华为 USG SSL VPN 配置技能 (ssl-vpn)

适用平台：

• USG6000E V600R007C20+
• USG6000 / USG9500 / NGFW Module V500R005C20+

文档来源 华为 USG 产品文档 (sec_case_sslvpn_*)

⚠️ 版本差异提醒：V500 与 V600 在 SSL VPN 部分命令不一致，使用前请先看「版本差异」章节。

USG SSL VPN 给移动办公用户提供安全接入 终端走浏览器或 SecoClient 客户端 无需公网 IP 走 HTTPS 443

⚠️ V500 vs V600 命令差异（重要）

1. network-extension netpool 网址池

V500 无 ID语法（单池）：

network-extension netpool 172.16.1.1 172.16.1.100 255.255.255.0

V600 有 ID（支持多池）：

network-extension netpool 1 172.16.1.1 172.16.1.100 255.255.255.0
netpool 1 default

2. 推送内网路由命令

V500：network-extension manual-route <network> <mask> V600：network-extension permit-route <network> <mask>

3. 角色配置

V500：

v-gateway example
 role
  role director
   network-extension enable
   web-proxy enable
   web-proxy resource ERP

V600 类似但需先绑 condition：

v-gateway example
 role
  role director
   condition all
   user-group /cce.com/director
   domain-resource share resource1 enable

4. 用户导入 (V500/V600 一致)

两者都使用 user-manage import-policy <name> from { ad | ldap } 语法。

触发场景

• 移动办公 出差访问公司内网
• 浏览器访问内部 Web Mail / ERP（Web Proxy）
• 远程访问文件共享 SMB/CIFS（文件共享业务）
• 远程访问 Telnet/SSH/RDP（端口转发）
• 全网通 全隧道接入内网（网络扩展）
• 对接 AD/LDAP/RADIUS 域认证
• 证书认证 / 双因子认证
• SecoClient 客户端部署

SSL VPN 五大业务类型

最常用：网络扩展 + AD 认证

配置六步走

1 接口与安全区域

外网接口（接 untrust）+ 内网接口（接 trust）

2 安全策略（关键 容易漏）

必须配 4 条：

1) untrust → local  开放 https 443  允许用户接入 SSL VPN
2) local → trust   FW 访问内网资源（代理/文件共享回包）
3) untrust → trust  网络扩展用户访问内网  源地址为虚拟 IP 池
4) local → 认证服务器所在 zone  允许对接 AD/LDAP/RADIUS

3 认证服务器对接（AD 范式）

ad-server template ad_server
 ad-server authentication 10.3.0.155 88 no-ssl
 ad-server authentication base-dn dc=cce,dc=com
 ad-server authentication manager cn=administrator,cn=users Admin@123 Admin@123
 ad-server user-filter sAMAccountName
 ad-server group-filter ou
 test-aaa user_0001 Admin@123 ad-template ad_server

4 AAA 域绑定

aaa
 authentication-scheme ad
  authentication-mode ad
 domain cce.com
  service-type ssl-vpn
  authentication-scheme ad
  ad-server ad_server
  reference user current-domain

5 用户导入（AD 同步）

user-manage import-policy ad_server from ad
 server template ad_server
 server basedn dc=cce,dc=com
 server searchdn ou=director,dc=cce,dc=com
 destination-group /cce.com
 user-attribute sAMAccountName
 import-type all
 sync-mode incremental schedule interval 120
 sync-mode full schedule daily 01:00
execute user-manage import-policy ad_server

6 SSL VPN 虚拟网关与业务

v-gateway example interface GigabitEthernet 0/0/1 private example.huawei.com
v-gateway example max-user 150
v-gateway example cur-max-user 100

v-gateway example
 basic
  ssl version tls1.2
  ssl ciphersuit custom aes256-sha
 service
  network-extension enable
  network-extension keep-alive enable
  network-extension keep-alive interval 120
  network-extension netpool 1 172.16.1.1 172.16.1.100 255.255.255.0
  network-extension mode manual
  netpool 1 default
  network-extension permit-route 10.2.0.0 255.255.0.0

命令体系

虚拟网关

v-gateway <name> interface <if> [ private <domain> | public ]
v-gateway <name> max-user <num>          # 用户上限
v-gateway <name> cur-max-user <num>      # 并发上限
v-gateway <name>                          # 进入网关视图

网络扩展（全隧道）

[v-gateway-service]
network-extension enable
network-extension mode { manual | auto | full }
network-extension netpool <id> <start-ip> <end-ip> <mask>
network-extension permit-route <network> <mask>
network-extension keep-alive enable
network-extension keep-alive interval <s>

Web 代理

[v-gateway-service]
web-proxy enable
proxy resource <name> link http://<ip>
proxy resource <name> link http://<ip> single-sign-on enable

文件共享

[v-gateway-service]
file-share enable
share-resource <name> resource-server <ip> <share-path>

端口转发

[v-gateway-service]
port-forwarding enable
port-forwarding resource <name> host <ip> port <port>

角色授权

[v-gateway]
role
 role default
  user-group /cce.com/director
  user-group /cce.com/employee
  domain-resource share resource1 enable
  network-resource enable

SSL 加固

[v-gateway-basic]
ssl version tls1.2
ssl ciphersuit custom { aes256-sha | aes128-sha | ... }
ssl timeout <minute>

查看与诊断

常见陷阱

• 安全策略漏配 local→trust → AD 认证不通
• 网络扩展虚拟 IP 池与内网网段冲突 → 路由黑洞
• 用户没绑域 → 登录提示用户不存在 必须 domain cce.com
• HTTPS 证书未导入或域名不匹配 → 浏览器提示证书错误
• AD base-dn 写错 → 用户搜不到 用 AD Explorer 先确认 DN
• SecoClient 连不上 → 检查 untrust→local https 策略 + 浏览器测 https://<gw-ip>
• cur-max-user 设小 → 在线用户达上限 新用户拒绝

相关文件

• references/sslvpn-commands.md 完整命令速查
• references/sslvpn-troubleshooting.md 连接失败 / 资源不通 / 性能调优