原创力文档- 1、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
- 2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
查看更多
SANGFOR DLAN
互联进阶配置;培训内容;Contents;某用户总部和分支均通过ADSL拔号上网，用户要求分支和总部建立SNAGFOR VPN连接以实现两端内网互访。
问题分析：
由于两端都是ADSL，IP地址随时会变，分支与总部连VPN时，无法找到对端正确的IP地址。
解决办法：
通过WEBAGENT动态寻址实现;配置说明：
一、联系深信服申请WEBAGENT地址
二、在设备配置界面，选择【VPN信息设置】下的【基本配置】，打开WEBAGENT配置页面，将WEBAGENT地址填入到设备中
;如图，总部分别与两个分支建立VPN连接，分支1与分支2均能访问总部内网，现用户要求分支1与分支2之间能相互访问。
问题分析：
两个分支分别与总部建立 VPN隧道，但分支1与分支2之间并没有任何线路相连，也没有VPN隧道。
解决办法：
通过在分支设备中配置隧道间路由实现。;配置说明：
1.配置总部与分支建立 VPN互联，请参考《 DLAN互联基础配置》，此处不再赘述
2.配置分支设备的隧道间路由
;如图，总部分别与两个分支建立VPN连接，分支1与分支2内网均为192.168.1.0/24网段，用户要求不能改变任何一端的IP地址，实现分支与总部互访。
问题分析：
两个分支内网网段相同，当总部收到来自192.168.1.0/24网段的数据时，不知道该回给哪个分支？
解决办法：
通过配置隧道内NAT实现;配置说明：
1.在总部设备中配置分支虚拟IP池
;配置说明：
2.在总部设备中新增分支用户，并启用“隧道内NAT”功能
;如图，总部分别与分支建立了VPN连接，用户反映VPN访问速度很慢，通过测试发现有很严重的丢包现象。
问题分析：
用户的分支和总部出口线路分别为不同的运营商，有可能是因为跨运商访问导致很慢。
解决办法：
通过配置跨运营商访问优化功能解决。
注：跨运营商功能只能优化访问丢包的问题;配置说明：
一、序列号中，开通跨运营功能（若是硬件互联，要求两个硬件都需要开通序列号，若是硬件与软件互联，只要开通硬件端的跨运营商序列号即可。）;配置说明：
二、分支或移动端启用跨运营商访问
;需求：
某总部和分支部署了两台VPN设备，现总部的VPN设备做为VPN总部与分支建立了VPN连接，用户要求对分支访问总部的服务器进行权限控制，只允许分支网络的PC访问总部的WEB服务器（80端口），禁止访问其他的任何服务器（包括PC客户端）。如下图：
;配置方法一：通过VPN内网权限实现。
第一步：在总部VPN设备的『VPN信息设置』-『高级设置-『内网服务设置』页面，新增一个WEB的内网服务，页面如下：
;配置方法一：通过VPN内网权限实现。
第二步：在总部设备的『VPN信息设置』-『用户管理』页面编辑分支用户，点击权限设置，页面如下：
;配置方法二：通过防火墙过滤规则实现。
第一步：在总部的VPN设备『对象设置』-『IP组设置』定义好分支网段的IP组，与总部WEB服务器的IP组，界面如下：
;配置方法二：通过防火墙过滤规则实现。
第二步：在总部VPN设备的『防火墙设置』-『过滤规则设置』-『VPN-LAN』，删除VPN-LAN的三条规则（因为VPN-LAN默认是放通所有数据的），然后添加一条规则，界面如下：
;1.WEBAGENT有哪几种填写方式？什么情况下必须使用域名形式的WEBAGENT地址？
2.隧道内NAT功能的主要作用是什么？
;深信服社区资料库;深圳市南山区学苑大道1001号南山智园A1栋
文档评论（0）