H3C SecurePath F100 VPN

电脑不让装不行就装手机里呗，不能查手机吧？

配置L2TP吧

您好，可以直接web接入，也可使用ipsec+l2tp方式

1、Web 接入（SSL VPN Web-access，完全不用装任何客户端，仅浏览器 HTTPS 登录，首选）

✅ 不用 iNode，纯浏览器访问。 限制：只能访问内网 B/S 网页业务（http/https 网站、OA、web 系统），不能直接访问 C/S（数据库、远程桌面、文件共享、SSH）。 原理：防火墙做反向代理，用户在 VPN 门户页面点预设链接访问内网 web 资源。 配置要点：

1. SSL VPN 网关启用，新建访问实例，业务类型选【Web 业务】，不要勾选 IP 接入（IP 接入会强制 iNode）
2. 在实例内配置 url-item，添加内网网页地址，放入资源组
3. SSL 本地用户绑定该资源组；安全策略放行公网→防火墙 SSL 网关端口

2、TCP 接入（SSL VPN 端口转发，仅浏览器登录后，下载极小的 java 小程序，不是 iNode）

✅ 浏览器登录网关，页面点启动，下载轻量 TCP 转发小程序，不需要安装 iNode 完整客户端 限制：只支持固定 TCP 端口业务（RDP、SSH、telnet）；文件共享、ping、三层全网访问不行。

注意：Java 小程序，部分新版浏览器不支持，兼容性一般。

关键说明（你踩坑点）

1. SSL VPN【IP 接入】= 三层隧道，必须 iNode，无法绕开，IP 接入模式登录页面会强制下载 iNode，这就是你现在现有配置。
2. F100 V7原生不支持标准 IKEv2 远程接入 IPSec（Windows 自带 IPsec 客户端），官方文档没有 RA IPSec，所以你测试不通，这个机型不支持。
3. 没有办法做到无客户端、全三层内网访问（像 iNode 那样，能 ping 所有内网 IP、访问 C/S 所有业务）。F100 不支持浏览器三层隧道。

选型建议

• 只访问 OA、web 业务：Web 接入（首选，零客户端）
• 需要 RDP/SSH 等固定端口 C/S：TCP 接入（小程序，非 iNode）
• 需要完整三层全网访问：F100 硬件平台本身不支持无客户端三层 VPN，只能考虑其他方案，比如 SDP 零信任网关。

命令行核心片段（Web 接入）

安全策略放行公网 IP 访问防火墙 SSL 网关 443 端口。

最简总结

1. 关闭 SSL VPN 里的 IP 接入（IP 接入强制 iNode）；
2. 启用SSL VPN Web 接入，纯浏览器访问，零客户端，仅支持网页类 B/S 业务；
3. F100 不支持标准 IKEv2 IPSec 远程接入，所以自带系统 IPsec 客户端连不上；
4. 想要无客户端并且全内网三层可达，F100 做不到。

1. Web接入（WebVPN）： 对应的url是virtual host 提供的内网域名访问， 无法直接访问ip， 然后还是https的证书有可能有问题， 反正现在是点了web 资源就是空白的。 我还尝试了zabbix的web console， 登录后提示没有登录， 好像是会话没法保存

2. L2TP over IPSec配置 也是需要两边的防火墙都做配置的吧？我们没法去对端的防火墙做配置。