1 / 33
用友 SSL VPN 操作使用指南
1 SSL VPN 系统简介
登录 SSL VPN,将为用户通过 INTERNET 公网访问集团内网建立一
条安全的加密通信隧道。用户首先需要通过无线网络 (WiFi、3G 无线
上网卡等),或者有线宽带(ADSL、FTTH、Cable Modem 或小区 LAN 网等)
连接 INTERNET。用户使用浏览器登录 SSL VPN 后,VPN 客户端将为您
分配一个内网虚拟地址,这样您就可以访问被保护的内网资源了,收
发集团邮件也将通过 VPN 加密,此时您仍然可以正常访问 INTERNET。
2 系统需求
2.1 操作系统
支持 Windows 2000/XP/Vista/Win7/Win8.0/8.1。
2.2 浏览器支持
支持 IE 6/7/8/9/10/11(32位和 64位)、谷歌 Chrome、火狐 Firefox,
其他国内品牌浏览器(如:360、搜狗、腾讯浏览器,但不支持 Maxthon
傲游、百度)、暂不支持 MacOS Safari 和 Mac Chrome。(注意:用户
首次登录 SSL VPN时,需要下载安装证书和 VPN客户端控件)
2.3 运行环境支持
1) 需要安装 Java虚拟机(可在登录页面下载安装)
2) 建议安装 Adobe Flash Player 和 Adobe Acrobat Reader
2 / 33
3 开始使用 VPN
3.1 步骤一:访问 SSL VPN 地址
打开 Windows 桌面上的浏览器,如 Microsoft IE,在浏览器窗口
地址栏,输入 SSL VPN 访问地址 http://myvpn.yonyou.com ,如下图
所示:
正常情况下,用户应能看到如下 SSL VPN 虚拟门户欢迎页面:
用户可在欢迎页面,根据自己所在公司及分组,选择访问相应的
VPN 通道,通过点击图标即可进入 SSL VPN 登录页面。首次使用 VPN
需要下载安装证书和 VPN 客户端控件等软件,此后日常登录 VPN 时,
除非用户更换浏览器或重装系统,一般情况下无须再重复安装。
在地址栏输入 VPN访问地址
http://myvpn.yonyou.com
址
3 / 33
3.2 步骤二:安装浏览器证书控件
用户首次访问 SSL VPN 登录页面,需要下载安装证书和 VPN 客户
端控件(如下图所示),请在首页依次点击下载链接地址并安装。
以下载安装证书控件为例,点击“iTrus TopCertKit 证书控件”
下载链接地址后,IE 浏览器将提示用户是否运行或保存“天诚安信证
书助手-0.0.0.1*.exe”。用户可直接点击“运行”按钮,浏览器将自
动下载并安装控件。若出现系统帐户控制提示窗口,请点击“是”继
续安装,证书控件安装成功后,需要重启浏览器后再继续操作。
使用火狐 Firefox、谷歌 Google Chrome 浏览器,以及非 IE 内核
的浏览器(如搜狗浏览器等)时的下载提示信息不同,请用户留意。
客户端证书控件安装操作过程,如下图所示:
证书/VPN 客户端控件下载地址
单击“运行”按钮,下载并
安装客户端证书控件
4 / 33
如果用户此前安装过旧版本证书控件,此时系统会提示“系统检
测到证书控件正在运行,请先关闭!”。用户点击“确定”按钮,系统
将关闭当前正运行的控件,然后自动启动新控件安装程序。
用户根据安装向导提示,点击“接受”“下一步”等按钮,如遇防
火墙注册表操作警告,请选择“允许本次操作”。
看到提示“控件安装成功”,请刷新浏览器页面以便加载证书控件。
注意:证书控件安装成功后,
需要刷新浏览器以加载控件
请直接点击【确定】按钮,
以便运行新控件安装程序
5 / 33
3.3 步骤三:获取用户证书
SSL VPN 系统采用“域控+用户证书”的双重身份认证机制,因此
用户首次登录 SSL VPN 需要获取用户证书。方法是点击登录页面中的
“获取证书”链接,此时将跳转至“获取用户证书”页面。
用户在“获取用户证书”页面,应在用户名栏输入“域账户名”(即:
[email protected] 或 [email protected] 邮箱地址中@前面 xx 部分,
用友烟草公司用户请输入完整邮箱名,如: [email protected]),
在密码栏输入“账户密码”(即:用户登录 portal.yonyou.com 园区网
的密码),然后点击“获取短信验证码”或“获取证书”按钮。
如下图所示:
注意:部分浏览器在操作“获取证书”时,可能会报告“当前 IE
安全设置拒绝访问您的计算机上的证书”或“无法验证发布者”,并导
致“证书导入失败”或“证书异常”错误。请参见§4.1 添加受信任的
站点和§5.2 Windows 无法验证发布者的解决方法,并按所示步骤操作。
输入域账户名
输入账户密码
点击【获取短信验证码】
6 / 33
3.3.1 获取短信验证码
在“获取用户证书”页面首先输入正确的域账号和密码,单击“获
取短信验证码”按钮,此时系统将随机产生的“短信验证码”,发送至
您在 HR 系统中登记的手机上,用户手机收到验证码后,请将 6 位数字
验证码填写在“短信验证码”输入栏中(3 分钟内输入有效)。
用户在点击“获取短信验证码”按钮后,可在 60秒后点击“再次
获取验证码”,此时前次获取的验证码将自动失效。
特别提示:若用户未在 HR 系统中登记手机号码,或手机号码不准
确,则无法收到“短信验证码”。此时的解决方案如下:
(1) 用友员工应首先设法通过 eHR 自助系统登记手机号码,或者联络
人力资源部门协助办理信息更新;
(2) 若遇紧急情况需要登录 VPN,请联系本人的主管经理,由主管经
理发送或转发申请邮件到 [email protected] 邮箱,邮件中应注
明申请人的手机号码,服务台人员收到申请邮件并核查无误后,
将为用户代为获取一次“短信验证码”,并发送至申请人手机上,
申请人 5 分钟内使用该验证码即可获取用户证书。
3.3.2 获取并安装用户证书
用户获取并输入短信验证码后,在“获取用户证书”页面点击“获
取证书”按钮,服务端系统完成用户身份验证(域控+短信验证码)后,
自动将“用友软件服务有限公司 CA”系统颁发的用户证书,下载并安
装到用户本地 Windows系统中。证书安装成功,将提示如下信息:
7 / 33
证书安装导入成功后,系统还将自动安装用友 CA根证书(如下图
所示),已经安装过的浏览器将不再提示。请在系统弹出窗口中点“是”
安装证书。不同版本的 IE 浏览器提示信息不尽相同,请用户此时一定
注意不要漏装根证书,若不安装根证书,本地系统将无法验证用户证
书的合法性。
用户证书安装导入成功后,系统提示将在 2 秒钟后自动跳转回到
VPN 登录页面,用户在登录页面重新输入域账号和密码登录 VPN。
输入短信验证码
点击【获取用户证书】
8 / 33
3.4 步骤四:登录 VPN、安装 VPN 客户端软件
用户在 SSL VPN 登录页面,应在用户名栏输入“域账户名”(即:
[email protected] 或 [email protected] 邮箱地址中@前面 xx 部分),
在密码栏输入“账户密码”(即: 登录@yonyou.com 或@chanjet.
com 邮箱的密码),然后点击“登录”按钮,如下图所示:
点击“登录”按钮后,VPN 系统将自动弹出一次“确认证书”窗口。
用户检查无误后,直接单击“确定”按钮即可。不同浏览器“确认证
书”窗口样式不尽相同,以下是微软 IE 浏览器的“确认证书”窗口:
输入域账户名
输入账户密码
点击【登录】按钮
9 / 33
以下是谷歌 Chrome浏览器的“确认证书”窗口:
以下是火狐 Firefox 浏览器的“确认证书”窗口:
首次访问 SSL VPN,系统将提示用户安装 SSL VPN 客户端软件,不
同浏览器的提示信息不尽相同,下图为使用 IE9 时获得的系统提示:
10 / 33
请在系统账户控制提示窗口中点击“确定”,系统开始下载安装 VPN
客户端软件,下载时间长短将跟用户当前的网速有关。安装过程中,
有些系统需要重新启动操作系统,如下图所示:
点击“是”,重新启动系统后,将在 Windows操作系统中安装 Array
Networks SSL VPN adapter 的“本地连接”。
正常登录 VPN时,系统自动启动 VPN客户端软件,如下图所示:
单击“安装”按钮,安装
Array VPN Client 客户端
11 / 33
在完成 VPN客户端安装、VPN客户端与服务器端连接完成后,在屏
幕右下角任务栏将出现红色 A 图标,浏览器显示内网资源导航页面,
如下图所示:
此时,说明用户已成功登录 SSL VPN,可以在资源导航页面或浏览
器地址栏,访问其权限范围内的各网站资源。
注意:用户可以使用不同的电脑登录 VPN,但同一时刻只能保持一
个 VPN正常连接,不能使用相同的账户名在两台电脑上同时登录。
可看到 VPN 客户端与
服务端通讯协商过程
屏幕右下角任务栏,出现红色 A 图标
12 / 33
3.5 步骤五:断开 VPN、退出并注销
为了防止用户误操作,目前策略是即使用户关闭资源导航页面,
或者关闭当前使用的浏览器,系统都不会自动断开 VPN 连接。用户若
希望结束 SSL VPN内网访问,需要手工退出 VPN当前连接。
具体操作方法:单击屏幕右下任务栏中红色 A 图标,如下图所示:
弹出 SSL VPN状态窗口,点击窗口下方“断开”或“退出并注销”
按钮,则完全退出 VPN 当前连接,用户需要再次访问内网资源时,必
须重新登录 VPN。如下图所示:
注意:因网络资源有限,若用户登录连接 VPN 后,30 分钟内没有
任何操作,则系统将自动断开当前 VPN 连接。用户最长连续使用 VPN
的时间为 24小时。
13 / 33
4 浏览器操作使用指南
4.1 添加受信任站点
对于首次使用 SSL VPN 系统的用户,需要通过控制面板或微软 IE
浏览器进入“Internet选项”添加受信任站点,否则部分浏览器在 VPN
登录过程中,系统操作用户证书时可能报错,如下图所示:
添加受信任站点的操作步骤如下:
(1) 通过 Windows 控制面板或微软 IE 浏览器打开“Internet 选
项”窗口,选择进入“安全”标签页;
14 / 33
(2) 点击“受信任站点”图标,然后单击“站点”按钮;
(3) 在“受信任的站点”窗口,键入“https://*.yonyou.com”,
单击“添加”按钮,然后点击“关闭”;
(4) 在“Internet属性”窗口先后点击“应用”和“确定”按钮,
受任何站点添加完成。
15 / 33
4.2 安装 Java 虚拟机
用户若使用非 IE 内核浏览器登录(如 Firefox、Google Chrome
和搜狗浏览器等),用户操作系统中若没有安装 Java 虚拟机,浏览器
可能提示如下信息:
Firefox:
Google Chrome:
此时,用户需要下载 Java虚拟机到本机并安装,可在登录页面访
问如下地址:http://www.java.com/zh_CN/download/index.jsp
17 / 33
再次访问 SSL VPN,浏览器将不再出现 Java 虚拟机错误提示。使
用 Chrome或搜狗浏览器登录 VPN时,浏览器会弹出如下提示:
请勾选“不再对来自以上发行者和位置的应用程序显示此消息”,
然后点击“运行”按钮。当弹出以下提示时,请勾选“不再对此应用
程序和 Web站点显示此消息”,然后点击“允许”。
19 / 33
4.3 Firefox 配置和使用说明
4.3.1 浏览器配置
若用户使用火狐 Firefox登录 SSL VPN需要开启“Renegotiation”
功能,否则无法正常登录 VPN。相关配置操作步骤如下:
(1) 在地址栏键入:about:config进入 Firefox配置页面;
(2) 在搜索栏键入:security.ssl此时页面显示相匹配的项目;
(3) 找到下列项目所在行:
“security.ssl.allow_unrestricted_renego_everywhere_
_temporarily_available_pref”
(4) 双击后将该选项值由默认“false”改为“true”;
20 / 33
配置完毕,建议重新启动 Firefox以确保选项修改生效。
4.3.2 手工安装用户证书
由于 Firefox不支持 Windows系统的证书管理器,因此,需要先使
用其他浏览器(不限浏览器种类)成功获取用户证书后,再将用户证书
导出,然后再导入 Firefox,才能正常登录 VPN。操作步骤如下:
步骤一:Windows 系统中导出用户证书;
(1) 从 Windows 控制面板或 IE 浏览器,打开 Internet 选项,进
入“内容”标签页,点击“证书”按钮;
21 / 33
(2) 在“证书”窗口“个人”标签页中,找到颁发者为“用友软
件股份有限公司 Intermediate CA”,颁发给用户域账户名称
的证书,单击“导出”按钮;
注意:颁发者为“用友软件用户 CA”的同名个人证书,是用
户在原 VPN 系统中使用的 1024 位旧证书,在新 VPN 系统
中不能使用,请注意区分;
(3) 进入证书导出向导,直接点击“下一步”;
23 / 33
(6) 设置证书保护密码,注意输入容易记忆的密码,点击下一步;
然后指定导出证书的文件名和路径,检查证书文件扩展名应
为.pfx,然后单击下一步;
(7) 点击“完成”按钮,系统提示“导出成功”。至此,用户证书
已成功导出到本地。
25 / 33
(2) 点击“高级”并选择“证书”标签页,点击“查看证书”;
(3) 进入 Firefox 证书管理器,选择“您的证书”标签页,然后
点击“导入”按钮;
(4) 在“证书文件导入”窗口,找到并选择刚才导出的.pfx证书,
点击“打开”按钮;
26 / 33
(5) 在“密码输入对话框”中输入刚才导出时设定的证书保护密
码,点击确定。系统将提示“已成功恢复您的安全证书和私
钥”。此时证书管理器中应能看到您刚导入的个人证书信息。
证明导入证书成功。
完成以上两个步骤的操作,成功将用户证书导入 Firefox 浏览器,
用户就可以像使用其他浏览器一样,正常登录 SSL VPN了。
27 / 33
4.4 Chrome 配置和使用说明
谷歌 Chrome 浏览器是目前比较常用的桌面浏览器,对新 SSL VPN
系统兼容支持较好。为了方便用户使用,以下配置将屏蔽 Chrome 浏览
器在用户登录 SSL VPN过程中拦截控件加载的提示询问(如下图所示)。
相关操作步骤如下:
(1) 打开谷歌 Chrome浏览器,地址栏键入:chrome://plugins/;
(2) 在插件浏览页面,寻找“TopCertKit”插件项,将“始终允
许”项打上对勾。
完成以上配置步骤操作后,谷歌 Chrome 浏览器将不再拦截并提示
用户是否允许证书插件操作。
28 / 33
5 常见问题
5.1 忘记登录密码的解决方法
如果用户(指:用友烟草及畅捷通用户)忘记了登录园区网的密码,
登录 VPN时将无法使用“获取短信验证码”和“获取证书”功能下载并
安装用户证书。
解决方法:请用户登录 http://uflive.ufida.com.cn 重置密码,
在页面中选择“使用集团邮箱登录”,请点击“此处激活”按钮。注:
用友烟草公司用户选择邮箱后缀@uf-tobacco.com,畅捷通用户选择
邮箱后缀@chanjet.com。如下图所示:
邮箱激活/重置成功后,系统会自动发送一个新密码到用户邮箱中,
用户可以使用这个密码 “获取短信验证码”及“获取证书”。
29 / 33
5.2 Windows 无法验证发布者的解决方法
由于用户使用“爱国版”Windows操作系统等原因,在登录 SSL VPN
及安装 iTrusPTA证书控件时,系统可能会报告“由于无法验证发布者,
Windows已阻止此软件”。因 PTA证书控件(itruscertctl.cab)被阻止
运行,会导致用户“获取证书”时无法正常安装证书。如下图所示:
出现以上问题,目前有两种解决方法:
方法一:更改 Internet 选项安全设置
(1) 通过 Windows控制面板或微软 IE浏览器打开“Internet选项”
窗口,选择进入“安全”标签页,单击“自定义级别”;
30 / 33
(2) 在“安全设置-Internet区域”窗口的设置列表中,找到“下
载未签名的 ActiveX控件”条目,选中“提示”选项;
(3) 点击“确定”返回上一级窗口,再点击“应用”、“确定”按
钮退出设置。刷新浏览器后,尝试重新安装证书控件。
方法二:手工安装 VeriSign根证书链
(1) 依次双击以下图标链接(注:以下两个证书都需要安装);
VeriSign-mid.cer ——中级根证书
VeriSign-root.cer ——顶级根证书
打开进入“证书”手工安装页面,然后点击“安装证书”按钮;
32 / 33
(4) 最后点击“完成”,系统将提示“导入成功”。
以上两种方法等效,用户选择执行其中一种即可。操作成功
后,用户可尝试再次安装 iTrusPTA证书控件,登录 VPN时系统将
不会再提示“无法验证发布者”的警告信息。
33 / 33
5.3 VPN 客户端使用说明
(1)如果您正在通过防火墙或代理服务器使用 Array SSL VPN,请确
保允许通过 SSL的连接(协议:TCP,端口:443)。
(2)首次连接 VPN 浏览器将提示安装控件,点击“安装”进行客户
端的安装。浏览器将自动下载一个 ActiveX程序并运行,在这个过程中,
根据您的系统设置会出现一到多个系统对话框,请点击确定。
(3)VPN客户端运行以后会弹出一个对话框显示当前的连接状态,连
接建立以后将显示分配到的 IP地址、连接时间和统计信息。
(4)用户关闭浏览器,VPN仍然会保持连接。需要断开 VPN连接,请
单击任务栏中红色 A图标,选择“断开”或“退出并注销”按钮。
5.4 VPN 客户端安装失败(任务栏不出现红色 A)处理步骤
(1) 清理浏览器缓存(如:删除历史数据、清除上网痕迹等)。
(2) 浏览器安全级别设置太高,调整浏览器的安全级别至 "中" 或
"默认"(不推荐),或修改下浏览器安全设置,允许下载和运行 Active
X 控件和插件。
(3) 浏览器插件拦截控件下载,如上网安全助手等,请关闭。
(4) 添加设置 https://*.yonyou.com/为信任站点。
(5) 浏览器开启了增强保护模式,选择 "Internet 选项" 的 "高级
" 标签页,将列表中的 "启用增强保护模式" 的勾选取消。
(6)每个用户同时只能建立一个到 VPN的连接,如果从不同 PC上进
行新的连接将导致当前连接中断。请先断开其他 VPN连接。