使用 Web 浏览器，打开 https://ravpn-address ，其中 ravpn-address 是您允许 VPN 连接的外部接口的 IP 地址或主机名。

登录到网站。

配置远程接入 VPN 连接配置文件。

1. 点击设备，然后点击“远程接入 VPN”组中的设置连接配置文件。（如果已对配置文件进行配置，请点击查看配置）。

   对于现有连接，点击编辑可修改配置文件。

2. 配置连接配置文件设置：

   • 连接配置文件名称 - 输入名称，例如 Corporate-RAVPN。

   • 用于用户身份验证的身份源 - 选择用于远程用户身份验证的身份领域。如果尚未配置身份领域，请点击下拉列表底部的创建新身份领域立即创建。或者，可以使用 LocalIdentitySource 作为主要源或回退源。

   • AnyConnect 软件包 - 上传适用于要支持的各个操作系统的 AnyConnect 客户端。等待上传完成，然后再继续。

   连接配置文件设置应类似于以下内容：

   
   

   

   
   

3. 点击下一步，然后配置设备身份属性：

   • 设备身份证书 - 选择用于建立设备身份的内部证书。客户端必须接受此证书才能完成安全的 VPN 连接。如果您没有自己的证书，可以使用 DefaultInternalCertificate。

   • 外部接口 - 选择远程用户将要连接到的外部接口。通常，此接口名为“outside”。

   • 外部接口的完全限定域名 - 如果外部接口有 DNS 名称，请在此输入。例如，corporate-vpn.example.com。

   页面的设备身份部分可能如下所示：

   
   

   

   
   

4. 继续向下浏览页面，配置 IPv4 地址池和（可选）IPv6 地址池。

   选择用于标识网络的对象。系统将从该池为远程接入 VPN 用户分配地址。例如，指定 10.1.10.0/24 的网络对象。如果对象尚不存在，请点击列表底部的“创建新网络”。如果您支持这些地址，还要为 IPv6 配置池。

   
   

   

   
   

5. 向下滚动页面，并配置远程连接的 DNS 设置。

   输入所用 DNS 服务器的 IP 地址以及您的本地域名，例如 example.com。您可以点击 OpenDNS 以使用开放式 DNS 服务器。

   
   

   

   
   

6. 点击下一步，向下滚动，并配置“公司资源”选项。

   （您还可以配置横幅、连接时间与超时以及代理设置，但这些设置与发夹方法没有直接关系。）

   以下设置对于远程接入 VPN 中能否使用发夹方法至关重要。

   • 拆分隧道 - 禁用此功能。您希望所有流量都通过 VPN 网关，而拆分隧道这种方法允许远程客户端直接访问 VPN 外部的本地或互联网站点。

   • NAT 免除 - 启用此功能。选择内部接口，然后选择定义内部网络的网络对象。在本示例中，该对象应指定 192.168.1.0/24。流向内部网络的 RA VPN 流量不会进行地址转换。但是，应用发夹方法的流量通过外部接口传出，因此这些流量仍会进行 NAT，因为 NAT 免除仅适用于内部接口。

   
   

   

   
   

7. （可选）选择 AnyConnect 客户端配置文件，然后点击下一步。

8. 查看远程接入 VPN 配置，然后点击完成。

将 NAT 规则配置为将外部接口发出的所有连接转换到外部 IP 地址上的端口（接口 PAT）。

1. 依次点击策略 > NAT。

2. 执行以下操作之一：

   • 要编辑 InsideOutsideNatRule，请将鼠标指针悬停在操作列上，然后点击编辑图标 ()。

   • 要创建新规则，请点击 +。

3. 配置规则的以下属性：

   • 名称 - 为新规则输入一个有意义且不含空格的名称。例如，OutsideInterfacePAT。

   • 创建规则的对象 - 手动 NAT。

   • 位置 - 自动 NAT 规则之前（默认）。

   • 类型 - 动态。

   • 原始数据包 - 对于源地址，请选择“任何”或 any-ipv4。对于源接口，请确保选择“任何”（默认值）。对于所有其他“原始数据包”选项，请保留默认值“任何”。

   • 已转换的数据包 - 对于目标接口，请选择外部接口。对于已转换的地址，请选择接口。对于所有其他“已转换的数据包”选项，请保留默认值“任何”。

   下图展示了选择“任何”作为源地址时的简单情况。

   
   

   

   
   

4. 点击确定。

配置访问控制规则，以允许从远程接入 VPN 地址池进行访问。

1. 依次点击策略 > 访问控制。

2. 点击 + 创建新规则。

3. 配置规则的以下属性：

   • 顺序 - 在策略中选择一个位置，此位置应位于可能会匹配并阻止这些连接的任何其他规则之前。默认情况下，会将该规则添加到策略的末尾。如果稍后需要重新调整规则的位置，可以编辑此选项，也可以直接将规则拖放到表格中相应的位置。

   • 名称 - 输入一个有意义且不含空格的名称。例如，RAVPN-address-pool。

   • 操作 - 允许。如果不希望对此流量执行协议违规检测或入侵检测，可以选择“信任”。

   • 源/目标选项卡 - 对于源 > 网络，请选择在远程接入 VPN 连接配置文件中用于地址池的同一对象。对于所有其他“源”和“目标”选项，请保留默认值“任何”。

     
     

     

     
     

   • 应用、URL 和用户选项卡 - 保留这些选项卡的默认设置，即不做任何选择。

   • 入侵、文件选项卡 -（可选）您可以选择入侵或文件策略，以进行威胁或恶意软件检测。

   • 日志记录选项卡 -（可选）您可以选择启用连接日志记录。

4. 单击 OK。

确认您的更改。

1. 点击网页右上角的部署更改图标。

   

2. 点击立即部署按钮。

   您可以等待部署完成，也可以点击确定，稍后再检查任务列表或部署历史记录。

配置站点 B（托管目录服务器）上的站点间 VPN 连接。

1. 点击设备，然后点击站点间 VPN 组中的查看配置。

2. 点击 + 按钮。

3. 为终端设置配置以下选项。

   • 连接配置文件名称 - 输入名称，例如 SiteA（表示连接到站点 A）。

   • 本地站点 - 这些选项定义本地终端。

     • 本地 VPN 访问接口 - 选择外部接口（图表中地址为 192.168.2.1 的那一个接口）。

     • 本地网络 - 点击 + 并选择标识应参与 VPN 连接的本地网络的网络对象。由于目录服务器在此网络上，因此可以参与站点间 VPN。假定该对象尚不存在，点击创建新网络并为 192.168.1.0/24 网络配置对象。在保存对象后，在下拉列表中选择它并点击确定。

       
       

       

       
       

   • 远程站点 - 这些选项定义远程终端。

     • 远程 IP 地址 - 输入 192.168.4.6，这是将托管 VPN 连接的远程 VPN 对等体接口的 IP 地址。

     • 远程网络 - 点击 + 并选择标识应参与 VPN 连接的远程网络的网络对象。点击创建新网络，配置以下对象，然后在列表中选择它们。

       1. SiteAInside，网络，192.168.3.0/24。

          
          

          

          
          

       2. SiteAInterface，主机，192.168.4.6。这是关键：您必须将远程接入 VPN 连接点地址作为站点间 VPN 连接的远程网络的一部分，以便该接口上托管的 RA VPN 可以使用目录服务器。

          
          

          

          
          

   完成后，终端设置应如下所示：

   
   

   

   
   

4. 点击下一步。

5. 定义 VPN 的隐私配置。

   在本使用案例中，我们假定您符合出口控制功能的要求，允许使用强加密。调整这些示例设置以满足您的需求和许可证合规性。

   • IKE 版本 2、IKE 版本 1 - 保留默认设置，启用 IKE 版本 2，禁用 IKE 版本 1。

   • IKE 策略 - 点击编辑并启用 AES-GCM-NULL-SHA 和 AES-SHA-SHA，禁用 DES-SHA-SHA。

   • IPsec 提议 - 点击编辑。在“选择 IPSec 提议”对话框中，点击 +，然后点击设置默认值以选择默认 AES-GCM 提议。

   • 本地预共享密钥、远程对等体预共享密钥 - 输入此设备和远程设备上为 VPN 连接定义的密钥。这些密钥在 IKEv2 中可能不同。该密钥可以有 1 至 127 个字母数字字符。记住这些密匙，因为在站点 A 设备上创建站点间 VPN 连接时，必须配置相同的字符串。

   IKE 策略应如下所示：

   
   

   

   
   

6. 配置其他选项。

   • NAT 免除 - 选择托管内部网络的接口，在本示例中为内部接口。通常，您不希望站点间 VPN 隧道中的流量转换其 IP 地址。此选项仅在本地网络驻留在单个路由接口（而非桥接组成员）后时有用。如果本地网络位于多个路由接口或一个或多个桥接组成员之后，则必须手动创建 NAT 免除规则。有关手动创建所需规则的信息，请参阅使站点间 VPN 流量豁免 NAT。

   • 完美前向保密的 Diffie-Hellman 组 - 选择第 19 组。此选项决定是否使用完美前向保密 (PFS) 为每个加密交换生成和使用唯一会话密钥。唯一会话密钥可保护交换免于后续解密，即使整个交换已被记录且攻击者已经获得终端设备使用的预共享密钥或私钥。有关选项的说明，请查看决定要使用的 Diffie-Hellman 模数组。

   该选项应如下所示：

   
   

   

   
   

7. 点击下一步。

8. 查看摘要并点击完成。

   摘要信息将复制到剪贴板。您可以将这些信息粘贴到文档中，并使用它来帮助您配置远程对等体，或将其发送到负责配置对等体的一方。

9. 点击网页右上角的部署更改图标。

   

10. 点击立即部署按钮，并等待部署成功完成。

    现在，站点 B 设备已准备好托管站点间 VPN 连接的一端。

注销站点 B 设备并登录站点 A 设备。

配置站点 A（托管远程接入 VPN）上的站点间 VPN 连接。

1. 点击设备，然后点击站点间 VPN 组中的查看配置。

2. 点击 + 按钮。

3. 为终端设置配置以下选项。

   • 连接配置文件名称 - 输入名称，例如 SiteB（表示连接到站点 B）。

   • 本地站点 - 这些选项定义本地终端。

     • 本地 VPN 接入接口 - 选择外部接口（图表中地址为 192.168.4.6 的那一个接口）。

     • 本地网络 - 点击 + 并选择标识应参与 VPN 连接的本地网络的网络对象。点击创建新网络，配置以下对象，然后在列表中选择它们。注意，您已在站点 B 设备中创建相同的对象，但是您必须在站点 A 设备中重新创建它们。

       1. SiteAInside，网络，192.168.3.0/24。

          
          

          

          
          

       2. SiteAInterface，主机，192.168.4.6。这是关键：您必须将远程接入 VPN 连接点地址作为站点间 VPN 连接的内部网络的一部分，以便该接口上托管的 RA VPN 可以使用远程网络上的目录服务器。

          
          

          

          
          

   • 远程站点 - 这些选项定义远程终端。

     • 远程 IP 地址 - 输入 192.168.2.1，这是将托管 VPN 连接的远程 VPN 对等体接口的 IP 地址。

     • 远程网络 - 点击 + 并选择标识应该参与 VPN 连接的远程网络的网络对象（包含目录服务器的 VPN 连接）。点击创建新网络并为 192.168.1.0/24 网络配置对象。在保存对象后，在下拉列表中选择它并点击确定。注意，您已在站点 B 设备中创建相同的对象，但是您必须在站点 A 设备中重新创建它。

       
       

       

       
       

   完成后，终端设置应如下所示。请注意，与站点 B 设置相比，本地/远程网络是相反的。点对点连接的两端看起来应始终是这样的。

   
   

   

   
   

4. 点击下一步。

5. 定义 VPN 的隐私配置。

   与站点 B 连接一样，配置相同的 IKE 版本、策略和 IPsec 提议，以及相同的预共享密钥，但请确保调换本地和远程预共享密钥。

   IKE 策略应如下所示：

   
   

   

   
   

6. 配置其他选项。

   • NAT 免除 - 选择托管内部网络的接口，在本示例中为内部接口。通常，您不希望站点间 VPN 隧道中的流量转换其 IP 地址。此选项仅在本地网络驻留在单个路由接口（而非桥接组成员）后时有用。如果本地网络位于多个路由接口或一个或多个桥接组成员之后，则必须手动创建 NAT 免除规则。有关手动创建所需规则的信息，请参阅使站点间 VPN 流量豁免 NAT。

   • 完美前向保密的 Diffie-Hellman 组 - 选择第 19 组。

   该选项应如下所示：

   
   

   

   
   

7. 点击下一步。

8. 查看摘要并点击完成。

9. 点击网页右上角的部署更改图标。

   

10. 点击立即部署按钮，并等待部署成功完成。

    现在，站点 A 设备已准备好托管站点间 VPN 连接的另一端。由于站点 B 已经配置了兼容设置，因此两台设备应该协商 VPN 连接。

    您可以登录设备 CLI 并对目录服务器进行 ping 测试，从而确认连接。您也可以使用 show ipsec sa 命令查看会话信息。

在站点 A 上配置目录服务器。点击测试验证是否有连接。

1. 选择对象，然后从目录中选择身份源。

2. 点击 + > AD。

3. 配置基本领域属性。

   • 名称 - 目录领域的名称。例如，AD。

   • 类型- 目录服务器的类型。Active Directory 是唯一支持的类型，所以无法更改此字段。

   • 目录用户名、目录密码 - 用户的标识名称和密码，该用户具备访问您要检索的用户信息的适当权限。对于 Active Directory，用户不需要更高的权限。您可以在域中指定任何用户。用户名必须是完全限定的；例如，Administrator@example.com（而不仅仅是 Administrator）。

     注	系统使用此信息生成 ldap-login-dn 和 ldap-login-password。例如，Administrator@example.com 被转换为 cn=adminisntrator、cn=users、dc=example、dc=com。请注意，cn = users 始终是此转换的一部分，因此您必须在公用名“users”文件夹下配置此处指定的用户。

   • 基准 DN (Base DN) - 用于搜索或查询用户和组信息的目录树，即用户和组的公共父项。例如，cn=users、dc=example、dc=com。有关查找基准 DN 的信息，请参阅确定目录基准标识名。

   • AD 主域 - 设备应加入的 Active Directory 完全限定域名。例如 example.com。

   
   

   

   
   

4. 配置目录服务器属性。

   • 主机名/IP 地址 - 目录服务器的主机名或 IP 地址。如果以加密方式连接到服务器，则必须输入完全限定域名，而非 IP 地址。在本例中，输入 192.168.1.175。

   • 端口 - 用于与服务器通信的端口号。默认值为 389。如果选择 LDAPS 作为加密方法，请使用端口 636。在本例中，保留 389。

   • 加密 - 使用加密连接下载用户和组信息。系统默认为无，也就是说以明文形式下载用户和组信息。对于 RA VPN，您可以使用 LDAPS，即基于 SSL 的 LDAP。如果选择此选项，则使用端口 636。RA VPN 不支持 STARTTLS。对于此示例，选择无。

   • 受信任的 CA 证书 - 如果选择加密方法，请上传证书颁发机构 (CA) 证书以便在系统和目录服务器之间启用受信任的连接。如果要使用证书进行身份验证，则证书中的服务器名称必须与服务器主机名/IP 地址匹配。例如，如果使用 192.168.1.175 作为 IP 地址，但证书中的地址为 ad.example.com，则连接会失败。

   
   

   

   
   

5. 点击测试按钮验证系统是否可以与服务器通信。

   系统使用单独的进程访问服务器，因此您可能会收到错误通知，指出连接适用于一种用途而不适用于另一种用途，例如可用于身份策略，但不可用于远程接入 VPN。如果无法访问服务器，请确认 IP 地址和主机名正确、DNS 服务器具有该主机名的条目等。另外，验证站点间 VPN 连接是否正常工作，并且您在 VPN 中包含了站点 A 的外部接口地址，并且 NAT 不会转换目录服务器的流量。您可能还需要为服务器配置静态路由。

6. 点击确定。

依次点击设备 > 智能许可证 > 查看配置，然后启用 RA VPN 许可证。

启用 RA VPN 许可证时，请选择您购买的许可证类型：Plus、Apex（或两者）或仅 VPN。有关详细信息，请参阅远程接入 VPN 的许可要求。

在站点 A 上配置远程接入 VPN。

1. 点击设备，然后点击“远程接入 VPN”组中的设置连接配置文件。

2. 定义 AnyConnect 客户端配置。

   • 连接配置文件名称 - 此连接的名称，最多 50 个字符，不能含空格。例如，MainOffice。不能将 IP 地址用作名称。

     注	您在此输入的名称将是用户在 AnyConnect 客户端的连接列表中看到的名称。选择一个对您的用户来说有意义的名称。

   • 用户身份验证的身份源 - 选择目录领域。或者，您可以选择本地数据库作为回退身份源。

   • AnyConnect 软件包 - 您将在此 VPN 连接上支持的 AnyConnect 完整安装软件映像。对于每个软件包，文件名（包括扩展名）不能超过 60 个字符。可以为 Windows、Mac 和 Linux 终端上传单独的软件包。

     从 software.cisco.com 下载软件包（页面底部右侧位置有链接）。如果终端尚未安装正确的软件包，系统会提示用户在用户验证后下载并安装软件包。

   
   

   

   
   

3. 点击下一步。

4. 定义设备身份和客户端寻址配置。

   • 设备身份证书 - 选择 DefaultInternalCertificate。这是用于建立设备身份的内部证书。客户端必须接受此证书才能完成安全的 VPN 连接。如果您要使用其他证书，请在下拉列表中点击创建新的内部证书，并上传相应证书。

   • 外部接口 - 选择外部，即 IP 地址为 192.168.4.6 的接口。这是用户在远程接入 VPN 连接时要连接的接口。

     
     

     

     
     

   • 外部接口的完全限定域名 - 接口的名称，例如 ravpn.example.com。如果指定名称，系统可以为您创建一个客户端配置文件。在本例中，我们将它留空。

     注	您要确保 VPN 中和客户端使用的 DNS 服务器可以将此名称解析为外部接口的 IP 地址。将 FQDN 添加到相关 DNS 服务器。

   • IPv4、IPv6 地址池 - 这些选项为远程终端定义地址池。对于本示例，在 IPv4 地址池中选择创建新的网络并为 172.18.1.0/24 网络创建一个对象，然后选择对象。从该地址池中为客户端分配地址。将 IPv6 池留空。地址池不能与外部接口的 IP 地址位于同一子网。

     该对象应如下所示：

     
     

     

     
     

     该地址池规范应如下所示：

     
     

     

     
     

   • 主要、辅助 DNS 服务器 - 在此示例中，点击 OpenDNS 按钮以使用 OpenDNS 公共 DNS 服务器加载这些字段。当连接 VPN 时，RA VPN 客户端使用这些 DNS 服务器客户端进行域名解析。或者，输入您的 DNS 服务器的 IP 地址。

   • 域搜索名称 - 为您的网络输入域名，例如 example.com。此域将被添加到非完全限定的主机名，例如 serverA 而不是 serverA.example.com。

     
     

     

     
     

5. 点击下一步。

6. 定义连接设置以自定义 AnyConnect 客户端行为。

   保留所有选项的默认设置，因为它们适用于大多数网络。

   由于选择了 NAT 免除，您需要配置以下选项：

   • 内部接口 - 选择内部接口。这些是远程用户将要访问的内部网络的接口。所创建的 NAT 规则用于这些接口。

   • 内部网络 - 选择 SiteAInside 网络对象。这些是代表远程用户将访问的内部网络的网络对象。

   
   

   

   
   

7. 点击下一步。

8. 审核摘要。

   首先，验证摘要是否正确。

   然后，点击说明查看终端用户初步安装 AnyConnect 软件需要做什么，并测试他们是否可以完成 VPN 连接。点击复制以将这些说明复制到剪贴板，然后将它们粘贴在文本文件或邮件中。

9. 点击完成。

点击网页右上角的部署更改图标。

点击立即部署按钮，并等待部署成功完成。