Windows Server 2003站点到站点VPN的组建.docx

WindowsServer2003站点到站点VPN的组件
图给出了WindowsServer2003站点到站点虚拟专用网络的组件。

图：WindowsServer2003站点到站点VPN的组件HYPERLINK"http://www.microsoft.com/technet/images/prodtechnol/windowsserver2003/technologies/networking/images/vpdpls02_BIG.gif"\t"_blank"主要组件包括：
•VPN路由器•Internet基础构架•内部网络基础构架•身份验证，授权和记帐（AAA）基础构架•证书基础构架VPN路由器
VPN路由器可以初始化或接受VPN请求拨号连接，由下列组件组成：
•路由和远程访问服务。呼叫和应答路由器上的路由和远程访问服务都通过路由和远程访问服务器安装向导来进行配置。•端口。端口是能够支持单个PPP连接的逻辑或物理通道。物理端口基于安装在VPN路由器上的设备。虚拟专用网络（VPN）端口是逻辑端口。•请求拨号接口。配置在呼叫路由器上的请求拨号接口代表了PPP连接，并包含有使用的端口类型、用于创建连接的地址（IP地址或域名）、身份验证方式、加密要求以及身份验证证书等配置信息。
对于双向初始化的连接而言，配置在应答路由器上的请求拨号接口代表了连向呼叫路由器的PPP连接。而对于单向初始化的连接而言，它使用呼叫路由器用户帐户上的静态路由，不需要在应答路由器上配置请求拨号接口。•用户帐户。为了对呼叫路由器进行身份验证，呼叫路由器的证书必须通过相应用户帐户的属性进行检验。如果将应答路由器配置为Windows身份验证，那么呼叫路由器身份验证证书中的用户帐户必须可以使用Windows安全性进行检验。如果应答路由器配置为RADIUS身份验证，那么RADIUS必须能够访问呼叫路由器身份验证证书的用户帐户。
这个用户帐户必须具有下列设置：
•在拨号选项卡中，将远程访问权限配置为允许访问或通过远程访问策略控制访问。当您使用请求拨号接口向导创建用户帐户时，这个远程访问权限将被设置为允许访问。•在常规或帐户选项卡中，禁用用户必须在下次登录时更改密码，并启用密码从不过期。您可以在使用请求拨号接口向导创建用户帐户时配置这些设置。对于单向初始化的连接而言，您可以在拨号选项卡中配置静态IP路由，该IP路由将在请求拨号连接建立时被添加到应答路由器的路由表中。•路由。要通过站点到站点VPN连接转发流量，VPN路由器路由表中的IP路由必须被配置为使用正确的请求拨号接口。
对于单向初始化的连接，请按常规方法配置呼叫路由器。而对于应答路由器，您可以配置呼叫路由器身份验证证书中所指定的用户帐户以及静态IP路由。•远程访问策略。在应答路由器或Internet身份验证服务（IAS）服务器（作为应答路由器的RADIUS服务器）上，要指定用于请求拨号连接的连接参数，请创建一个包括所有呼叫路由器用户帐户的用户组，然后创建一个单独的远程访问策略，在这个组上使用Windows-Groups属性集。对于请求拨号连接，不需要创建单独的远程访问策略。呼叫路由器完成下列工作：
•根据管理员行为，或在被转发的数据包符合使用VPN请求拨号接口的路由时，初始化VPN连接。•在转发数据包之前等待身份验证和授权。•作为其站点中的节点和应答路由器之间的路由器转发数据包。•作为VPN连接的端点。应答路由器完成下列工作：
•侦听VPN连接尝试。•在允许数据转发之前，对VPN连接进行身份验证和授权。•作为其站点中的节点和呼叫路由器之间的路由器转发数据包。•作为VPN连接的端点。VPN路由器通常安装有两个网络适配器：其中一个网络适配器连接到Internet，而另一个网络适配器连接到内部网络。
在您配置和启用路由和远程访问服务时，路由和远程访问服务器安装向导将提示您选择该计算机所扮演的角色。对于VPN路由器，您应该选择远程访问（拨号或VPN）选项。在选择了远程访问（拨号或VPN）选项后，路由和远程访问服务器将作为VPN服务器运行，同时支持远程访问和站点到站点的VPN连接。为了实现远程访问VPN连接，用户可以运行VPN客户端软件，并初始化一个连接到VPN服务器的远程访问连接。为了实现站点到站点VPN连接，路由器将初始化一个连接到VPN服务器的VPN连接。然后，VPN服务器可以初始化一个连接到另一个VPN路由器的VPN连接。
注意:Microsoft推荐在路由和远程访问服务器安装向导中选择远程访问（拨号或VPN），而不是两个专用网络间的安全连接，这是因为两个专用网络间的安全连接选项不会提示您选择用于自动配置数据包筛选器的Internet接口，也不会提示您配置RADIUS服务器，它只会创建5个PPTP和5个L2T