掩码长度

单击<确定>按钮，完成配置路由表项。单击<确定>按钮，完成配置路由列表。

在IPv6接入资源区域，单击<新建>按钮，进入“新建IPv6路由列表”页面，配置IPv6路由列表名称。在“IPv6路由列表表项”区域，单击<新建>按钮，进入“新建IPv6路由表项”页面，具体配置内容如下：

图-15 新建IPv6路由列表

图-16 新建IPv6路由表项

表-4 配置IPv6路由表项

参数	说明
类型	类型包括包含和排除。包含表示在路由列表中添加路由，路由的目的网段需要是企业内部服务器所在的网络。排除表示客户端在本地添加这些路由表项，匹配这些路由表项的报文将不会被发送给SSL VPN网关
子网地址	路由的目的地址
前缀长度	路由目的地址的前缀长度

单击<确定>按钮，完成配置IPv6路由表项。单击<确定>按钮，完成配置IPv6路由列表。

单击<下一步>按钮，进入资源授权页面。

配置访问实例-资源授权

资源授权分为两个部分：资源组和角色授权。需要先创建资源组，定义用户可访问的资源范围，然后在角色授权页面，将用户角色与资源组进行关联，确保不同角色的用户拥有与其关联的资源组内所有资源的访问权限。

资源组的具体配置步骤如下：

创建资源组。在“资源组”区域，单击<新建>按钮，进入“新建资源组”页面，需要配置资源组名称、快速访问资源和引用的快捷方式列表。

图-17 访问实例-资源授权

图-18 新建资源组

表-5 配置新建资源组

参数	说明
资源组名称	资源组的名称。SSL VPN网关通过给用户授权资源组的方式控制用户可以访问资源
（可选）快速访问资源	用户可以快速访问的资源。SSL VPN用户登录网关后直接跳转到用户指定的页面，而不需要在SSL VPN资源页面进行选择
（可选）快捷方式列表	选择资源组引用的快捷方式列表名称

配置IP接入用户可以访问的资源以及IP接入的过滤条件。

在“隧道业务”区域，具体配置内容如下：

表-6 配置隧道业务

参数	说明
强制IPv4流量接入VPN	开启该功能后，设备会强制将客户端的IPv4流量转发给SSL VPN网关 SSL VPN网关在客户端上添加优先级最高的缺省路由，路由的出接口为虚拟网卡，从而使得所有没有匹配到路由表项的流量都通过虚拟网卡发送给SSL VPN网关。SSL VPN网关还会实时监控SSL VPN客户端，不允许SSL VPN客户端删除此缺省路由，且不允许SSL VPN客户端添加优先级高于此路由的缺省路由
指定IPv4路由接入VPN	将指定IPv4路由列表中的IPv4路由表项下发给客户端
客户端IPv4地址池	策略组引用的IPv4客户端地址池。客户端使用隧道业务方式访问SSL VPN网关时，网关会从该地址池中为客户端分配IP地址，当该地址池中无可用地址时，分配失败，用户无法通过隧道接入若SSL VPN资源组下未引用地址池，则SSL VPN网关将使用SSL VPN访问实例中引用的地址池为客户端分配IP地址
强制IPv6流量接入VPN	开启该功能后，设备会强制将客户端的IPv6流量转发给SSL VPN网关 SSL VPN网关在客户端上添加优先级最高的缺省路由，路由的出接口为虚拟网卡，从而使得所有没有匹配到路由表项的流量都通过虚拟网卡发送给SSL VPN网关。SSL VPN网关还会实时监控SSL VPN客户端，不允许SSL VPN客户端删除此缺省路由，且不允许SSL VPN客户端添加优先级高于此路由的缺省路由
指定IPv6路由接入VPN	将指定IPv6路由列表中的IPv6路由表项下发给客户端
客户端IPv6地址池	策略组引用的客户端IPv6地址池。客户端使用隧道业务方式访问SSL VPN网关时，网关会从该地址池中为客户端分配IP地址，当该地址池中无可用地址时，分配失败，用户无法通过隧道接入若SSL VPN资源组下未引用地址池，则SSL VPN网关将使用SSL VPN访问实例中引用的地址池为客户端分配IP地址
（可选）IPv4 ACL	配置对隧道业务进行IPv4高级ACL过滤规则，进一步控制用户访问权限
（可选）IPv6 ACL	配置对隧道业务进行IPv6高级ACL过滤规则，进一步控制用户访问权限
（可选）URI ACL	配置对隧道业务进行URI ACL过滤规则，进一步控制用户访问权限

单击<确定>按钮，完成配置资源组。

角色授权的具体配置步骤如下：

在“角色授权”区域，单击<新建>按钮，进入“新建角色授权”页面，具体配置内容如下：
图-19 新建角色授权

表-7 配置新建角色授权
参数
说明
角色
选择引用的用户角色
资源组
选择用户角色可以使用的资源组
接入方式
选择用户角色可以使用的资源接入方式
单击<下一步>按钮，进入更多配置页面。该页面中可以配置SSL VPN会话限速、开启资源访问日志、用户认证、快捷方式和用户管理等扩展功能，用户可以按照实际需求进行配置。具体配置内容请参见“配置SSL VPN访问实例扩展功能”。
如果不需要配置扩展功能，则直接单击<完成>按钮，即可完成访问实例的配置。

参数	说明
角色	选择引用的用户角色
资源组	选择用户角色可以使用的资源组
接入方式	选择用户角色可以使用的资源接入方式

查看统计信息

完成上述配置后，可到“网络 > VPN > SSL VPN > 统计信息”页面，查看在线用户统计、在线用户信息、锁定用户信息、锁定IP信息，以及IP接入相关的统计信息。

图-20 查看统计信息