前面我们已经通过几篇文章把SSL VPN的3种接入方式和对应的工作机制了解了，IP接入方式请查看（VSR白送的SSL VPN功能，你要不要？），Web接入方式请查看（SSL VPN配置Web接入方式案例），TCP接入方式请查看（SSL VPN配置TCP接入方式案例）。
现在我们回过头来补充一些和实际使用相关的细节问题。
首先看一下SSL VPN网关的部署方式，主要有两种：网关模式和旁路模式。
而网关模式是指设备作为内网网关串接在内外网之间，内外网互通的所有流量需要通过SSL VPN网关进行转发。优势是网关模式可以提供对内网的完全保护，但是由于SSL VPN网关处在内网与外网通信的关键路径上，其性能对内外网之间的数据传输有很大的影响。
还是前面介绍的云上部署VSR的场景，因为没有办法替换掉GW设备，所以只能是把VSR串在GW和Server中间。如果是物理设备场景，在SSL VPN网关能满足业务需求的情况下，可以将SSL VPN网关复用为业务网关，降低部署成本。但如果SSL VPN网关宕机，所有业务均受影响。
综上，在实际部署时，还是建议优先考虑采用旁路模式部署。
然后就是SSL VPN网关的配置了。我们前面是把3种接入方式分开讲的，其实也是可以组合在一起进行使用的。
可以发现，3种接入方式中SSL服务器端的策略配置都是一样的。
ssl server-policy guotiejun pki-domain guotiejun
SSL VPN网关配置的IP地址和端口号可以合并为一个。
#sslvpn gateway guotiejun ip address 172.30.1.19 port 10086 ssl server-policy guotiejun service enable
IP接入方式需要创建SSL VPN AC接口，以及为SSL VPN客户端分配地址的地址池，还要创建允许SSL VPN地址池访问资源的ACL。
sslvpn ip address-pool tiejun 10.1.1.100 10.1.1.200#acl advanced 3402 rule 0 permit ip source 10.1.1.0 0.0.0.255 destination 172.30.1.0 0.0.0.255
然后就是把3种接入方式的访问实例配置融合到一起。IP接入方式添加资源172.30.1.0/24，Web接入方式添加资源172.30.1.17的HTTP和HTTPS管理页面，TCP接入方式添加资源172.30.1.17的SSH、FTP、Telnet、HTTP和HTTPS端口。
#sslvpn context guotiejun gateway guotiejun ip-tunnel interface SSLVPN-AC1 ip-tunnel address-pool tiejun mask 255.255.255.0 port-forward-item ftp17local-port 17021 local-name 127.0.0.1 remote-server 172.30.1.17 remote-port 21 port-forward-item http17local-port 17080 local-name 127.0.0.1 remote-server 172.30.1.17 remote-port 80 port-forward-item https17local-port 17443 local-name 127.0.0.1 remote-server 172.30.1.17 remote-port 443 port-forward-item ssh17local-port 17022 local-name 127.0.0.1 remote-server 172.30.1.17 remote-port 22 port-forward-item telent17local-port 17023 local-name 127.0.0.1 remote-server 172.30.1.17 remote-port 23 port-forward tcpresources port-forward-item ftp17resources port-forward-item http17resources port-forward-item https17resources port-forward-item ssh17resources port-forward-item telent17 ip-route-list guotiejuninclude 172.30.1.0 255.255.255.0 url-item http17urlurl-item https17urlurl-list webheading WebManagementresources url-item http17resources url-item https17 policy-group guotiejunresources port-forward tcpfilter ip-tunnel acl 3402ip-tunnel access-route ip-route-list guotiejunresources url-list web default-policy-group guotiejun service enable
最后就是创建授权有策略组的用户组，并创建本地SSL VPN用户。
local-user guotiejun class network password simple guotiejun service-type sslvpn group sslvpn authorization-attribute user-role network-operator
然后就可以登录到SSL VPN网关了。
我们看到页面中还有一个启动IP客户端应用程序的地方，默认是没有客户端软件的。此时我们需要开启设备的轻量级Web服务器功能Lighttpd，并将定制好的iNode客户端重命名后上传到指定路径。
简单解释一下，为什么要指定路径。因为目前暂时不支持修改下载链接，默认的下载链接如下：
所以我们需要在Web服务器根目录下创建client/ip/路径，并且设备名称必须修改为SvpnClient.exe，所以根目录下必须有包含ip的文件夹client。配置好之后就能从页面直接下载SSL VPN客户端了。
TCP客户端就不多说了，终端需要具有Java环境，并且要添加例外站点。
其实主要就是通过高级ACL（3000段）或者URI ACL进行访问控制，IP接入方式可以使用上述两者，而Web接入方式和TCP接入方式主要是通过URI ACL。首先对流量进行URI ACL的规则检查，匹配URI ACL中permit规则放行；如果URI ACL匹配失败，再匹配高级ACL，匹配permit规则放行；如果都匹配失败，拒绝访问。但是不怎么实用，把资源列出来又不给用户访问，属实有点流氓的意思。
其实用的比较多的还是sslvpn-policy-group和user-group，可以创建用户组匹配SSL VPN策略组，因为SSL VPN策略组中是添加了VPN资源的，所以相当于是在用户组内的用户都有访问权限，只要调整用户或者用户组就能进行区分了。也可以配置本地用户直接匹配SSL VPN策略组，看个人喜好。
此时我们再创建一个SSL VPN策略组yancaipin，只添加TCP资源。
#sslvpn context guotiejun policy-group yancaipinresources port-forward tcp
然后创建一个用户yancaipin，直接匹配SSL VPN策略组yancaipin。
#local-user yancaipin class network password simple yancaipin service-type sslvpn authorization-attribute user-role network-operator authorization-attribute sslvpn-policy-group yancaipin
登录账号yancaipin试一下。
可以看到Web资源没有了，只剩下TCP资源了。
最后应该就是限制在线用户了，缺省情况下，同一用户的同时最大在线数为32，如果用到上面的分类用户了，那肯定是要区分用户的，所以我们一般将每个用户名的同时最大在线数限制为2-3个，按个人终端算。配置方式为在SSL VPN访问实例视图中配置，同时开启达到最大在线数再登录时强制下线功能。
#sslvpn context guotiejun max-onlines 3 force-logout max-onlines enable
与此相关的有一个SSL VPN访问实例的最大会话数，缺省最大会话数为1048575，这个就不用管了。还有每个会话的最大连接数缺省为64，也不用管。还有一个SSL VPN会话保持空闲状态的最长时间，缺省为30分钟，可以视情况进行调整。
#sslvpn context guotiejun timeout idle 60
再有可能就是限速了，如果用户比较多，限速还是很有必要的。IP接入方式的限速功能如下：
#sslvpn context guotiejun ip-tunnel rate-limit upstream kbps 2048 ip-tunnel rate-limit downstream kbps 2048
还可以基于会话进行限速，命令如下：
以我处理过几千个问题的经验，不夸张讲，本篇介绍的内容基本上能覆盖90%以上的客户需求了，下课！
