Windows Server 2008 R2 远程拜候可选筹划[Windows安全]

在当今的地理位置分离的业务环境中,远程拜候不再是奢侈品,而成为了必须品.从全职远程办公者到频繁观光的高管和贩卖人员,再到有时需求在家办公的员工,用户需求在办公室以外可以衔接到公司网络.Windows Server 2008 R2 为您供应了越发丰富的挑选,可供您挑选最合适您机构需求的远程拜候办理筹划.

您可以挑选利用传统的点对点隧道协议 (PPTP) 或基于 IPsec 的第 2 层传输协议 (L2TP/IPsec) 虚拟专用网络 (VPN) 衔接,也可以挑选利用安全套接字隧道协议 (SSTP) 的安全套接字层 (SSL) 加密的 HTTP VPN 衔接.大概,您可以挑选被称为“VPN 重新衔接”的利用 Internet 密钥交换版本 2 (IKEv2) 的 Internet 协议安全性 (IPSec) 隧道情势.最后,您可以挑选利用被称为“VPN 终结者”的 DirectAccess 来替换虚拟专用网络,利用户可以更轻松、透明地举行衔接,并使管理员可以更好地掌握远程计算机.在本文中,我们将介绍可布置的每一项办理筹划及其各自的优缺陷.

请注意,挑选历程的一部份是肯定特定的远程拜候技术可否使客户端确切可以从其大概环游到的位置举行衔接.比方,假如您的客户端计算机环游到其他人的防火墙之后,则普通 PPTP 和 L2TP 会被禁止.Windows Server 2008 R2 路由和远程拜候 (RRAS) 通过 RRAS MMC 管理单元配置.请注意,假如安装了网络战略服务器 (NPS) 角色,您必须利用该角色配置身份考证和记帐供应程序,以及成立或改正衔接恳求战略.该 NPS 角色通过 NPS MMC 管理单元配置.NPS 可用作 RADIUS 服务器、RADIUS 代理和/或网络拜候保护 (NAP) 战略服务器.

本文内容:

• 传统的 PPTP 或 L2TP/IPsec VPN
• 利用 SSTP 的 SSL 加密的 HTTP VPN
• 利用 IKEv2 和 VPN 重新衔接的 IPsec 隧道情势
• 超越 VPN:DirectAccess 

传统的 PPTP 或 L2TP/IPsec VPN

PPTP 是 Windows 支持的首个 VPN 协议,且 Windows Server 2008 R2 RRAS 仍包含对远程拜候 VPN PPTP 服务器的支持.L2TP/IPsec 在 Windows 2000 Server 中引入.PPTP 利用点对点 (PPP) 协议举行身份考证,并利用 Microsoft 点对点加密 (MPPE) 举行数据加密.出于安全考虑,普通 PPTP 不会用于现代 VPN 布置,但它具有易于布置的长处.假如您挑选对您的 VPN 利用 PPTP,普通您需求履行以下操作:

1. 肯定安排 VPN 服务器的网络位置,比方安排在本地网络与 Internet 之间的外围网络中.
2. 利用两个 NIC 配置 VPN 服务器,一个用于外部网络,另一个用于内部网络.
3. 配置边沿防火墙,以答应 PPTP 与 VPN 服务器的外部 NIC 之间的数据传输,包含 GRE（IP 协议 47）和 TCP 端口 1723.
4. 配置 RRAS 以答应 Internet 与本地网络之间的转发.
5. 将 DNS 地址记录增添到 DNS 服务器,从而可将 VPN 服务器名称解析为其大众 IP 地址.
6. 配置 Active Directory,以支持衔接 VPN 服务器的用户举行远程拜候.
7. 配置 VPN 客户端.

Microsoft 的 L2TP/IPsec 可以供应更超卓的安全性;除 PPP 身份考证办法外,它还利用 IPsec 举行计算机彼此身份考证.但是,布置 IPsec 需求利用证书,这要求具有公钥底子构造 (PKI),因此假如您还没有布置该底子构造,这一历程会对比复杂.（关于 PPTP,假如您正在利用智能卡身份考证或 EAP-TLS 身份考证,您只需求一个 PKI）.如需对用户拜候举行更精密的掌握,可以利用 Internet 身份考证服务 (IAS) 服务器,它利用远程拜候拨号用户服务 (RADIUS) 协议举行集合身份考证、受权和记帐.布置 L2TP/IPsec 的步骤以下:

1. 利用至少一个证书颁布机构 (CA) 来布置 PKI.大型机构普通会采取两级或三级 CA 层次构造,而小型机构可以利用一个 CA 作为根 CA 以及发行 CA.
2. 在考证 VPN（或 IAS）服务器上安装计算机证书.
3. 在 VPN 客户端计算机上安装用户和计算机证书.
4. 肯定安排 VPN 服务器的网络位置,比方安排在本地网络与 Internet 之间的外围网络中.
5. 利用两个 NIC 配置 VPN 服务器,一个用于外部网络,另一个用于内部网络.
6. 配置边沿防火墙,以支持 L2TP/IPsec 与 VPN 服务器的外部 NIC 之间的数据传输.
7. 配置 RRAS 以答应 Internet 与本地网络之间的转发.
8. 将 DNS 地址记录增添到外部 DNS 服务器,从而将 VPN 服务器名称解析为其大众 IP 地址.
9. 配置 Active Directory,以支持衔接 VPN 服务器的用户举行远程拜候.
10. 配置 VPN 客户端.

请注意,固然可将 L2TP/IPsec 配置为支持预同享密钥身份考证,但此办法与基于 PKI 的办理筹划相比安全性与可伸缩性较差.

在 PPTP 和 L2TP/IPsec 布置中,假如利用 RADIUS 身份考证,则您需求配置 Internet 身份考证服务 (IAS) 服务器、成立远程拜候战略,并将 VPN 服务器作为 IAS 服务器的远程身份考证拨号用户服务 (RADIUS) 客户端增添.

　　以上是“Windows Server 2008 R2 远程拜候可选筹划[Windows安全]”的内容，如果你对以上该文章内容感兴趣，你可以看看七道奇为您推荐以下文章：