很多公司出于工作需要,都会提供远程办公拨入的VPN,供员工在外地可以连接到企业内网处EMC易倍体育作。但是这也带来一些安全方面的隐患;所以很多情况下,我们需要对外网拨入后的访问权限进行控制。
在本例中,我将结合WSG上网行为管理网关的openvpn来介绍如何限制外网拨入后的访问权限。
1. 对整个VPN网段进行访问限制
如下图,openvpn的通讯网段是10.8.0.x,这意味着客户机拨入VPN后会获取到10.8.0.x的IP地址,然后我们就可以通过防火墙规则对10.8.0.x这个网段进行访问控制。
拨入的客户端默认处于“外网区域”,要访问内网区域,需要通过外网区域的“转发”。而外网的转发是默认禁止的。所以,我们通过添加下面的防火墙规则,允许10.8.0.x访问内网的IP段192.168.1.x。如图:
没有这条规则的话,客户端拨入后是不能访问内网的。
2. 限制指定的VPN用户
有些情况下,我们还需要对指定的VPN用户进行单独的访问权限管控。要达到这个目的,我们需要先指定vpn用户的IP地址。如图:
然后再通过防火墙规则,设置该IP的访问权限。如下图:
综上所述,就是如何限制VPN拨入后访问权限的具体配置步骤。