# Ssl Vpn > This skill should be used when the user asks to configure or troubleshoot Huawei USG SSL VPN for mobile/remote workers. Covers virtual gateway, network extension (full tunnel), web proxy, file sharing, port forwarding, authentication (local/AD/LDAP/RADIUS), and SecoClient deployment. Applicable platforms USG6000E V600R007C20+ and USG6000/USG9500/NGFW Module V500R005C20+ (note version differences below). - Skill: `nanxiaoyao/ssl-vpn` (Agent Skill, multi-file: 3 files) - Install (CLI): `npx skillmds@latest add nanxiaoyao/ssl-vpn` - Raw SKILL.md: https://api.skillmd.com/api/skills/nanxiaoyao/ssl-vpn/raw - Safety review: pending - Works with: Claude Code, Claude.ai, OpenAI Codex - Category: Coding & Dev Tools - Author: nanxiaoyao (https://skillmd.com/u/nanxiaoyao) - Updated: 2026-09-17 - Page: https://skillmd.com/skills/nanxiaoyao/ssl-vpn --- # 华为 USG SSL VPN 配置技能 (ssl-vpn) 适用平台： - USG6000E V600R007C20+ - USG6000 / USG9500 / NGFW Module V500R005C20+ 文档来源 华为 USG 产品文档 (sec_case_sslvpn_*) > ⚠️ **版本差异提醒**：V500 与 V600 在 SSL VPN 部分命令不一致，使用前请先看「版本差异」章节。 USG SSL VPN 给移动办公用户提供安全接入 终端走浏览器或 SecoClient 客户端 无需公网 IP 走 HTTPS 443 ## ⚠️ V500 vs V600 命令差异（重要） ### 1. network-extension netpool 网址池 V500 无 ID语法（单池）： ``` network-extension netpool 172.16.1.1 172.16.1.100 255.255.255.0 ``` V600 有 ID（支持多池）： ``` network-extension netpool 1 172.16.1.1 172.16.1.100 255.255.255.0 netpool 1 default ``` ### 2. 推送内网路由命令 V500：`network-extension manual-route ` V600：`network-extension permit-route ` ### 3. 角色配置 V500： ``` v-gateway example role role director network-extension enable web-proxy enable web-proxy resource ERP ``` V600 类似但需先绑 condition： ``` v-gateway example role role director condition all user-group /cce.com/director domain-resource share resource1 enable ``` ### 4. 用户导入 (V500/V600 一致) 两者都使用 `user-manage import-policy from { ad | ldap }` 语法。 ## 触发场景 - 移动办公 出差访问公司内网 - 浏览器访问内部 Web Mail / ERP（Web Proxy） - 远程访问文件共享 SMB/CIFS（文件共享业务） - 远程访问 Telnet/SSH/RDP（端口转发） - 全网通 全隧道接入内网（网络扩展） - 对接 AD/LDAP/RADIUS 域认证 - 证书认证 / 双因子认证 - SecoClient 客户端部署 ## SSL VPN 五大业务类型 | 业务 | 适用场景 | 客户端要求 | |---|---|---| | Web 代理（Web Link/改写） | 浏览器访问内部 HTTP 应用 | 仅浏览器 | | 文件共享 | 访问 SMB/CIFS 共享 | 仅浏览器 | | 端口转发 | 访问 Telnet/SSH/RDP | 浏览器+控件 | | 网络扩展 Network Extension | 全隧道 等同于在内网 | SecoClient 或浏览器控件 | | Web 改写 | 不支持的复杂 Web 应用 | 仅浏览器 | 最常用：**网络扩展** + AD 认证 ## 配置六步走 ### 1 接口与安全区域 外网接口（接 untrust）+ 内网接口（接 trust） ### 2 安全策略（关键 容易漏） 必须配 4 条： ``` 1) untrust → local 开放 https 443 允许用户接入 SSL VPN 2) local → trust FW 访问内网资源（代理/文件共享回包） 3) untrust → trust 网络扩展用户访问内网 源地址为虚拟 IP 池 4) local → 认证服务器所在 zone 允许对接 AD/LDAP/RADIUS ``` ### 3 认证服务器对接（AD 范式） ``` ad-server template ad_server ad-server authentication 10.3.0.155 88 no-ssl ad-server authentication base-dn dc=cce,dc=com ad-server authentication manager cn=administrator,cn=users Admin@123 Admin@123 ad-server user-filter sAMAccountName ad-server group-filter ou test-aaa user_0001 Admin@123 ad-template ad_server ``` ### 4 AAA 域绑定 ``` aaa authentication-scheme ad authentication-mode ad domain cce.com service-type ssl-vpn authentication-scheme ad ad-server ad_server reference user current-domain ``` ### 5 用户导入（AD 同步） ``` user-manage import-policy ad_server from ad server template ad_server server basedn dc=cce,dc=com server searchdn ou=director,dc=cce,dc=com destination-group /cce.com user-attribute sAMAccountName import-type all sync-mode incremental schedule interval 120 sync-mode full schedule daily 01:00 execute user-manage import-policy ad_server ``` ### 6 SSL VPN 虚拟网关与业务 ``` v-gateway example interface GigabitEthernet 0/0/1 private example.huawei.com v-gateway example max-user 150 v-gateway example cur-max-user 100 v-gateway example basic ssl version tls1.2 ssl ciphersuit custom aes256-sha service network-extension enable network-extension keep-alive enable network-extension keep-alive interval 120 network-extension netpool 1 172.16.1.1 172.16.1.100 255.255.255.0 network-extension mode manual netpool 1 default network-extension permit-route 10.2.0.0 255.255.0.0 ``` ## 命令体系 ### 虚拟网关 ``` v-gateway interface [ private | public ] v-gateway max-user # 用户上限 v-gateway cur-max-user # 并发上限 v-gateway # 进入网关视图 ``` ### 网络扩展（全隧道） ``` [v-gateway-service] network-extension enable network-extension mode { manual | auto | full } network-extension netpool network-extension permit-route network-extension keep-alive enable network-extension keep-alive interval ``` ### Web 代理 ``` [v-gateway-service] web-proxy enable proxy resource link http:// proxy resource link http:// single-sign-on enable ``` ### 文件共享 ``` [v-gateway-service] file-share enable share-resource resource-server ``` ### 端口转发 ``` [v-gateway-service] port-forwarding enable port-forwarding resource host port ``` ### 角色授权 ``` [v-gateway] role role default user-group /cce.com/director user-group /cce.com/employee domain-resource share resource1 enable network-resource enable ``` ### SSL 加固 ``` [v-gateway-basic] ssl version tls1.2 ssl ciphersuit custom { aes256-sha | aes128-sha | ... } ssl timeout ``` ## 查看与诊断 | 命令 | 说明 | |---|---| | display v-gateway | 网关列表 | | display v-gateway verbose | 网关详情 | | display v-gateway user | 在线用户 | | display ad-server template | AD 服务器配置 | | display user-manage user verbose | 已导入用户 | | display aaa online-user | AAA 在线用户 | | display ssl statistics | SSL 握手统计 | | display security-policy rule all | 策略匹配 | | test-aaa ad-template | 测 AD 认证 | | test-aaa radius-template | 测 RADIUS | ## 常见陷阱 - 安全策略漏配 local→trust → AD 认证不通 - 网络扩展虚拟 IP 池与内网网段冲突 → 路由黑洞 - 用户没绑域 → 登录提示用户不存在 必须 `domain cce.com` - HTTPS 证书未导入或域名不匹配 → 浏览器提示证书错误 - AD base-dn 写错 → 用户搜不到 用 AD Explorer 先确认 DN - SecoClient 连不上 → 检查 untrust→local https 策略 + 浏览器测 https:// - `cur-max-user` 设小 → 在线用户达上限 新用户拒绝 ## 相关文件 - references/sslvpn-commands.md 完整命令速查 - references/sslvpn-troubleshooting.md 连接失败 / 资源不通 / 性能调优