部署Windows_Server_2003中的远程访问VPN服务.doc

部署Win2003中的远程访问VPN服务

远程访问VPN是一台独立的VPN客户计算机向VPN服务器发起的VPN连接，Windows的远程访问VPN服务是作为路由和远程访问（RRAS）服务的一个组件来提供，它支持PPTP或者L2TP/IPSec协议的VPN连接。如何在WindowsServer2003中部署远程访问VPN服务，从而支持VPN客户端使用PPTP和L2TP/IPSec协议进行远程访问VPN连接。
其实VPN部署比较简单，只需要考虑以下几点：
决定身份验证方式（Windows还是RADIUS）。在此文章中我将使用Windows来进行身份验证。
身份验证方法。在此文章中我将使用默认的MS-CHAP、MS-CHAPv2和EAP-TLS；
用户拨入授权方式（显式允许访问还是通过远程访问策略授权）。在此文章中将显式允许用户远程拨入访问。-----注意：本次第九周实验除了要测试本文中的显式访问，还要进行远程访问策略授权的测试
VPN客户地址分配方式（使用内部网络中的DHCP服务或者使用静态IP地址范围）。在此试验中由于内部网络中没有DHCP服务，所以我将采用静态IP地址范围172.16.0.1～172.16.0.254。
对于L2TP/IPSec，你还需要部署证书服务。在此试验中内部网络中已经部署了证书权威服务器。

这篇文章的试验环境如下图所示，Internet上的VPN客户端Perth（IP地址为61.139.0.8）将通过Munich（外部IP地址为61.139.0.1，内部IP地址为10.1.1.1）上的VPN服务连接到内部网络（10.1.1.0/24）中。Milan是内部网络上的Web服务器和证书服务器，IP地址为10.1.1.9。所有计算机的操作系统均为WindowsServer2003SP1，并且均为独立服务器，在进行试验之前已经确保网络连接工作正常。

步骤简述
这篇文章中的试验步骤如下：
在Munich上启用路由和远程访问服务中的远程访问VPN服务；
显式允许用户Administrator的远程拨入；
在Perth上创建PPTP模式的VPN连接并进行测试；
修改VPN连接为L2TP预共享密钥方式，然后在Perth上连接VPN进行测试；
为Munich、Perth申请计算机证书，取消预共享IPSec密钥，然后在Perth上连接VPN进行测试；
在Munich上启用路由和远程访问服务中的远程访问VPN服务

详细步骤
在Munich上以管理员身份登录，然后点击管理工具，选择路由和远程访问，在弹出的路由和远程访问管理控制台，右击服务器名，选择配置并启用路由和远程访问；

在弹出的欢迎使用路由和远程访问服务器安装向导页，点击下一步；
在配置页，选择远程访问（拨号或VPN），然后点击下一步；如果你需要对内部网络提供网络共享服务，则选择虚拟专用网络（VPN）访问和NAT，再根据向导进行配置；

在远程访问页，选择此服务器接受的远程访问类型，在此仅勾选VPN，然后点击下一步；

在VPN连接页，选择连接到Internet的网络接口，在此我选择对应的接口WAN61，默认情况下，RRAS会设置通过设置静态数据包筛选器来对选择的接口进行保护，这将在此接口上启用只是允许VPN流量的入站筛选器（关于入站筛选器更详细的描述，请参见深入理解路由和远程访问服务中的筛选器和基本防火墙一文），从而保护这台VPN服务器。根据你的需要来决定是否启用此选项，在此我接受默认设置，点击下一步；

在IP地址指定页，选择你指定VPN客户地址的方式。由于在内部网络中并没有部署DHCP服务，所以在此我选择来自一个指定的地址范围，然后点击下一步；

在地址范围指定页，点击新建按钮，输入起止IP地址分别为172.16.0.1和172.16.0.254，然后点击确定，完成后如下图所示，点击下一步；

在管理多个远程访问服务器页，由于在此我不使用RADIUS服务器，所以接受默认的否，然后点击下一步；

最后在正在完成路由和远程访问服务器安装向导页，点击完成。在弹出的提示你需要配置DHCP中继代理的对话框上点击确定；等待片刻后，VPN服务器就部署好了，如下图所示：

默认情况下VPN具有PPTP协议和L2TP协议端口各128个，这代表它允许连接的PPTP协议和L2TP协议类型的VPN客户数量，但是VPN客户的并发连接数还受到Windows系统版本的限制。对于允许的最多端口数和VPN客户并发连接数，根据Windows服务器操作系统版本的不同有以下不同：
对于WindowsServer2003Web版本和标准版本，PPTP和L2TP允许的最多端口数均为1000，但是Web版本只支持1个VPN客户并发连接，而不论协议类型；标准版本支持1000个VPN客户并发连接，而不论协