VPN服务配置与管理-PPT课件.ppt

项目任目任务学期要学期要结束了，小林同学要束了，小林同学要选择公公选课，可是在宿舍不，可是在宿舍不能登能登录学校的教学校的教务管理系管理系统。于是小林。于是小林询问老老师，在宿，在宿舍怎么才能舍怎么才能访问教教务管理系管理系统呢？呢？该怎怎样？项目分析目分析由于教由于教务管理系管理系统挂挂载在学校内网服在学校内网服务器，器，这样外网的外网的计算机用算机用户无法直接无法直接访问。为了能了能够访问必必须搭建一个搭建一个VPN服服务器，通器，通过VPN服服务器才能器才能访问内网。内网。明白了！知识准备 本情境主要本情境主要讲解解Windows Server 2003的的VPN服服务器的配置与管理。通器的配置与管理。通过本章学本章学习，读者者应该掌握以下知掌握以下知识：VPN服服务的基本概念；的基本概念；安装与配置安装与配置VPN服服务器；器；客客户端端VPN连接的配置。接的配置。13.1 VPN 概述概述图13-1 远程拨号访问用用户远程程访问网网络的安全性的安全性用用户远程程访问网网络的安全性主要包括两个方面：的安全性主要包括两个方面：一是不允一是不允许非授非授权用用户访问内部网内部网络，如通，如通过用用户身份身份识别ID和密和密码验证用用户，或采用，或采用RADIUS等安全等安全协议验证用用户等；等；二是保二是保证授授权用用户安全安全连接、接、访问内部网内部网络，即，即远程用程用户连接内部接内部网网络，访问内部网内部网络资源的信道是安全的，防止源的信道是安全的，防止别有用心的人的窃有用心的人的窃听、听、对信息的截信息的截获和和篡改等操作。改等操作。用用户远程程访问网网络的安全性的安全性安全隧道安全隧道连接客接客户机和服机和服务器器 采用采用VPN所所带来的好来的好处采用采用VPN所所带来的好来的好处有：有：(1)降低降低费用。用。(2)增增强的安全性。的安全性。(3)网网络协议支持。支持。(4)IP地址安全。地址安全。VPN使用两种隧道使用两种隧道协议VPN使用的两种隧道使用的两种隧道协议是：是：(1)点到点隧道点到点隧道协议（PPTP）(2)第二第二层隧道隧道协议（L2TP）使用使用VPN连接两个局域网接两个局域网使用使用VPN连接两个局域网接两个局域网 安装和启用安装和启用 VPN 服服务器器构造构造VPN网网络环境境VPN服服务器的安装器的安装 13.2.1 构造构造VPN网网络环境境模模拟的的VPN环境境VPN服服务器的安装器的安装 使用使用Windows Server 2003安装安装VPN 服服务器，具体的器，具体的操作步操作步骤如下：如下：步步骤一，启一，启动“路由和路由和远程程访问”管理管理应用程序。用程序。单击“开始开始”/“程序程序”/“管理工具管理工具”，运行，运行“路由和路由和远程程访问”管理管理应用程序，打开用程序，打开“路由和路由和远程程访问”管理控管理控制台窗口。制台窗口。项目实施 VPN服服务器的安装器的安装打开打开“路由和路由和远程程访问”管理控制台窗口管理控制台窗口 VPN服服务器的安装器的安装步步骤二，二，设置服置服务器状器状态。在控制台左窗格中。在控制台左窗格中单击与本地服与本地服务器名器名称匹配的服称匹配的服务器器图标。如果。如果该图标左下角有一个左下角有一个红圈，圈，则说明尚未明尚未启用启用“路由和路由和远程程访问”服服务。如果。如果该图标左下角有一个指向上方左下角有一个指向上方的的绿色箭色箭头，则说明已启用明已启用“路由和路由和远程程访问”服服务。如果先前已。如果先前已启用启用“路由和路由和远程程访问”服服务，则需要重新配置服需要重新配置服务器。若要重新器。若要重新配置服配置服务器，需完成下列操作步器，需完成下列操作步骤：1.鼠鼠标右右击服服务器器对象，象，单击“禁用路由和禁用路由和远程程访问”，单击“是是”继续。VPN服服务器的安装器的安装2.鼠鼠标右右击服服务器器图标，单击“配置并启用路由和配置并启用路由和远程程访问”启启动“路由和路由和远程程访问服服务器安装向器安装向导”，如，如图所示。所示。单击“下一步下一步”继续。VPN服服务器的安装器的安装 3.在出在出现如如图所示向所示向导对话框中，框中，单击“远程程访问（拨号或号或 VPN）”选项，以允，以允许远程客程客户端通端通过拨号或安全号或安全的虚的虚拟专用网用网络连接到此服接到此服务器，器，单击“下一步下一步”继续。VPN服服务器的安装器的安装步步骤三，三，选择远程程访问服服务器模式。在出器模式。在出现如如图所示向所示向导对话框中，框中，根据根据应用模式用模式选择服服务器的角色，器的角色，选择“VPN”或或“拨号号”，这里里我我们选择“VPN”。VPN服服务器的安装器的安装步步骤四，配置四，配置远程程访问服服务器外网器外网连接地址。在出接地址。在出现如如图所示向所示向导对话框的框的“网网络接口接口”窗口中，窗口中，选择连接到接到 Internet 的网的网络接口，如本例中名称是接口，如本例中名称是“本地本地连接接”、IP地址地址为58.192.65.47的网的网络接口接口连接着外网。然后接着外网。然后单击“下一步下一步”。VPN服服务器的安装器的安装步步骤五，配置五，配置远程程访问服服务器内网器内网连接地址。在出接地址。在出现如如图所示的向所示的向导对话框中，框中，为VPN服服务器所器所连接的内部网接的内部网络指派一个接口。在指派一个接口。在“网网络连接接”窗口中，窗口中，单击连接到接到内部网内部网络的接口，如本例中名称是的接口，如本例中名称是“本地本地连接接-内内”、IP地址地址为192.168.1.21的网的网络接口接口连接着内网。然后接着内网。然后单击“下一步下一步”。VPN服服务器的安装器的安装 步步骤六，六，对远程客程客户指派指派IP地址。如地址。如图所示，如果要使所示，如果要使用用 DHCP 服服务器，器，给远程客程客户端分配地址，在端分配地址，在 IP 地址地址指定指定设置置对话框中框中选择“自自动”；如果；如果给远程客程客户端分端分配静配静态IP地址，地址，选择“来自一个指定的地址范来自一个指定的地址范围”。采。采用用DHCP管理分配管理分配IP地址更地址更简单方便，但若网方便，但若网络中没有中没有安装安装DHCP服服务，则必必须指定一个地址范指定一个地址范围。单击“下下一步一步”继续。VPN服服务器的安装器的安装 VPN服服务器的安装器的安装步步骤七，七，如果如果选择了了“来自一个指定的地址范来自一个指定的地址范围”，出，出现如如图13-11所示地址范所示地址范围分配分配对话框。框。单击“新建新建”按按钮，指定，指定“起始起始 IP 地址地址”和和“结束束 IP 地址地址”。Windows 将自将自动计算地址的数目。算地址的数目。单击“确定确定”以返回到地址范以返回到地址范围分配窗口，如分配窗口，如图所示。本例中所示。本例中为远程程访问客客户分配了分配了192.168.1.1至至192.168.1.20共共20个个IP地址。地址。远程程访问客客户在在VPN客客户端端设置置时，可以，可以选择该范范围中的任何一个中的任何一个IP地址分配。地址分配。单击“下一步下一步”继续。图13-11 IP地址的范围的设定VPN服服务器的安装器的安装 步步骤八，在出八，在出现如如图所示的身份所示的身份验证模式模式对话框中，框中，选择默默认选项“否，使用路由和否，使用路由和远程程访问对连接接请求求进行行身份身份验证”，此，此时远程程访问用用户使用本服使用本服务器中管理的器中管理的用用户账号号连接本接本VPN服服务器，并且器，并且该账号已号已经授予授予远程程访问权限。如果网限。如果网络中存在中存在RADIUS服服务器，可以集成器，可以集成该服服务器器验证远程程访问客客户。然后。然后单击“下一步下一步”继续。VPN服服务器的安装器的安装VPN服服务器的安装器的安装 步步骤九，在出九，在出现对话框中，框中，单击“完成完成”按按钮，结束安束安装。系装。系统启用路由和启用路由和远程程访问服服务并将并将该服服务器配置器配置为远程程访问服服务器。器。我来动动手VPN服服务器的安装器的安装配置配置VPN服服务器器安装好服安装好服务器之后，开始配置我的服器之后，开始配置我的服务器。器。配置配置远程程访问策略策略修改同修改同时连接的数目接的数目配置用配置用户的属性的属性配置配置远程程访问策略策略配置配置远程程访问策略遵循如下步策略遵循如下步骤：步步骤一，一，单击“开始开始”/“程序程序”/“管理工具管理工具”，运行，运行“路由和路由和远程程访问”应用程序。用程序。步步骤二，在出二，在出现如如图所示窗口中，所示窗口中，选择本地本地远程程访问服服务器器MSI，单击“远程程访问策略策略”，在右，在右边窗口中鼠窗口中鼠标右右击“到到Microsoft路由路由选择和和远程程访问服服务器的器的连接接”，单击“属属性性”菜菜单项。配置配置远程程访问策略策略配置拨入权限配置配置远程程访问策略策略 步步骤三，在出三，在出现的如的如图所示所示“属性属性”对话框中，我框中，我们可可以以对远端客端客户端的端的远程程访问权限限进行行设置，如果允置，如果允许远程客程客户端通端通过Internet访问该服服务器，器，则选择“授予授予远程程访问权限限”；反之，；反之，选择“拒拒绝远程程访问权限限”。如。如果果还需要需要对配置文件配置文件进行行设置，置，单击“编辑配置文件配置文件”按按钮，出，出现如如图所示所示“编辑拨入配置文件入配置文件”对话框。框。配置配置远程程访问策略策略编辑拨入配置文件配置配置远程程访问策略策略 步步骤四，在四，在“编辑拨入配置文件入配置文件”对话框中框中单击IP选项卡，根据需要卡，根据需要选择IP地址的分配。共有四种地址的分配。共有四种选择，其含，其含义如下：如下：（1）选择“服服务器必器必须提供一个提供一个IP地址地址”选项，则需需要在用要在用户“属性属性”对话框中框中给远程登程登录用用户配置一个静配置一个静态的的IP地址，用地址，用户属性配置参属性配置参见用用户管理，分配用管理，分配用户静静态IP地址如地址如图所示。所示。配置配置远程程访问策略策略图13-16 设定VPN用户属性使用静态IP地址图13-16 设定VPN用户属性使用静态IP地址配置配置远程程访问策略策略 （2）选择“客客户端可以端可以请求一个求一个IP地址地址”选项，VPN客客户可以可以设置使用置使用VPN服服务器地址池中的任意器地址池中的任意IP地址，地址，此此时VPN用用户拥有固定的内网有固定的内网IP地址。地址。（3）选择“服服务器器设定定IP地址分配地址分配”选项，VPN客客户端无需配置内部网端无需配置内部网络IP地址，地址，VPN客客户端端软件件连接接VPN服服务器器时，自，自动从从VPN服服务器的器的IP地址池中地址池中获取一个内取一个内部部IP地址。地址。（4）选择“分配一个静分配一个静态IP地址地址”选项，VPN服服务器器只只为VPN客客户端提供一个固定的端提供一个固定的IP地址，因此，一个地址，因此，一个时刻只允刻只允许远端一台客端一台客户机登机登录VPN服服务器。器。对上述内容上述内容设置完成后置完成后单击“确定确定”，完成，完成对“远程程访问策略策略”的的设置。置。配置配置远程程访问策略策略13.3.2 修改同修改同时连接的数目接的数目配置端口属性配置端口属性配置用配置用户的属性的属性对于允于允许远程程连接的客接的客户账户必必须设定其定其“允允许远程程访问”，具体步，具体步骤如下：如下：步步骤一，一，选择“开始开始”/“控制面板控制面板”/“管理工具管理工具”/“计算机管理算机管理”，打开，打开“计算机管理算机管理”窗口，窗口，选择“本地本地用用户和和组”，单击“用用户”。如。如图所示。所示。步步骤二，在用二，在用户窗口中窗口中选择要要设置的用置的用户，鼠，鼠标右右击用用户选择“属性属性”菜菜单项。配置用配置用户的属性的属性 配置用配置用户的属性的属性 配置用配置用户的属性的属性 步步骤三，在出三，在出现的的“属性属性”窗口中窗口中单击“拨入入”选项，然后在出然后在出现的如的如图所示窗口中，所示窗口中，选择“允允许访问”或或“通通过远程程访问策略控制策略控制访问”，则该用用户具有具有远程程连接接权力。反之，不允力。反之，不允许用用户远程程访问该服服务器。若器。若选择“通通过远程程访问策略控制策略控制访问”，则需要按配置需要按配置“远程程访问控制策略控制策略”。点。点击“确定确定”按按钮完成完成设置。置。配置用配置用户的属性的属性设置访问权限配置用配置用户的属性的属性配置客配置客户端端VPN连接接新建新建“虚虚拟专用用连接接”建立与建立与VPN服服务器的器的连接接新建新建“虚虚拟专用用连接接”在客在客户计算机上新建算机上新建“虚虚拟专用用连接接”，步，步骤如下：如下：步步骤一，在客一，在客户计算机上，确算机上，确认与与 Internet 的的连接配置正确。接配置正确。步步骤二，二，“控制面板控制面板”，单击“网网络连接接”。单击网网络任任务下的下的“创建一个新的建一个新的连接接”，然后，然后单击“下一步下一步”。步步骤三，在三，在连接建立向接建立向导上，上，选择“连接到我的工作接到我的工作场所的网所的网络”，如，如图所示，所示，单击“下一步下一步”。设置网络连接类型新建新建“虚虚拟专用用连接接”步步骤四，在出四，在出现的的对话框中框中单击“虚虚拟专用网用网络连接接”，然后，然后单击“下一步下一步”。新建新建“虚虚拟专用用连接接”步步骤五，在公司名称五，在公司名称对话框中框中为连接接键入一个描述性的入一个描述性的名称，即名称，即对公司名称的一个公司名称的一个简单描述，然后描述，然后单击“下一下一步步”。新建新建“虚虚拟专用用连接接”步步骤六，在出六，在出现如如图对话框中，框中，键入目入目标地址即地址即 VPN 服服务器的器的 IP 地址或主机名。然后地址或主机名。然后单击“下一步下一步”。新建新建“虚虚拟专用用连接接”步步骤七，在出七，在出现的的对话框中，如果要允框中，如果要允许登登录到到该计算算机的任何用机的任何用户都能都能访问此此拨号号连接，接，则选择“任何人使任何人使用用”选项；如果限制使此；如果限制使此连接接仅供当前登供当前登录用用户使用，使用，则选择“只是我使用只是我使用”选项。单击“下一步下一步”。步步骤八，八，单击“完成完成”按按钮以保存新建的以保存新建的连接。接。新建新建“虚虚拟专用用连接接”建立与建立与VPN服服务器的器的连接接打开打开刚才新建的才新建的拨号号连接，接，输入用入用户名和密名和密码，拨入入VPN服服务器，器，这样就可以就可以访问内网的教内网的教务管理系管理系统了。了。实验实验：1、配置、配置VPN服服务器和器和远端的端的VPN连接。接。2、进行行拨号号连接，接，访问内网内网测试。动手开始