WSG自帶的openvpn服(fu)務(wu)端集成了(le)openvpn服(fu)務(wu)，可以讓外網(wang)終端撥入到公司內部(bu)局域網(wang)。WSG的openvpn服(fu)務(wu)端采用了(le)ca證(zheng)書(shu)和用戶名密碼認證(zheng)雙重認證(zheng)，安全性和穿(chuan)透性都很高。下面是(shi)具體的步驟介紹：

1. 開啟openvpn服務

在“VPN-openvpn服務端”中開啟openvpn服務，選擇用戶名認證。推送路由里面配置的是允許外網訪問的本地局域網網段，如果允許外網終端通過公司線路訪問外網也可以在這里配置允許訪問的外網網段。

有時候不同運營商(shang)之間的(de)GRE協議是不通的(de)，會導致PPTP連(lian)接不上。而(er)L2TP工作在UDP 1701端口，和PPTP相比穿透性更強(qiang)，而(er)PPTP需要開通TCP 1723和GRE協議才可(ke)以(yi)。

本例中，我將介紹(shao)WSG上網行為(wei)管理的(de)L2TP的(de)用(yong)法(fa)。如下圖(tu)：

1. 開啟PPTP/L2TP服務端

VPN類型選擇L2TP

甲方有些業務系統出于安全需要，會綁定登錄的IP地址只允許總公司的IP訪問。這種情況下，分公司如果想要訪問該業務系統，也必須走總公司的寬帶才可以。在如何實現分公司訪問指定地址的時候走總部流量一文中(zhong)(zhong)，我(wo)們介紹(shao)了(le)通過PPTP來實現分公(gong)(gong)司走總(zong)公(gong)(gong)司線路的解決方案(an)。本文中(zhong)(zhong)，我(wo)將介紹(shao)Openvpn的實現方案(an)，openvpn不需要GRE協議(yi)，穿透性和安(an)全性都比PPTP要強大(da)。以下是具(ju)體的配置步驟：

1. 服務端的配置

在總部的WSG上面，需要開啟OpenVPN服(fu)務端，選(xuan)擇用戶名認證，推送路由里(li)面既要推送總部的內網(wang)網(wang)段，也要推送甲方(fang)系統的IP地址。如下(xia)圖：

笨驢SD-WAN盒子可以非常方便的實現多地組網，無需修改現有網絡結構，無需替換現有的網絡設備，只要在兩地通過旁路方式分別接一臺SDWAN盒子即可組建虛擬局域網。網絡結構如下圖：

本文將介紹笨驢SD-WAN盒子的首次安裝步驟。

1. 接線方式

如(ru)圖所(suo)示，SD-WAN盒(he)子這款硬件有(you)如(ru)下配置：

• 一個以太(tai)網網口，默認自動(dong)獲(huo)取(qu)IP。

• 自(zi)帶wifi（SID: wfilter-sdwan，無線(xian)網段是192.168.120.0/24）

隨著疫情反反復(fu)復(fu)，主動(dong)或被動(dong)采取遠程辦公的(de)公司越來(lai)越多(duo)。企業(ye)(ye)網(wang)(wang)(wang)(wang)絡(luo)除(chu)了滿足日常的(de)局(ju)域網(wang)(wang)(wang)(wang)組網(wang)(wang)(wang)(wang)，還需(xu)要可以滿足員工在外、在家時可以隨時隨地接入到企業(ye)(ye)內網(wang)(wang)(wang)(wang)。傳統(tong)的(de)做法一般需(xu)要企業(ye)(ye)申請帶固定IP的(de)企業(ye)(ye)專線(xian)，通過(guo)(guo)該(gai)固定IP提(ti)供(gong)遠程撥(bo)入服務。而由于專線(xian)方(fang)案(an)價格高，很多(duo)企業(ye)(ye)承受不了。在本文中，我(wo)將介紹(shao)沒有公網(wang)(wang)(wang)(wang)IP時如何通過(guo)(guo)SD-WAN的(de)方(fang)案(an)來(lai)實(shi)現遠程辦公撥(bo)入。網(wang)(wang)(wang)(wang)絡(luo)結構圖(tu)如下(xia)：

傳(chuan)統(tong)(tong)的(de)異地組網(wang)(wang)方式要(yao)求企(qi)(qi)業有帶固定公網(wang)(wang)IP的(de)專(zhuan)(zhuan)線(xian)才(cai)可以實現；由(you)于IPv4資源的(de)短缺，運營商專(zhuan)(zhuan)線(xian)價(jia)格高企(qi)(qi)，大部分企(qi)(qi)業無法承(cheng)擔高額的(de)專(zhuan)(zhuan)線(xian)費用。為解決此(ci)問題，各大網(wang)(wang)絡廠商各顯神通，研發出了一系列(lie)的(de)解決方案。本(ben)文中(zhong)，我將介紹如何利用“SD-WAN技術”來實現沒有公網(wang)(wang)IP時的(de)異地組網(wang)(wang)互聯。和傳(chuan)統(tong)(tong)的(de)VPN相比，SD-WAN有如下優(you)勢：

• 自動尋址，無需公網IP。

• 點對點加密傳輸，無需(xu)通過服務器(qi)轉發，傳輸安全性高。

• 多平臺支持。有windows，安卓(zhuo)客戶端。

• 既(ji)能實(shi)現(xian)多(duo)地組網，又可(ke)以實(shi)現(xian)遠程辦(ban)公撥入。

隨(sui)著互聯(lian)網(wang)、數字化的迅速發(fa)展，遠程辦(ban)公、移(yi)動辦(ban)公、居家辦(ban)公已經是企(qi)(qi)業必備(bei)的網(wang)絡服務。企(qi)(qi)業網(wang)絡除了滿足日(ri)常的局(ju)域網(wang)組(zu)網(wang)，還需要可以滿足員(yuan)工(gong)在外、在家時(shi)可以隨(sui)時(shi)隨(sui)地接入(ru)到(dao)企(qi)(qi)業內網(wang)。傳統的做法，一般有如下兩種：

1). 企業申請帶(dai)固定(ding)IP的企業專線，通過該固定(ding)IP提供遠(yuan)程撥(bo)入服務。

2). 在路由器上綁定動(dong)態域(yu)名，通過動(dong)態域(yu)名來訪問。

近年以來(lai)，由于IPv4資源的(de)短缺，運營商改為(wei)只分配(pei)內網的(de)IPv4地址，導致動態域(yu)名這(zhe)個方案(an)已經不可行了(le)(le)。而專線方案(an)價格高企(qi)，很多企(qi)業承受不了(le)(le)。

在如何利用Web VPN來保護內網信息安全一(yi)文中，我們(men)介紹了(le)(le)如何(he)用(yong)WebVPN來(lai)訪(fang)(fang)問內(nei)(nei)網(wang)的(de)(de)Web服(fu)(fu)務器(qi)(qi)。WebVPN可以給內(nei)(nei)網(wang)服(fu)(fu)務器(qi)(qi)添(tian)加一(yi)層認證保護，只有認證過的(de)(de)用(yong)戶才可以訪(fang)(fang)問內(nei)(nei)網(wang)資源(yuan)，從(cong)而(er)有效的(de)(de)保護了(le)(le)內(nei)(nei)網(wang)數據的(de)(de)安全(quan)性。對于(yu)Web服(fu)(fu)務器(qi)(qi)來(lai)說(shuo)，WebVPN是通(tong)過子域名的(de)(de)方(fang)式(shi)，每(mei)個web服(fu)(fu)務都(dou)需(xu)要對應一(yi)個不同的(de)(de)二級域名。在(zai)WFilter NGF的(de)(de)2.0版本中，我們(men)給WebVPN添(tian)加了(le)(le)轉發到“TCP服(fu)(fu)務器(qi)(qi)”的(de)(de)功能，使WebVPN用(yong)戶可以在(zai)認證后(hou)訪(fang)(fang)問到指定(ding)的(de)(de)TCP服(fu)(fu)務器(qi)(qi)。以下是Web方(fang)式(shi)和(he)TCP方(fang)式(shi)的(de)(de)差(cha)別和(he)優缺點分析：

Web方式

1. 只能轉發到指定的Web服務器(qi)。

2. 每(mei)個Web服務(wu)器都必須(xu)對應(ying)一個二級子(zi)域名。

3. 可以對Web站點的內容進行替換(huan)。

TCP方式

1. 可以(yi)轉(zhuan)發到任(ren)意(yi)的(de)TCP服(fu)務。比如內(nei)網(wang)的(de)ssh，rdp等，也包(bao)括(kuo)web服(fu)務。

2.  每個TCP服務必須對應一個本地端(duan)口(kou)。

3. 外網(wang)用(yong)戶必須(xu)經過認證才可以訪(fang)問TCP端口。

4. 不(bu)能(neng)對內容進行修(xiu)改。

網(wang)管在做(zuo)遠(yuan)程技(ji)術(shu)支持的(de)時候，需(xu)要(yao)連接(jie)到客(ke)戶(hu)的(de)內(nei)網(wang)或者(zhe)路由(you)器。對于有公網(wang)IP的(de)網(wang)絡(luo)，可(ke)以直接(jie)通過公網(wang)IP或者(zhe)動態(tai)域名去訪問(wen)。由(you)于現在運營商很(hen)多(duo)都只(zhi)給(gei)內(nei)網(wang)IP，使得遠(yuan)程技(ji)術(shu)支持必須要(yao)做(zuo)內(nei)網(wang)穿(chuan)(chuan)透(tou)才(cai)可(ke)以。所以很(hen)多(duo)網(wang)管在做(zuo)網(wang)絡(luo)維護(hu)的(de)時候，還需(xu)要(yao)給(gei)用(yong)戶(hu)安裝FRP或者(zhe)NPS的(de)內(nei)網(wang)穿(chuan)(chuan)透(tou)服(fu)務，增(zeng)加了維護(hu)的(de)成本和(he)復雜(za)性。

在本文中，我將(jiang)介紹(shao)如何通(tong)過SD-WAN的方(fang)式(shi)來給客戶提供(gong)遠程網管服務。SD-WAN和(he)其他方(fang)式(shi)相比，可(ke)以自動尋址穿透，無(wu)需(xu)公網IP，也無(wu)需(xu)云主(zhu)機轉發。具體步驟如下：

相對于傳統方(fang)(fang)案而言，SD-WAN有著無可比擬(ni)的(de)優勢(shi)，很多局域網(wang)都采用(yong)了(le)SD-WAN的(de)智(zhi)能組網(wang)和遠程(cheng)辦公(gong)方(fang)(fang)案。SD-WAN的(de)網(wang)絡規劃主要考慮(lv)如下三(san)個方(fang)(fang)面：

• 多地虛擬組網

• 遠程辦公撥入

• 網管技術支持

所以(yi)，我們在配置SD-WAN網(wang)絡時候，主要(yao)考慮這三個需求(qiu)就可以(yi)。

如圖：

在“如何用SD-WAN實現多地組網？”一(yi)文(wen)中，我們介(jie)紹了(le)如何(he)用(yong)SD-WAN來實(shi)現多地組網。實(shi)際上SD-WAN不僅可以(yi)用(yong)于多地組網，而(er)且可以(yi)用(yong)于遠程辦(ban)公(gong)撥(bo)入。

和傳統(tong)的(de)遠(yuan)程辦(ban)公方案相比，SD-WAN有如下優(you)勢：

• 自動(dong)尋址，無需(xu)公網IP。

• 點對點加(jia)密傳(chuan)輸，無需通過服務器轉(zhuan)發，傳(chuan)輸安全(quan)性(xing)高。

• 多平臺支持。有windows，安卓客戶端。

本文中(zhong)，我將介(jie)紹如何(he)用SD-WAN實現遠(yuan)程辦(ban)公(gong)撥入(ru)。

1. 網絡拓撲圖

SD-WAN不需要固定公網IP也可以實現遠程辦公撥入。如下圖，該局域網(wang)通過一臺WSG網(wang)關連(lian)接外網(wang)，內(nei)網(wang)網(wang)段(duan)是192.168.10.0/24。

SD-WAN即軟(ruan)件定義廣域網，可以實現異地智能組網，遠程辦公撥入。和(he)傳(chuan)統的VPN相比，SD-WAN有(you)如下優(you)勢：

• 自動(dong)尋址，無需公(gong)網IP。

• 點(dian)對點(dian)加密傳輸，無需通過服務器(qi)轉發，傳輸安全性高。

• 多平臺支持。有windows，安(an)卓客(ke)戶(hu)端(duan)。

• 既能實現(xian)多地(di)異(yi)地(di)組網，又可以實現(xian)遠程辦公撥入。

本文中，我(wo)將(jiang)介紹(shao)如何(he)用WSG自帶的SD-WAN來實現多地異地虛擬(ni)組網。

有些業務系統出于安全需(xu)要(yao)(yao)，會限制登(deng)錄的IP地址，比如(ru)只允(yun)許總(zong)公(gong)司的IP訪問。這種情況下(xia)，分(fen)公(gong)司如(ru)果(guo)想要(yao)(yao)訪問該業務系統，也必(bi)須走(zou)總(zong)公(gong)司的寬帶才可以(yi)。要(yao)(yao)實現這個需(xu)求(qiu)，一(yi)般(ban)有以(yi)下(xia)解(jie)決(jue)方案：

1). 方(fang)案一：分公(gong)司的電腦先撥入總公(gong)司的VPN，走總公(gong)司線路(lu)訪問(wen)外網(wang)。

2). 方案(an)二：分公(gong)(gong)司和總公(gong)(gong)司之間組(zu)建site-to-site虛擬局(ju)域網，分公(gong)(gong)司電腦(nao)通過總部的代(dai)理(li)服務器訪問業(ye)務系(xi)統。

3). 方案三：分(fen)(fen)公(gong)(gong)司和總公(gong)(gong)司之間組建site-to-site虛擬局域網，通過在分(fen)(fen)公(gong)(gong)司的網關上指定分(fen)(fen)流(liu)訪問。

方(fang)(fang)(fang)案(an)(an)一(yi)需(xu)要在(zai)每臺電腦上都(dou)撥入VPN，配置(zhi)和維護都(dou)比較麻煩；方(fang)(fang)(fang)案(an)(an)二需(xu)要在(zai)總部(bu)(bu)搭(da)建代理(li)(li)服務器；所以相對來說方(fang)(fang)(fang)案(an)(an)三最為方(fang)(fang)(fang)便快捷。本例中，我(wo)將(jiang)結合WSG上網行為管理(li)(li)網關，介紹如何通(tong)過(guo)多線均衡和VPN客戶(hu)端來實現分公司走總部(bu)(bu)線路(lu)訪問業(ye)務系統（方(fang)(fang)(fang)案(an)(an)三）。

很(hen)多公(gong)司(si)出于工(gong)(gong)作需要，都會提(ti)供(gong)遠程(cheng)辦公(gong)撥入(ru)的(de)VPN，供(gong)員工(gong)(gong)在外地可以連(lian)接到企業內網處理工(gong)(gong)作。但是這(zhe)也(ye)帶來一(yi)些安全方面的(de)隱患(huan)；所以很(hen)多情況下，我們(men)需要對外網撥入(ru)后的(de)訪問權限(xian)進行控制。

在(zai)本(ben)例(li)中，我將(jiang)結合WSG上網行(xing)為管理網關的openvpn來介紹如何限制外網撥入后的訪問權(quan)限。

在如何用OpenVPN實現遠程辦公？一文中，我們介紹(shao)(shao)了如(ru)何(he)用openvpn 2.4.7版(ban)本(ben)撥(bo)入WSG。在本(ben)文中，我將介紹(shao)(shao)如(ru)何(he)用openvpn connnect3.2.3來撥(bo)入WSG的openvpn。最新版(ban)本(ben)的openvpn connect更加好(hao)用，而且(qie)支持開機自動(dong)啟動(dong)。

Openvpn服務端的配置過程不再贅述，請參考前文：如何用OpenVPN實現遠程辦公？下面只介紹openvpn connect的安(an)裝部分：

1. 安裝openvpn connect

WSG的(de)Openvpn服(fu)務端模(mo)塊，主要(yao)用于遠程(cheng)辦公撥入(ru)和多地(di)組網(wang)(wang)。Openvpn撥入(ru)后，在默認配(pei)置情(qing)況下(xia)，只有(you)“推送(song)路由”的(de)訪問才會走vpn隧道。客戶(hu)端的(de)外(wai)網(wang)(wang)數據仍然走的(de)是自己的(de)外(wai)網(wang)(wang)線路。在有(you)些情(qing)況下(xia)，你(ni)可能需要(yao)讓openvpn客戶(hu)端的(de)所有(you)外(wai)網(wang)(wang)數據都經過vpn連接。要(yao)實現此功能，需要(yao)一(yi)系列的(de)步(bu)驟(zou)，具體步(bu)驟(zou)如下(xia)：

WFilter NGF（WSG上網(wang)行為(wei)管理）的WebVPN功能(neng)，既可以(yi)支(zhi)持(chi)用戶名(ming)密碼認證登(deng)錄，還可以(yi)支(zhi)持(chi)釘釘掃(sao)碼和企業微信(xin)掃(sao)碼登(deng)錄。WebVPN的用戶驗(yan)證方式(shi)如下(xia)圖：

在本文中，我將介(jie)紹如(ru)何(he)給(gei)WebVPN添加釘(ding)釘(ding)掃(sao)碼(ma)認證(zheng)和(he)企業微信掃(sao)碼(ma)認證(zheng)功能。

ZeroTier可以在無公網IP的情(qing)況(kuang)下(xia)提(ti)供便捷的虛擬局域網組網和內網穿透方案。簡單(dan)來說, ZeroTier就是一個VLAN組建工(gong)具，主要有如(ru)下(xia)的優勢和缺點：

• 配置(zhi)非常(chang)簡單，只需要(yao)在(zai)官網創建(jian)Network。客戶端直接(jie)加入(ru)Network即可。

• 跨平臺(tai): ZeroTier提供了windows, macOS, linux, Android, iOS...幾乎(hu)全平臺(tai)的客(ke)戶端(duan), 你可以把任(ren)意平臺(tai)的設備接(jie)入(ru)VLAN。

• 免費可以支持100個設備組網。
  

• 缺點：官網只(zhi)提供英文，沒有中文版(ban)。

本文中，我將(jiang)結合WSG上(shang)網(wang)行(xing)為管理網(wang)關，介紹(shao)如何用ZeroTier來實現(xian)遠(yuan)程辦公(gong)撥入(ru)和(he)內網(wang)穿透。

為(wei)滿(man)足出(chu)差在外人員和分(fen)支機(ji)構辦公的需要，企事業單位一般采(cai)用如下(xia)的兩種方式：

1. 端口映射，把對應的服務端口映射到公網，供終端訪問。
   

2. VPN。客戶端需(xu)要先撥入VPN，然后(hou)再訪問內網服務(wu)。

這(zhe)兩個(ge)辦法各有優(you)缺點：端口映射的(de)方式，配(pei)置簡單(dan)但是不夠安(an)全(quan)。內(nei)網的(de)服務系統直(zhi)接(jie)暴露(lu)在公網上(shang)，容(rong)易被(bei)攻擊導致(zhi)嚴(yan)重(zhong)的(de)損失。VPN的(de)方式，安(an)全(quan)系數(shu)要高很多。但是VPN需要配(pei)置客(ke)戶機(ji)，配(pei)置和維護比較復雜(za)。

在(zai)本文中，我將介紹WFilter NGF（WSG網關）中新加的一個(ge)功能：Web VPN。采用Web VPN可以帶來如下好(hao)處：

企(qi)業開展(zhan)在家辦公，需(xu)要(yao)滿(man)足員(yuan)工(gong)從外(wai)網接入到企(qi)業內(nei)網的(de)(de)工(gong)作(zuo)需(xu)要(yao)，那(nei)么在選擇網絡設備的(de)(de)時候，主要(yao)關注以下幾(ji)點：

1. 提供安全可靠的VPN遠程撥入服務

VPN的(de)訪(fang)問安全(quan)不能只依賴用(yong)戶名(ming)(ming)(ming)和密碼(ma)(ma)，至少要可以提供雙重認證(zheng)。比如SSL VPN的(de)ca證(zheng)書加(jia)用(yong)戶名(ming)(ming)(ming)密碼(ma)(ma)的(de)方(fang)式。用(yong)戶既需要有正(zheng)確(que)的(de)ca證(zheng)書，還需要正(zheng)確(que)的(de)用(yong)戶名(ming)(ming)(ming)密碼(ma)(ma)才可以接入。這是內網數據(ju)安全(quan)的(de)第一道防線。

疫情期間，很多企事業單位都選擇在家辦公。員工在家通過虛擬局域網連接到企業內部的ERP、OA、財務等系統，既可以滿足疫情防控的需要，又不影響工作。那么企業要進行遠程辦公應該如何搭建網絡環境呢？本文中，我將結合WSG上網行為管理網關，來描述企業如何準備在家遠程辦公的網絡環境。

1. 先上網絡拓撲圖

PPTP雖然飽受安全(quan)性詬(gou)病，但是由于(yu)PPTP速(su)度(du)快、支(zhi)持的(de)系統多（windows、andriod默認都可以支(zhi)持），仍然有很(hen)多人(ren)選(xuan)擇PPTP作為遠程辦公(gong)的(de)撥(bo)入協議。有一點我們(men)要注意的(de)是，PPTP的(de)安全(quan)性依賴(lai)用(yong)(yong)戶(hu)名密碼，而且通(tong)訊加密強度(du)不夠。如果對安全(quan)性要求(qiu)高，建議采用(yong)(yong)SSL VPN（openvpn）等更(geng)安全(quan)的(de)VPN通(tong)訊協議。

在本文中，我講介紹PPTP遠程(cheng)辦公撥入的具體步(bu)驟。

1. 開啟PPTP服務端

首先(xian)要在(zai)遠程(cheng)網(wang)絡上(shang)開啟PPTP服(fu)務，以WSG上(shang)網(wang)行為(wei)管理網(wang)關為(wei)例，具體配置如下圖：

WSG上網(wang)行為(wei)管(guan)理（WFilter NGF）既可(ke)(ke)以做網(wang)關部(bu)(bu)署(shu)，也(ye)可(ke)(ke)以做網(wang)橋部(bu)(bu)署(shu)。在網(wang)橋部(bu)(bu)署(shu)模式下，WSG的IPSec VPN和(he)OpenVPN一(yi)樣是可(ke)(ke)用的，可(ke)(ke)以實(shi)現單(dan)臂(bei)模式的VPN組網(wang)。網(wang)絡結(jie)構如下圖：

本文將結(jie)合(he)WSG介紹如何(he)實現IPSec VPN的單臂部署。

現(xian)在大部分虛擬局(ju)域網的(de)(de)組建(jian)都通過IPSec的(de)(de)方式，其實用openvpn來組網也是(shi)很不錯的(de)(de)方案。跟IPSec相比，openvpn的(de)(de)功能更加強大和靈活：

1. 可以修改端口和通訊方式。
   

2. 可以實現用(yong)戶名認(ren)證和(he)證書認(ren)證兩種(zhong)認(ren)證方式。

3. 可以對客戶端(duan)分配IP，從而實現更(geng)加細致的防火墻權(quan)限控(kong)制。

本文將簡單介紹openvpn組網的一些簡單步驟，如果您要用openvpn實現遠程辦公撥入，請參考：如何用OpenVPN實現遠程辦公？