搜索
项目14VPN服务器的配置与管理14.1项目内容某公司组建了单位内部的办公网络，业务人员需要经常出差到外地，但需要经常通过公众信息网络访问单位网络，在安全性上存在着很多问题，这时考虑使用VPN组网技术解决信息在公众网上传输安全问题。14.1.3任务目标•1.了解VPN的概念；•2.理解VPN的工作过程；•3.掌握如何在WindowsServer2003安装与配置VPN服务；•4.客户端VPN连接的设置。14.2相关知识•14.2.1VPN的概念•虚拟专用网（VirtualPrivateNetwork，VPN）技术即虚拟专用网技术，是通过ISP（Internet服务提供商）和其他NSP（网络服务提供商）在公用网络中建立专用的数据通信网络的技术。14.2.2VPN服务的原理的类型•1.客户端发起的VPN•2.接入服务器发起的VPN甲网络乙网络ISPISPInternetVPN(PPTP,L2TP)VPN服务器VPN服务器14.2.4VPN的隧道协议•VPN使用的两种隧道协议是：•(1)点到点隧道协议（PPTP）。•(2)第二层隧道协议（L2TP）。•(3)网络层隧道协议IPSec以及SocksV5。14.2.5VPN的应用•1.以安全方式，通过Internet实现访问企业局域网。•2.通过Internet实现网络互连，分别可以采用专线连接和拨号连接，这样就可以将与当地ISP建立的连接和Internet网络在企业分支机构和企业端路由器之间创建一个VPN。•3.连接企业内部网络计算机，通过使用VPN服务器来与整个企业局域网连接，并可保证数据的安全性。14.3方案设计内部应用服务器10．8．32．3/24内网接口10．8．32．253/24外网接口211．81．192．2/24Internet异地VPN客户内部网络14.3.2设备清单•为了搭建图14.4所示的网络环境，需要如下设备：•1.安装Windows2003Server的PC计算机1台；•2.WindowsXP计算机1台；•3.以上两台计算机已连入校园网。14.4实施步骤•步骤1：配置VPN服务器的网卡IP地址•步骤2：安装和启动VPN服务器•步骤3：配置VPN服务器•（1）配置远程访问策略•（2）修改同时连接的数目•（3）配置用户的属性•步骤4：配置客户端的VPN连接步骤5：建立与VPN服务器的连接14.4VPN服务器的安装•步骤二，设置服务器状态。在控制台左窗格中单击与本地服务器名称匹配的服务器图标。如果该图标左下角有一个红圈，则说明尚未启用“路由和远程访问”服务。如果该图标左下角有一个指向上方的绿色箭头，则说明已启用“路由和远程访问”服务。如果先前已启用“路由和远程访问”服务，则需要重新配置服务器。若要重新配置服务器，需完成下列操作步骤：•1.鼠标右击服务器对象，单击“禁用路由和远程访问”，单击“是”继续。14.4VPN服务器的安装•2.鼠标右击服务器图标，单击“配置并启用路由和远程访问”启动“路由和远程访问服务器安装向导”，如图14-5所示。单击“下一步”继续。•3.在出现如图14-6所示向导对话框中，单击“远程访问（拨号或VPN）”选项，以允许远程客户端通过拨号或安全的虚拟专用网络连接到此服务器，单击“下一步”继续。图14-5启用“路由和远程访问”图14-6启用该服务器为“远程访问”作试验时选择作试验时选择作试验时选择14.4VPN服务器的安装•步骤三，选择远程访问服务器模式。在出现如图14-7所示向导对话框中，根据应用模式选择服务器的角色，选择“VPN”或“拨号”，这里我们选择“VPN”。•步骤四，配置远程访问服务器外网连接地址。在出现如图14-8所示向导对话框的“网络接口”窗口中，选择连接到Internet的网络接口，如本例中名称是“本地连接-外”、IP地址为210.43.23.3的网络接口连接着外网。然后单击“下一步”。图14-7配置服务器接受VPN连接图14-8配置外网接口14.4VPN服务器的安装•步骤五，配置远程访问服务器内网连接地址。在出现如图14-9所示的向导对话框中，为VPN服务器所连接的内部网络指派一个接口。在“网络连接”窗口中，单击连接到内部网络的接口，如本例中名称是“本地连接-内”、IP地址为192.168.0.1的网络接口连接着内网。然后单击“下一步”。图14-9配置内网接口14.4VPN服务器的安装•步骤六，对远程客户指派IP地址。如图14-10所示，如果要使用DHCP服务器（DHCP概念参见第10章）给远程客户端分配地址，在IP地址指定设置对话框中选择“自动”；如果给远程客户端分配静态IP地址，选择“来自一个指定的地址范围”。采用DHCP管理分配IP地址更简单方便，但若网络中没有安装DHCP服务，则必须指定一个地址范围。单击“下一步”继续。图14-10IP地址的指定14.4VPN服务器的安装•步骤七，如果选择了“来自一个指定的地址范围”，出现如图14-11所示地址范围分配对话框。单击“新建”按钮，指定“起始IP地址”和“结束IP地址”。Windows将自动计算地址的数目。单击“确定”以返回到地址范围分配窗口，如图14-11所示。本例中为远程访问客户分配了从192.168.0.1至192.168.0.20共20个IP地址。远程访问客户在VPN客户端设置时，可以选择该范围中的任何一个IP地址分配。单击“下一步”继续。图14-11IP地址的范围的设定14.4VPN服务器的安装•步骤八，在出现如图14-12所示的身份验证模式对话框中，选择默认选项“否，使用路由和远程访问对连接请求进行身份验证”，此时远程访问用户使用本服务器中管理的用户账号连接本VPN服务器，并且该账号已经授予远程访问权限。如果网络中存在RADIUS服务器，可以集成该服务器验证远程访问客户。然后单击“下一步”继续。图14-12身份验证模式设置14.4VPN服务器的安装•步骤九，在出现对话框中，单击“完成”按钮，结束安装。系统启用路由和远程访问服务并将该服务器配置为远程访问服务器。14.5配置VPN服务器•14.5.1配置远程访问策略•14.5.2修改同时连接的数目•14.5.3配置用户的属性14.5.1配置远程访问策略•配置远程访问策略遵循如下步骤：•步骤一，单击“开始”/“程序”/“管理工具”，运行“路由和远程访问”应用程序。•步骤二，在出现如图14-14所示窗口中，选择本地远程访问服务器MSI，单击“远程访问策略”，在右边窗口中鼠标右击“到Microsoft路由选择和远程访问服务器的连接”，单击“属性”菜单项。图14-14配置远程访问策略属性图14-14配置拨入权限14.5.1配置远程访问策略•步骤三，在出现的如图14-14所示“属性”对话框中，我们可以对远端客户端的远程访问权限进行设置，如果允许远程客户端通过Internet访问该服务器，则选择“授予远程访问权限”；反之，选择“拒绝远程访问权限”。如果还需要对配置文件进行设置，单击“编辑配置文件”按钮，出现如图14-15所示“编辑拨入配置文件”对话框。图14-14配置拨入权限图14-15编辑拨入配置文件14.5.1配置远程访问策略•步骤四，在“编辑拨入配置文件”对话框中单击IP选项卡，根据需要选择IP地址的分配。共有四种选择，其含义如下：•（1）选择“服务器必须提供一个IP地址”选项，则需要在用户“属性”对话框中给远程登录用户配置一个静态的IP地址，用户属性配置参见用户管理，分配用户静态IP地址如图14-16所示。图14-16设定VPN用户属性使用静态IP地址14.5.1配置远程访问策略•（2）选择“客户端可以请求一个IP地址”选项，VPN客户可以设置使用VPN服务器地址池中的任意IP地址，此时VPN用户拥有固定的内网IP地址。•（3）选择“服务器设定IP地址分配”选项，VPN客户端无需配置内部网络IP地址，VPN客户端软件连接VPN服务器时，自动从VPN服务器的IP地址池中获取一个内部IP地址。•（4）选择“分配一个静态IP地址”选项，VPN服务器只为VPN客户端提供一个固定的IP地址，因此，一个时刻只允许远端一台客户机登录VPN服务器。•对上述内容设置完成后单击“确定”，完成对“远程访问策略”的设置。14.5.2修改同时连接的数目图14-17配置端口属性14.5.3配置用户的属性•对于允许远程连接的客户账户必须设定其“允许远程访问”，具体步骤如下：•步骤一，选择“开始”/“控制面板”/“管理工具”/“计算机管理”，打开“计算机管理”窗口，选择“本地用户和组”，单击“用户”。如图14-18所示。•步骤二，在用户窗口中选择要设置的用户，鼠标右击用户选择“属性”菜单项。图14-18选择用户属性14.5.3配置用户的属性•步骤三，在出现的“属性”窗口中单击“拨入”选项，然后在出现的如图14-19所示窗口中，选择“允许访问”或“通过远程访问策略控制访问”，则该用户具有远程连接权力。反之，不允许用户远程访问该服务器。若选择“通过远程访问策略控制访问”，则需要按14.3.1节配置“远程访问控制策略”。点击“确定”按钮完成设置。图14-19设置访问权限14.5.4配置客户端VPN连接•新建“虚拟专用连接”•建立与VPN服务器的连接新建“虚拟专用连接”•在客户计算机上新建“虚拟专用连接”，步骤如下：•步骤一，在客户计算机上，确认与Internet的连接配置正确。•步骤二，“控制面板”，单击“网络连接”。单击网络任务下的“创建一个新的连接”，然后单击“下一步”。•步骤三，在连接建立向导上，选择“连接到我的工作场所的网络”，如图14-20所示，单击“下一步”。图14-20设置网络连接类型新建“虚拟专用连接”•步骤四，在出现的对话框中单击“虚拟专用网络连接”，然后单击“下一步”。•步骤五，在公司名称对话框中为连接键入一个描述性的名称，即对公司名称的一个简单描述，然后单击“下一步”。•步骤六，在出现如图14-21对话框中，键入目标地址即VPN服务器的IP地址或主机名。然后单击“下一步”。图14-21输入计算机的主机名或IP地址新建“虚拟专用连接”•步骤七，在出现的对话框中，如果要允许登录到该计算机的任何用户都能访问此拨号连接，则选择“任何人使用”选项；如果限制使此连接仅供当前登录用户使用，则选择“只是我使用”选项。单击“下一步”。•步骤八，单击“完成”按钮以保存新建的连接。建立与VPN服务器的连接图14-22连接“虚拟专用连接”图14-23“虚拟专用连接”连接成功图14-24连接时出错