View
252
Download
1
Category
Preview:
Citation preview
1 / 33
用友 SSL VPN 操作使用指南
1 SSL VPN 系统简介
登录 SSL VPN，将为用户通过 INTERNET 公网访问集团内网建立一
条安全的加密通信隧道。用户首先需要通过无线网络 (WiFi、3G 无线
上网卡等)，或者有线宽带(ADSL、FTTH、Cable Modem 或小区 LAN 网等)
连接 INTERNET。用户使用浏览器登录 SSL VPN 后，VPN 客户端将为您
分配一个内网虚拟地址，这样您就可以访问被保护的内网资源了，收
发集团邮件也将通过 VPN 加密，此时您仍然可以正常访问 INTERNET。
2 系统需求
2.1 操作系统
支持 Windows 2000/XP/Vista/Win7/Win8.0/8.1。
2.2 浏览器支持
支持 IE 6/7/8/9/10/11（32位和 64位）、谷歌 Chrome、火狐 Firefox，
其他国内品牌浏览器（如：360、搜狗、腾讯浏览器，但不支持 Maxthon
傲游、百度)、暂不支持 MacOS Safari 和 Mac Chrome。（注意：用户
首次登录 SSL VPN时，需要下载安装证书和 VPN客户端控件)
2.3 运行环境支持
1) 需要安装 Java虚拟机（可在登录页面下载安装）
2) 建议安装 Adobe Flash Player 和 Adobe Acrobat Reader
2 / 33
3 开始使用 VPN
3.1 步骤一：访问 SSL VPN 地址
打开 Windows 桌面上的浏览器，如 Microsoft IE，在浏览器窗口
地址栏，输入 SSL VPN 访问地址 http://myvpn.yonyou.com ，如下图
所示：
正常情况下，用户应能看到如下 SSL VPN 虚拟门户欢迎页面：
用户可在欢迎页面，根据自己所在公司及分组，选择访问相应的
VPN 通道，通过点击图标即可进入 SSL VPN 登录页面。首次使用 VPN
需要下载安装证书和 VPN 客户端控件等软件，此后日常登录 VPN 时，
除非用户更换浏览器或重装系统，一般情况下无须再重复安装。
在地址栏输入 VPN访问地址
http://myvpn.yonyou.com
址
3 / 33
3.2 步骤二：安装浏览器证书控件
用户首次访问 SSL VPN 登录页面，需要下载安装证书和 VPN 客户
端控件（如下图所示），请在首页依次点击下载链接地址并安装。
以下载安装证书控件为例，点击“iTrus TopCertKit 证书控件”
下载链接地址后，IE 浏览器将提示用户是否运行或保存“天诚安信证
书助手-0.0.0.1*.exe”。用户可直接点击“运行”按钮，浏览器将自
动下载并安装控件。若出现系统帐户控制提示窗口，请点击“是”继
续安装，证书控件安装成功后，需要重启浏览器后再继续操作。
使用火狐 Firefox、谷歌 Google Chrome 浏览器，以及非 IE 内核
的浏览器（如搜狗浏览器等）时的下载提示信息不同，请用户留意。
客户端证书控件安装操作过程，如下图所示：
证书/VPN 客户端控件下载地址
单击“运行”按钮，下载并
安装客户端证书控件
4 / 33
如果用户此前安装过旧版本证书控件，此时系统会提示“系统检
测到证书控件正在运行，请先关闭！”。用户点击“确定”按钮，系统
将关闭当前正运行的控件，然后自动启动新控件安装程序。
用户根据安装向导提示，点击“接受”“下一步”等按钮，如遇防
火墙注册表操作警告，请选择“允许本次操作”。
看到提示“控件安装成功”，请刷新浏览器页面以便加载证书控件。
注意：证书控件安装成功后，
需要刷新浏览器以加载控件
请直接点击【确定】按钮，
以便运行新控件安装程序
5 / 33
3.3 步骤三：获取用户证书
SSL VPN 系统采用“域控+用户证书”的双重身份认证机制，因此
用户首次登录 SSL VPN 需要获取用户证书。方法是点击登录页面中的
“获取证书”链接，此时将跳转至“获取用户证书”页面。
用户在“获取用户证书”页面，应在用户名栏输入“域账户名”（即:
xx@yonyou.com 或 xx@chanjet.com 邮箱地址中@前面 xx 部分，
用友烟草公司用户请输入完整邮箱名，如: xx@uf-tobacco.com），
在密码栏输入“账户密码”（即:用户登录 portal.yonyou.com 园区网
的密码），然后点击“获取短信验证码”或“获取证书”按钮。
如下图所示：
注意：部分浏览器在操作“获取证书”时，可能会报告“当前 IE
安全设置拒绝访问您的计算机上的证书”或“无法验证发布者”，并导
致“证书导入失败”或“证书异常”错误。请参见§4.1 添加受信任的
站点和§5.2 Windows 无法验证发布者的解决方法，并按所示步骤操作。
输入域账户名
输入账户密码
点击【获取短信验证码】
6 / 33
3.3.1 获取短信验证码
在“获取用户证书”页面首先输入正确的域账号和密码，单击“获
取短信验证码”按钮，此时系统将随机产生的“短信验证码”，发送至
您在 HR 系统中登记的手机上，用户手机收到验证码后，请将 6 位数字
验证码填写在“短信验证码”输入栏中（3 分钟内输入有效）。
用户在点击“获取短信验证码”按钮后，可在 60秒后点击“再次
获取验证码”，此时前次获取的验证码将自动失效。
特别提示：若用户未在 HR 系统中登记手机号码，或手机号码不准
确，则无法收到“短信验证码”。此时的解决方案如下：
(1) 用友员工应首先设法通过 eHR 自助系统登记手机号码，或者联络
人力资源部门协助办理信息更新；
(2) 若遇紧急情况需要登录 VPN，请联系本人的主管经理，由主管经
理发送或转发申请邮件到 36800@yonyou.com 邮箱，邮件中应注
明申请人的手机号码，服务台人员收到申请邮件并核查无误后，
将为用户代为获取一次“短信验证码”，并发送至申请人手机上，
申请人 5 分钟内使用该验证码即可获取用户证书。
3.3.2 获取并安装用户证书
用户获取并输入短信验证码后，在“获取用户证书”页面点击“获
取证书”按钮，服务端系统完成用户身份验证（域控+短信验证码）后，
自动将“用友软件服务有限公司 CA”系统颁发的用户证书，下载并安
装到用户本地 Windows系统中。证书安装成功，将提示如下信息：
7 / 33
证书安装导入成功后，系统还将自动安装用友 CA根证书（如下图
所示），已经安装过的浏览器将不再提示。请在系统弹出窗口中点“是”
安装证书。不同版本的 IE 浏览器提示信息不尽相同，请用户此时一定
注意不要漏装根证书，若不安装根证书，本地系统将无法验证用户证
书的合法性。
用户证书安装导入成功后，系统提示将在 2 秒钟后自动跳转回到
VPN 登录页面，用户在登录页面重新输入域账号和密码登录 VPN。
输入短信验证码
点击【获取用户证书】
8 / 33
3.4 步骤四：登录 VPN、安装 VPN 客户端软件
用户在 SSL VPN 登录页面，应在用户名栏输入“域账户名”（即：
xx@yonyou.com 或 xx@chanjet.com 邮箱地址中@前面 xx 部分），
在密码栏输入“账户密码”（即: 登录@yonyou.com 或@chanjet.
com 邮箱的密码），然后点击“登录”按钮，如下图所示：
点击“登录”按钮后，VPN 系统将自动弹出一次“确认证书”窗口。
用户检查无误后，直接单击“确定”按钮即可。不同浏览器“确认证
书”窗口样式不尽相同，以下是微软 IE 浏览器的“确认证书”窗口：
输入域账户名
输入账户密码
点击【登录】按钮
9 / 33
以下是谷歌 Chrome浏览器的“确认证书”窗口：
以下是火狐 Firefox 浏览器的“确认证书”窗口：
首次访问 SSL VPN，系统将提示用户安装 SSL VPN 客户端软件，不
同浏览器的提示信息不尽相同，下图为使用 IE9 时获得的系统提示：
10 / 33
请在系统账户控制提示窗口中点击“确定”，系统开始下载安装 VPN
客户端软件，下载时间长短将跟用户当前的网速有关。安装过程中，
有些系统需要重新启动操作系统，如下图所示：
点击“是”，重新启动系统后，将在 Windows操作系统中安装 Array
Networks SSL VPN adapter 的“本地连接”。
正常登录 VPN时，系统自动启动 VPN客户端软件，如下图所示：
单击“安装”按钮，安装
Array VPN Client 客户端
11 / 33
在完成 VPN客户端安装、VPN客户端与服务器端连接完成后，在屏
幕右下角任务栏将出现红色 A 图标，浏览器显示内网资源导航页面，
如下图所示：
此时，说明用户已成功登录 SSL VPN，可以在资源导航页面或浏览
器地址栏，访问其权限范围内的各网站资源。
注意：用户可以使用不同的电脑登录 VPN，但同一时刻只能保持一
个 VPN正常连接，不能使用相同的账户名在两台电脑上同时登录。
可看到 VPN 客户端与
服务端通讯协商过程
屏幕右下角任务栏，出现红色 A 图标
12 / 33
3.5 步骤五：断开 VPN、退出并注销
为了防止用户误操作，目前策略是即使用户关闭资源导航页面，
或者关闭当前使用的浏览器，系统都不会自动断开 VPN 连接。用户若
希望结束 SSL VPN内网访问，需要手工退出 VPN当前连接。
具体操作方法：单击屏幕右下任务栏中红色 A 图标，如下图所示：
弹出 SSL VPN状态窗口，点击窗口下方“断开”或“退出并注销”
按钮，则完全退出 VPN 当前连接，用户需要再次访问内网资源时，必
须重新登录 VPN。如下图所示：
注意：因网络资源有限，若用户登录连接 VPN 后，30 分钟内没有
任何操作，则系统将自动断开当前 VPN 连接。用户最长连续使用 VPN
的时间为 24小时。
13 / 33
4 浏览器操作使用指南
4.1 添加受信任站点
对于首次使用 SSL VPN 系统的用户，需要通过控制面板或微软 IE
浏览器进入“Internet选项”添加受信任站点，否则部分浏览器在 VPN
登录过程中，系统操作用户证书时可能报错，如下图所示：
添加受信任站点的操作步骤如下：
(1) 通过 Windows 控制面板或微软 IE 浏览器打开“Internet 选
项”窗口，选择进入“安全”标签页；
14 / 33
(2) 点击“受信任站点”图标，然后单击“站点”按钮；
(3) 在“受信任的站点”窗口，键入“https://*.yonyou.com”,
单击“添加”按钮，然后点击“关闭”；
(4) 在“Internet属性”窗口先后点击“应用”和“确定”按钮，
受任何站点添加完成。
15 / 33
4.2 安装 Java 虚拟机
用户若使用非 IE 内核浏览器登录（如 Firefox、Google Chrome
和搜狗浏览器等），用户操作系统中若没有安装 Java 虚拟机，浏览器
可能提示如下信息：
Firefox：
Google Chrome：
此时，用户需要下载 Java虚拟机到本机并安装，可在登录页面访
问如下地址：http://www.java.com/zh_CN/download/index.jsp
17 / 33
再次访问 SSL VPN，浏览器将不再出现 Java 虚拟机错误提示。使
用 Chrome或搜狗浏览器登录 VPN时，浏览器会弹出如下提示：
请勾选“不再对来自以上发行者和位置的应用程序显示此消息”，
然后点击“运行”按钮。当弹出以下提示时，请勾选“不再对此应用
程序和 Web站点显示此消息”，然后点击“允许”。
19 / 33
4.3 Firefox 配置和使用说明
4.3.1 浏览器配置
若用户使用火狐 Firefox登录 SSL VPN需要开启“Renegotiation”
功能，否则无法正常登录 VPN。相关配置操作步骤如下：
(1) 在地址栏键入：about:config进入 Firefox配置页面；
(2) 在搜索栏键入：security.ssl此时页面显示相匹配的项目；
(3) 找到下列项目所在行：
“security.ssl.allow_unrestricted_renego_everywhere_
_temporarily_available_pref”
(4) 双击后将该选项值由默认“false”改为“true”；
20 / 33
配置完毕，建议重新启动 Firefox以确保选项修改生效。
4.3.2 手工安装用户证书
由于 Firefox不支持 Windows系统的证书管理器，因此，需要先使
用其他浏览器（不限浏览器种类）成功获取用户证书后，再将用户证书
导出，然后再导入 Firefox，才能正常登录 VPN。操作步骤如下：
步骤一：Windows 系统中导出用户证书；
(1) 从 Windows 控制面板或 IE 浏览器，打开 Internet 选项，进
入“内容”标签页，点击“证书”按钮；
21 / 33
(2) 在“证书”窗口“个人”标签页中，找到颁发者为“用友软
件股份有限公司 Intermediate CA”，颁发给用户域账户名称
的证书，单击“导出”按钮；
注意：颁发者为“用友软件用户 CA”的同名个人证书，是用
户在原 VPN 系统中使用的 1024 位旧证书，在新 VPN 系统
中不能使用，请注意区分；
(3) 进入证书导出向导，直接点击“下一步”；
23 / 33
(6) 设置证书保护密码，注意输入容易记忆的密码，点击下一步；
然后指定导出证书的文件名和路径，检查证书文件扩展名应
为.pfx，然后单击下一步；
(7) 点击“完成”按钮，系统提示“导出成功”。至此，用户证书
已成功导出到本地。
25 / 33
(2) 点击“高级”并选择“证书”标签页，点击“查看证书”；
(3) 进入 Firefox 证书管理器，选择“您的证书”标签页，然后
点击“导入”按钮；
(4) 在“证书文件导入”窗口，找到并选择刚才导出的.pfx证书，
点击“打开”按钮；
26 / 33
(5) 在“密码输入对话框”中输入刚才导出时设定的证书保护密
码，点击确定。系统将提示“已成功恢复您的安全证书和私
钥”。此时证书管理器中应能看到您刚导入的个人证书信息。
证明导入证书成功。
完成以上两个步骤的操作，成功将用户证书导入 Firefox 浏览器，
用户就可以像使用其他浏览器一样，正常登录 SSL VPN了。
27 / 33
4.4 Chrome 配置和使用说明
谷歌 Chrome 浏览器是目前比较常用的桌面浏览器，对新 SSL VPN
系统兼容支持较好。为了方便用户使用，以下配置将屏蔽 Chrome 浏览
器在用户登录 SSL VPN过程中拦截控件加载的提示询问（如下图所示）。
相关操作步骤如下：
(1) 打开谷歌 Chrome浏览器，地址栏键入：chrome://plugins/;
(2) 在插件浏览页面，寻找“TopCertKit”插件项，将“始终允
许”项打上对勾。
完成以上配置步骤操作后，谷歌 Chrome 浏览器将不再拦截并提示
用户是否允许证书插件操作。
28 / 33
5 常见问题
5.1 忘记登录密码的解决方法
如果用户（指：用友烟草及畅捷通用户）忘记了登录园区网的密码，
登录 VPN时将无法使用“获取短信验证码”和“获取证书”功能下载并
安装用户证书。
解决方法：请用户登录 http://uflive.ufida.com.cn 重置密码，
在页面中选择“使用集团邮箱登录”，请点击“此处激活”按钮。注：
用友烟草公司用户选择邮箱后缀@uf-tobacco.com，畅捷通用户选择
邮箱后缀@chanjet.com。如下图所示：
邮箱激活/重置成功后，系统会自动发送一个新密码到用户邮箱中，
用户可以使用这个密码 “获取短信验证码”及“获取证书”。
29 / 33
5.2 Windows 无法验证发布者的解决方法
由于用户使用“爱国版”Windows操作系统等原因，在登录 SSL VPN
及安装 iTrusPTA证书控件时，系统可能会报告“由于无法验证发布者，
Windows已阻止此软件”。因 PTA证书控件（itruscertctl.cab）被阻止
运行，会导致用户“获取证书”时无法正常安装证书。如下图所示：
出现以上问题，目前有两种解决方法：
方法一：更改 Internet 选项安全设置
(1) 通过 Windows控制面板或微软 IE浏览器打开“Internet选项”
窗口，选择进入“安全”标签页，单击“自定义级别”；
30 / 33
(2) 在“安全设置-Internet区域”窗口的设置列表中，找到“下
载未签名的 ActiveX控件”条目，选中“提示”选项；
(3) 点击“确定”返回上一级窗口，再点击“应用”、“确定”按
钮退出设置。刷新浏览器后，尝试重新安装证书控件。
方法二：手工安装 VeriSign根证书链
(1) 依次双击以下图标链接（注：以下两个证书都需要安装）；
VeriSign-mid.cer ——中级根证书
VeriSign-root.cer ——顶级根证书
打开进入“证书”手工安装页面，然后点击“安装证书”按钮；
32 / 33
(4) 最后点击“完成”，系统将提示“导入成功”。
以上两种方法等效，用户选择执行其中一种即可。操作成功
后，用户可尝试再次安装 iTrusPTA证书控件，登录 VPN时系统将
不会再提示“无法验证发布者”的警告信息。
33 / 33
5.3 VPN 客户端使用说明
(1)如果您正在通过防火墙或代理服务器使用 Array SSL VPN，请确
保允许通过 SSL的连接（协议：TCP，端口：443）。
(2)首次连接 VPN 浏览器将提示安装控件，点击“安装”进行客户
端的安装。浏览器将自动下载一个 ActiveX程序并运行，在这个过程中，
根据您的系统设置会出现一到多个系统对话框，请点击确定。
(3)VPN客户端运行以后会弹出一个对话框显示当前的连接状态，连
接建立以后将显示分配到的 IP地址、连接时间和统计信息。
(4)用户关闭浏览器，VPN仍然会保持连接。需要断开 VPN连接，请
单击任务栏中红色 A图标，选择“断开”或“退出并注销”按钮。
5.4 VPN 客户端安装失败（任务栏不出现红色 A）处理步骤
(1) 清理浏览器缓存（如：删除历史数据、清除上网痕迹等）。
(2) 浏览器安全级别设置太高，调整浏览器的安全级别至 "中" 或
"默认"（不推荐），或修改下浏览器安全设置，允许下载和运行 Active
X 控件和插件。
(3) 浏览器插件拦截控件下载，如上网安全助手等，请关闭。
(4) 添加设置 https://*.yonyou.com/为信任站点。
(5) 浏览器开启了增强保护模式，选择 "Internet 选项" 的 "高级
" 标签页，将列表中的 "启用增强保护模式" 的勾选取消。
(6)每个用户同时只能建立一个到 VPN的连接，如果从不同 PC上进
行新的连接将导致当前连接中断。请先断开其他 VPN连接。
Recommended