ASA的预配
ASA1(config)# int e0/1
ASA1(config-if)# nameif inside
ASA1(config-if)# ip add 192.168.10.1 255.255.255.0
ASA1(config-if)# no sh
ASA1(config-if)# int e0/2
ASA1(config-if)# nameif outside
ASA1(config-if)# ip add 202.100.10.1 255.255.255.0
ASA1(config-if)# no sh
ASA1(config)# route outside 0 0 202.100.10.2
ASA1(config)# nat (in) 1 0 0
ASA1(config)# global (outside) 1 interface
ASA1(config)# access-list ping permit icmp any 202.100.10.0 255.255.255.0
ASA1(config)# access-group ping in interface outside
ASA上的配置命令
ASA1(config)# webvpn
ASA1(config-webvpn)# enable outside
//在outside接口上开启web vpn 功能
ASA1(config)# username text password 123
//创建用户名和密码
ASA1(config)# group-policy sslvpn-policy internal
ASA1(config)# group-policy sslvpn-policy attributes
ASA1(config-group-policy)# vpn-tunnel-protocol webvpn
//创建SSL VPN的组策略，并配置其属性
ASA1(config)# tunnel-group sslvpn-group type webvpn
ASA1(config)# tunnel-group sslvpn-group general-attributes
ASA1(config-tunnel-general)# default-group-policy sslvpn-policy
ASA1(config-tunnel-general)# authentication-server-group LOCAL
//创建SSL VPN的隧道组，并配置相关属性
ASA1(config-tunnel-general)# tunnel-group sslvpn-group webvpn-attributes
ASA1(config-tunnel-webvpn)# group-alias caiwu enable
//配置隧道组的webvpn属性，启用隧道组别名，指定为caiwu
ASA1(config)# webvpn
ASA1(config-webvpn)# tunnel-group-list enable
//在webvpn中开启隧道组下拉列表功能
ASA上的配置命令
1.创建SSL胖客户端模式的登陆用户、密码
ASA1(config)# username xiaoshou pas 123
2.启用胖客户端功能
ASA1(config)# webvpn
ASA1(config-webvpn)# enable outside
// 在outside接口启用webvpn功能
ASA1(config-webvpn)# svc image disk0:/sslclient-win-1.1.2.169.pkg
//指定SSL胖客户端模块镜像文件路径
ASA1(config-webvpn)# svc enable
3.配置给SSL胖客户端用户推送的私有IP地址池
ASA1(config)# ip local pool ssl-pool 192.168.200.10-192.168.200.20 mask 255.255.255.0
4.定义隧道分离ACL策略
ASA1(config)# access-list ssl-acl extended permit ip 192.168.10.0 255.255.255.0 192.168.200.0 255.255.255.0
5.创建SSL胖客户端的组策略，并配置属性
ASA1(config)# group-policy ssl-policy internal
ASA1(config)# group-policy ssl-policy attributes
ASA1(config-group-policy)# split-tunnel-policy tunnelspecified
ASA1(config-group-policy)# split-tunnel-network-list value ssl-acl
//指定分离隧道的ACL策略名称为ssl-acl
ASA1(config-group-policy)# dns-server value 192.168.10.30
//指定内网DNS服务器IP地址
ASA1(config-group-policy)#split-dns value test.com
//指定内网DNS域名
ASA1(config-group-policy)# vpn-tunnel-protocol webvpn svc
//在VPN隧道协议中指定webvpn svc（胖客户端）
ASA1(config-group-policy)# webvpn
ASA1(config-group-webvpn)# svc ask enable
//启用SSL胖客户端的会话功能
6.创建SSL胖客户端的隧道组，并配置相应属性
ASA1(config)# tunnel-group ssl-group type webvpn
ASA1(config)# tunnel-group ssl-group general-attributes
ASA1(config-tunnel-general)# address-pool ssl-pool
//在隧道组中启用推送地址池
ASA1(config-tunnel-general)# default-group-policy ssl-policy
//指定隧道组调用的默认组策略
ASA1(config)# tunnel-group ssl-group webvpn-attributes
//配置隧道组的webvpn属性
ASA1(config-tunnel-webvpn)# group-alias xiaoshou enable
//开启隧道组的别名功能，并指定别名为：xiaoshou
7.配置登陆用户属性
ASA1(config)# username xiaoshou attributes
ASA1(config-username)# group-lock value ssl-group
//锁定用户xiaoshou到ssl-group隧道组，不得选择其他隧道组
8.开启隧道组列表功能
ASA1(config)# webvpn
ASA1(config-webvpn)# tunnel-group-list enable
9.配置NAT豁免
ASA1(config)# access-list nonat extended permit ip 192.168.10.0 255.255.255.0 192.168.200.0 255.255.255.0
ASA1(config)# nat (inside) 0 access-list nonat
先按照拓扑图给路由器、防火墙、PC机配置IP地址，并在防火墙上进行路由、NAT、访问控制配置
开启服务后可通过Win7 telnet/ping XP，成功通信
按照如下内容添加FTP站点：
站点名称：test.com
物理路径：C:\inetpub\ftproot
FTP站点IP地址：192.168.10.2
ssl：无
身份验证：匿名
授权允许访问：所有用户
完成防火墙上无客户端的SSL配置命令后打开IE浏览器，输入防火墙outside接口地址202.100.10.1，使用设置的username和password登陆
在页面内输入WEB服务器地址即可访问
但关闭浏览器，重新打开IE浏览器，在地址栏中输入：
https://192.168.10.2 访问失败
ftp://192.168.10.2 访问失败
未经过身份验证，并且脱离了浏览器， SSL 连接无法连接，所以无法访问内网主机（Windows Server 2008）的资源。
要脱离浏览器的限制，使用主机直接访问，需要配置胖客户端
之后就可以根据上文的命令进行ASA的命令配置
点击安装客户端即可
右键点击小钥匙，并选择的"statistics"
在命令提示符中使用ipconfig/all就可查看本地连接信息
现在就可一在终端中直接访问内网的服务器
直接在IE浏览器中输入内网IP地址就可以直接访问了
