网络通信 频道

在ISA Server 2004中发布VPN服务器

介绍


ISA Server 2004使用服务器发布策略来为外部客户提供内部网络资源的访问,而不必考虑降低内部网络的安全。ISA Server 2004的服务器发布规则具有新的特性,允许你发布内部网络的VPN服务器。内部网络的VPN服务器可以作为VPN连接的端点。VPN连接可以使用PPTP协议、L2TP协议和使用穿越NAT(NAT-T)的L2TP over IPSec。

 

概要


ISA Server可以作为VPN服务器使用,但是你可能会遇到需要发布内部网络中的其他VPN服务器的情况。例如,已经有了正在工作的VPN服务器或者你想安全发布它,或者只想让ISA
Server作为专用的网络防火墙

在这篇文章中提供了发布VPN服务器的解决方案:
•发布使用PPTP协议的VPN服务器

•发布使用NAT-T的L2TP over IPSec协议的VPN服务器;这节需要运行在Microsoft
Windows Server 2003上的VPN服务器

•发布使用没有无IPSec的L2TP协议的VPN服务器


 

网络拓朴


为了发布VPN服务器,你至少需要:
•ISA Server计算机一台。至少需要两个网络适配器,一个连接外部网络(Internet),一个连接内部网络;
•外部网络适配器必须有静态IP地址,并且持续连接到Internet。
•内部网络中的VPN服务器。这台电脑至少有一个网络适配器,连接到内部网络。除了通过ISA Server外,这个VPN服务器没有其他通往Internet的路由。
•为了实行L2TP over IPSec VPN连接,需要先在VPN服务器上安装数字证书。证书授权(CA)必须被使用L2TP over IPSec连接的所有客户端所信任。关于数字证书更多的信息,请参见"Digital Certificates for ISA Server2004"http://go.microsoft.com/fwlink/?LinkID=20794.
•所有的L2TP over IPSec客户端必须安装了NAT-T补丁。更多的关于NAT-T补丁的信心,请参见微软知识库文章KB818043, " Windows2000?http://go.microsoft.com/fwlink/?LinkID=28084。

 


发布VPN服务器


这节引导你通过必须的步骤来使用ISA Server 2004发布VPN服务器

过程一:配置VPN服务器


在发布VPN服务器之前,你必须陪同VPN服务器。这些步骤在VPN服务器上执行:
1.安装和配置VPN服务器,更多的关于安装和配置VPN服务器的信息,请参见微软知识库文章KB323441,"HOW TO: Install and Configure a Virtual Private Network Server in Windows Server2003" (http://go.microsoft.com/fwlink/?LinkID=28085);
2.在VPN服务器上,设置连接内部网络的网络适配器的默认网关为ISA Server计算机。

在配置好VPN服务器之后,执行下面之一的发布过程,依赖于你的VPN服务器连接类型:
•过程2A:发布基于PPTP的VPN
•过程2B:发布基于使用NAT-T的L2TP/IPSec的VPN
•过程2C:发布一个L2TP服务器

 

过程2A:发布基于PPTP的VPN


为了发布VPN服务器,你必须建立一个服务器发布规则。执行以下步骤来建立:
1.在ISA Server 2004管理控制台,点击防火墙策略
2.在任务面板,点击任务标签,选择建立新的服务器发布规则开始新的服务发布规则向导;
3.在欢迎页,为新的规则输入一个名字,例如 Publish VPN server in Internal network using PPTP,然后点击下一步
4.在选择服务器页,输入你想发布的服务器的IP地址,然后点击下一步
5.在选择协议页,选择PPTP Server,然后点击下一步


6.在IP地址页,选择你想侦听访问请求的网络,在此选择External,点击下一步


注意:默认ISA Server会在所有的外部IP地址上侦听VPN连接。如果ISA Server计算机的外部接口有多个IP地址,并且你希望控制侦听的IP地址,那么点击地址按钮来打开外部网络侦听IP选择对话框,在此你可以选择侦听的IP地址。


7.在向导完成页上检查设置,然后点击完成
8.在防火墙策略面板,点击应用以保存修改和更新防火墙策略;

过程2B:发布基于使用NAT-T的L2TP/IPSec的VPN


ISA Server会对所有进入的数据包执行NAT,所以在你使用L2TP的时候必须使用NAT-T。所有L2TP
over IPSec客户必须安装了NAT-T补丁,更多的信息,请参见微软知识库文章KB818043,"L2TP/IPSec NAT-T Update for WindowsXP and Windows2000" (http://go.microsoft.com/fwlink/?LinkId=28084)。并且,VPN服务器必须运行在Windows Server 2003之上。

L2TP over IPSec需要两条策略,一条用于发布IKE(Internet Key Exchange)协商,另一条用于发布NAT-T。

记住,在发布之前,请先配置好你的VPN服务器

建立发布IKE协商的规则


为了发布IKE协议,执行以下步骤:
1.在ISA Server 2004控制台,点击防火墙策略
2.在任务面板,点击任务标签,然后选择建立新的服务器发布规则来开始新建服务器发布规则向导;
3.在欢迎页,为发布规则输入名字,例如Publish IKE for L2TP/IPSec,然后点击下一步
4.在选择服务器页,输入发布的服务器的IP地址,然后点击下一步
5.在选择协议页,选择IKE Server,然后点击下一步



6.在IP地址页,选择你想侦听请求的网络,在此我们选择外部网络,点击下一步
7.在完成向导页上检查设置,然后点击完成
8.在防火墙细节面板,点击应用来保存修改和更新防火墙策略;

建立发布NAT-T的规则


执行以下步骤:
1.在ISA Server 2004控制台,点击防火墙策略
2.在任务面板,点击任务标签,然后选择建立新的服务器发布规则来开始新建服务器发布规则向导;
3.在欢迎页,为发布规则输入名字,例如NAT-T VPN Publishing for
L2TP/IPSec
,然后点击下一步
4.在选择服务器页,输入发布的服务器的IP地址,然后点击下一步
5.在选择协议页,选择IPSec NAT-T Server,然后点击下一步
6.在IP地址页,选择你想侦听请求的网络,在此我们选择外部网络,点击下一步
7.在完成向导页上检查设置,然后点击完成
8.在防火墙细节面板,点击应用来保存修改和更新防火墙策略;

过程2C:发布一个L2TP服务器


当使用无IPSec的L2TP时,不需要穿越NAT,因为没有使用IPSec。L2TP不提供数据加密,所以数据在穿越VPN的时候没有加密。ISA
Server 2004同样需要为出站的L2TP连接建立一个访问规则。

在过程一中已经完成的配置VPN服务器中,你必须禁止自动L2TP over IPSec策略,如何禁止可以参见微软知识库文章KB310109,"HOW TO: Disable the Automatic L2TP/IPSec Policy" (http://go.microsoft.com/fwlink/?LinkId=28086),需要你在VPN服务器和客户机上添加一个注册表键。

建立服务器发布规则


执行以下步骤
1.在ISA Server 2004控制台,点击防火墙策略
2.在任务面板,点击任务标签,然后选择建立新的服务器发布规则来开始新建服务器发布规则向导;
3.在欢迎页,为发布规则输入名字,例如L2TP VPN Publishing without
IPSec
,然后点击下一步
4.在选择服务器页,输入发布的服务器的IP地址,然后点击下一步
5.在选择协议页,选择L2TP Server,然后点击下一步



6.在IP地址页,选择你想侦听请求的网络,在此我们选择外部网络,点击下一步
7.在完成向导页上检查设置,然后点击完成

建立访问规则


执行以下步骤:
1.在ISA Server 2004控制台,点击防火墙策略
2.在任务面板,点击任务标签,然后选择建立新的访问规则来开始新建服务器发布规则向导;
3.在欢迎页,为访问规则输入名字,例如Allow L2TP from L2TP VPN Server,然后点击下一步
4.在规则动作页,选择允许,然后点击下一步
5.在协议页,选择选择的协议;然后点击添加按钮来打开添加协议对话框;



6.在添加协议对话框,展开所有协议,选择 L2TP Client,然后点击添加,然后点击关闭


7.在协议页,点击下一步



8.在源网络页,点击添加按钮来打开添加网络实体对话框;
9.在添加网络实体对话框,点击新建,然后点击计算机



10.在新建计算机规则元素对话框,输入新计算机的名字,例如L2TP VPN
Server
和IP地址,然后点击确定



11.在添加网络实体对话框,展开计算机,然后选择L2TP VPN Server,点击添加,然后点击关闭,在源网络页,点击下一步
12.在目的网络页,点击添加打开添加网络实体对话框,然后展开网络选择外部网络,点击添加,然后点击关闭;点击下一步
13.在用户集页,保留默认的所有用户,然后点击下一步
14.在完成向导页检查设置,然后点击完成
15.在防火墙面板,点击应用来保存修改和更新防火墙策略。

 

转载地址:http://www.chinaccna.com/networky/fhq/200511/3190.html

0
相关文章