為遠(yuǎn)程客戶端和網(wǎng)絡(luò)配置虛擬專用網(wǎng)絡(luò)訪問

第

21

章

為遠(yuǎn)程客戶端和網(wǎng)絡(luò)配置虛擬專用網(wǎng)絡(luò)訪問熊建輝高級工程師、碩士網(wǎng)絡(luò)安全的實(shí)現(xiàn)和管理

--以WindowsServer2003和ISAServer2004為例第1章 規(guī)劃和配置授權(quán)和身份驗(yàn)證策略第2章 安裝、配置和管理證書頒發(fā)機(jī)構(gòu)第3章 配置、部署和管理證書第4章 規(guī)劃、實(shí)現(xiàn)和故障診斷智能卡證書第5章 加密文件系統(tǒng)的規(guī)劃、實(shí)現(xiàn)和故障排除第6章 規(guī)劃、配置和部署安全的成員服務(wù)器基線第7章 為服務(wù)器角色規(guī)劃、配置和部署安全基線第8章 規(guī)劃、配置、實(shí)現(xiàn)和部署安全客戶端計算機(jī)基線第9章 規(guī)劃和實(shí)現(xiàn)軟件更新服務(wù)第10章數(shù)據(jù)傳輸安全性的規(guī)劃、部署和故障排除第11章部署配置和管理SSL第12章規(guī)劃和實(shí)施無線網(wǎng)絡(luò)的安全措施第13章保護(hù)遠(yuǎn)程訪問安全第14章MICROSOFTISASERVER概述第15章安裝和維護(hù)ISAServer第16章允許對Internet資源的訪問第17章配置ISAServer作為防火墻第18章配置對內(nèi)部資源的訪問第19章集成ISAServer2004和MicrosoftExchangeServer第20章高級應(yīng)用程序和Web篩選第21章為遠(yuǎn)程客戶端和網(wǎng)絡(luò)配置虛擬專用網(wǎng)絡(luò)訪問第22章實(shí)現(xiàn)緩存第23章監(jiān)視ISAServer2004網(wǎng)絡(luò)安全的實(shí)現(xiàn)和管理

--以WindowsServer2003和ISAServer2004為例第21章：為遠(yuǎn)程客戶端和網(wǎng)絡(luò)配置虛擬專用網(wǎng)絡(luò)訪問虛擬專用網(wǎng)絡(luò)概述為遠(yuǎn)程客戶端配置虛擬專用網(wǎng)絡(luò)為遠(yuǎn)程站點(diǎn)配置虛擬專用網(wǎng)絡(luò)使用ISAServer2004配置隔離控制虛擬專用網(wǎng)絡(luò)概述虛擬專用網(wǎng)絡(luò)VPN協(xié)議選項VPN身份驗(yàn)證協(xié)議選項VPN隔離控制使用路由和遠(yuǎn)程訪問的虛擬專用網(wǎng)絡(luò)使用ISAServer2004的虛擬專用網(wǎng)絡(luò)將ISAServer用于虛擬專用網(wǎng)絡(luò)的益處21.1虛擬專用網(wǎng)絡(luò)概述虛擬專用網(wǎng)絡(luò)ISA

Server分支機(jī)構(gòu)21.1.1虛擬專用網(wǎng)絡(luò)VPN協(xié)議選項因素PPTP優(yōu)點(diǎn)和缺點(diǎn)L2TP/IPSec優(yōu)點(diǎn)和缺點(diǎn)客戶端操作系統(tǒng)支持Windows2000,

WindowsXP、WindowsServer2003、WindowsNTWorkstation4.0、WindowsME、Windows98Windows2000、

WindowsXP、WindowsServer2003證書支持需要證書架構(gòu)支持，僅僅支持EAP-TLS驗(yàn)證需要證書架構(gòu)或預(yù)共享密鑰安全性提供數(shù)據(jù)加密不提供數(shù)據(jù)完整性為每個數(shù)據(jù)包提供數(shù)據(jù)完整性、數(shù)據(jù)源身份驗(yàn)證、數(shù)據(jù)機(jī)密性和重放保護(hù)NAT支持大多數(shù)網(wǎng)絡(luò)地址轉(zhuǎn)換器（NAT,NetworkAddressTranslator）都支持該協(xié)議所有的客戶端和服務(wù)器都都必須支持IPSecNAT-T21.1.2VPN協(xié)議選項VPN身份驗(yàn)證協(xié)議選項驗(yàn)證協(xié)議解釋PAP使用明文密碼，是安全性最低的身份驗(yàn)證協(xié)議SPAP使用的是Shiva可逆加密機(jī)制CHAP是質(zhì)詢響應(yīng)身份驗(yàn)證協(xié)議使用CHAP協(xié)議時，數(shù)據(jù)不能被加密MS-CHAP它不需要使用可逆加密來存儲密碼但只有在運(yùn)行需要MS-CHAP的早期Microsoft操作系統(tǒng)時才使用MS-CHAPMS-CHAPv2使用雙向身份驗(yàn)證對于發(fā)送和接收的數(shù)據(jù)，它分別使用不同的會話密鑰來進(jìn)行加密會話密鑰的生成不是完全基于用戶的密碼EAP-TLS是最安全的遠(yuǎn)程身份驗(yàn)證協(xié)議在客戶端和服務(wù)器都使用證書來提供雙向身份驗(yàn)證、數(shù)據(jù)完整性和數(shù)據(jù)機(jī)密性21.1.3VPN身份驗(yàn)證協(xié)議選項VPN隔離控制VPN隔離控制:允許VPN客戶端計算機(jī)訪問組織的網(wǎng)絡(luò)之前屏蔽它們VPN隔離客戶端腳本。此腳本在客戶端上運(yùn)行并檢查遠(yuǎn)程訪問客戶端的安全配置，然后將結(jié)果報告給VPN服務(wù)器客戶端通過安全配置檢查，該客戶端就被授權(quán)訪問組織的網(wǎng)絡(luò)21.1.4VPN隔離控制使用路由和遠(yuǎn)程訪問的虛擬專用網(wǎng)絡(luò)

RRAS支持：遠(yuǎn)程訪問策略是一組有序的規(guī)則，它們定義了如何授權(quán)或拒絕遠(yuǎn)程訪問連接“連接管理器”程序組是一組可選組件，用于創(chuàng)建受管理的遠(yuǎn)程訪問解決方案RRAS支持使用遠(yuǎn)程身份驗(yàn)證撥入用戶服務(wù)（RADIUS）服務(wù)器進(jìn)行身份驗(yàn)證和遠(yuǎn)程訪問策略配置RRAS支持在連接到Internet的接口上使用PPTP或L2TP/IPSec輸入和輸出篩選器RRAS支持使用隔離控制來限制客戶端對網(wǎng)絡(luò)的訪問21.1.5使用路由和遠(yuǎn)程訪問的虛擬專用網(wǎng)絡(luò)使用ISAServer2004的虛擬專用網(wǎng)絡(luò)

ISAServer啟用VPN訪問：可以使用網(wǎng)絡(luò)規(guī)則和訪問規(guī)則定義在什么條件下可以將網(wǎng)絡(luò)數(shù)據(jù)包從一個網(wǎng)絡(luò)傳遞到另一個網(wǎng)絡(luò)ISAServer使用以下網(wǎng)絡(luò)進(jìn)行VPN連接：VPN客戶端網(wǎng)絡(luò)被隔離的VPN客戶端網(wǎng)絡(luò)遠(yuǎn)程站點(diǎn)網(wǎng)絡(luò)ISAServer將計算機(jī)分配給網(wǎng)絡(luò)，然后使用網(wǎng)絡(luò)規(guī)則、網(wǎng)絡(luò)訪問規(guī)則和發(fā)布規(guī)則來限制網(wǎng)絡(luò)通信在網(wǎng)絡(luò)之間的移動擴(kuò)展了RRAS功能21.1.6使用ISAServer2004的虛擬專用網(wǎng)絡(luò)將ISAServer用于虛擬專用網(wǎng)絡(luò)的益處

益處解釋連接控制和安全性使用防火墻訪問策略控制從VPN客戶端通過ISAServer2004所發(fā)送的信息

性能ISAServer2004強(qiáng)化了在配置為強(qiáng)制執(zhí)行復(fù)雜的企業(yè)級安全性要求的情況使用Windows2000隔離VPN連接的能力添加ISAServer2004可使Windows2000VPN服務(wù)器能夠強(qiáng)制執(zhí)行VPN隔離策略日志記錄和監(jiān)視VPN日志記錄不僅能包括所有VPN遠(yuǎn)程訪問和站點(diǎn)到站點(diǎn)的連接，還能包括相關(guān)的應(yīng)用程序通信IPSec隧道模式站點(diǎn)到站點(diǎn)鏈路的狀態(tài)檢查通過站點(diǎn)到站點(diǎn)鏈路移動的連接設(shè)置特定于用戶/組、站點(diǎn)、計算機(jī)、協(xié)議和應(yīng)用程序?qū)拥妮^強(qiáng)的訪問控制VPN服務(wù)器資源的增強(qiáng)保護(hù)ISAServer通過將防火墻策略應(yīng)用到所有接口來擴(kuò)展安全保護(hù)的級別21.1.7將ISAServer用于虛擬專用網(wǎng)絡(luò)的益處第21章：為遠(yuǎn)程客戶端和網(wǎng)絡(luò)配置虛擬專用網(wǎng)絡(luò)訪問虛擬專用網(wǎng)絡(luò)概述為遠(yuǎn)程客戶端配置虛擬專用網(wǎng)絡(luò)為遠(yuǎn)程站點(diǎn)配置虛擬專用網(wǎng)絡(luò)使用ISAServer2004配置隔離控制為遠(yuǎn)程客戶端配置虛擬專用網(wǎng)絡(luò)

VPN客戶端訪問控制選項啟用和配置VPN客戶端訪問的方式默認(rèn)VPN客戶端訪問配置配置VPN地址分配的方式配置VPN身份驗(yàn)證的方法使用RADIUS配置身份驗(yàn)證的方法為VPN訪問配置用戶賬戶的方法為客戶端計算機(jī)配置VPN連接的方法21.2為遠(yuǎn)程客戶端配置虛擬專用網(wǎng)絡(luò)VPN客戶端訪問控制選項點(diǎn)選VPN節(jié)點(diǎn)來訪問VPN客戶端訪問控制選項21.2.1VPN客戶端訪問控制選項啟用和配置VPN客戶端訪問的方式

啟用并配置用戶映射時，為Windows用戶和組指定用戶設(shè)置的防火墻策略訪問規(guī)則也適用于不使用Windows身份驗(yàn)證的已認(rèn)證用21.2.2啟用和配置VPN客戶端訪問的方式默認(rèn)VPN客戶端訪問配置組件缺省設(shè)置系統(tǒng)策略規(guī)則策略規(guī)則允許從遠(yuǎn)程網(wǎng)絡(luò)到運(yùn)行ISAServer的計算機(jī)（本機(jī)主機(jī)網(wǎng)絡(luò)）使用PPTP、L2TP或兩者都使用VPN訪問網(wǎng)絡(luò)ISAServer僅偵聽外部網(wǎng)絡(luò)上的VPN客戶端連接VPN協(xié)議僅為VPN客戶端訪問啟用PPTP網(wǎng)絡(luò)規(guī)則一條指定VPN客戶端網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的NAT關(guān)系一條指定VPN客戶端網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)之間的路由關(guān)系防火墻訪問規(guī)則沒有防火墻訪問規(guī)則啟用遠(yuǎn)程訪問策略啟用MS-CHAPv2身份驗(yàn)證并要求對所有VPN連接的進(jìn)行身份驗(yàn)證21.2.3默認(rèn)VPN客戶端訪問配置配置VPN地址分配的方式配置靜態(tài)分配地址或DHCP配置DNS和WINS服務(wù)器使用DHCP或手工分配地址21.2.4配置VPN地址分配的方式配置VPN身份驗(yàn)證的方法接受缺省的安全驗(yàn)證配置EAP作為附加安全方法考慮到客戶端兼容情況下，可以使用低安全選項21.2.5配置VPN身份驗(yàn)證的方法使用RADIUS配置身份驗(yàn)證的方法

啟用RADIUS驗(yàn)證和配置

RADIUS服務(wù)器21.2.6使用RADIUS配置身份驗(yàn)證的方法為VPN訪問配置用戶賬戶的方法

配置撥入和VPN

訪問權(quán)限21.2.7為VPN訪問配置用戶賬戶的方法為客戶端計算機(jī)配置VPN連接的方法

21.2.8為客戶端計算機(jī)配置VPN連接的方法實(shí)驗(yàn)21-1：為遠(yuǎn)程客戶端配置VPN訪問

在ISAServer上配置VPN客戶端訪問配置并測試VPN客戶端連接InternetDen-ISA-01Den-DC-01Den-Clt-0121.2.9實(shí)驗(yàn)21-1：為遠(yuǎn)程客戶端配置VPN訪問第21章：為遠(yuǎn)程客戶端和網(wǎng)絡(luò)配置虛擬專用網(wǎng)絡(luò)訪問虛擬專用網(wǎng)絡(luò)概述為遠(yuǎn)程客戶端配置虛擬專用網(wǎng)絡(luò)為遠(yuǎn)程站點(diǎn)配置虛擬專用網(wǎng)絡(luò)使用ISAServer2004配置隔離控制為遠(yuǎn)程站點(diǎn)配置虛擬專用網(wǎng)絡(luò)

站點(diǎn)到站點(diǎn)的VPN訪問配置組件關(guān)于選擇VPN隧道協(xié)議配置遠(yuǎn)程站點(diǎn)網(wǎng)絡(luò)的方法站點(diǎn)到站點(diǎn)VPN的網(wǎng)絡(luò)和訪問規(guī)則配置遠(yuǎn)程站點(diǎn)VPN網(wǎng)關(guān)服務(wù)器的方法配置使用IPSec隧道模式的站點(diǎn)到站點(diǎn)VPN21.3為遠(yuǎn)程站點(diǎn)配置虛擬專用網(wǎng)絡(luò)站點(diǎn)到站點(diǎn)的VPN訪問配置組件

組件缺省配置確定要使用的隧道協(xié)議需要根據(jù)組織的安全要求和將在每個站點(diǎn)部署的VPN網(wǎng)關(guān)服務(wù)器來選擇適當(dāng)?shù)膮f(xié)議配置遠(yuǎn)程站點(diǎn)網(wǎng)絡(luò)創(chuàng)建遠(yuǎn)程站點(diǎn)網(wǎng)絡(luò)，遠(yuǎn)程站點(diǎn)中的所有客戶端計算機(jī)都位于此網(wǎng)絡(luò)中配置VPN客戶端訪問必須啟用VPN客戶端訪問來啟用站點(diǎn)到站點(diǎn)的訪問配置網(wǎng)絡(luò)規(guī)則和防火墻訪問規(guī)則使用訪問規(guī)則或發(fā)布規(guī)則讓遠(yuǎn)程辦事處用戶可訪問內(nèi)部資源配置遠(yuǎn)程站點(diǎn)VPN網(wǎng)關(guān)配置遠(yuǎn)程站點(diǎn)辦公室的VPN服務(wù)器來連接ISAServer和接受從ISAServer的連接21.3.1站點(diǎn)到站點(diǎn)的VPN訪問配置組件關(guān)于選擇VPN隧道協(xié)議協(xié)議場景注釋IPSec隧道模式連接到非微軟VPN網(wǎng)關(guān)連接到非MicrosoftVPN服務(wù)器時可以使用的惟一選項。需要證書或預(yù)共享密鑰L2TPoverIPSec連接ISAServer或WindowsRRASVPN網(wǎng)關(guān)要求遠(yuǎn)程VPN服務(wù)器是運(yùn)行ISAServer的計算機(jī)或運(yùn)行WindowsVPN的服務(wù)器。需要用戶名和密碼以及證書或預(yù)共享密鑰進(jìn)行身份驗(yàn)證PPTP連接ISAServer或WindowsRRASVPN網(wǎng)關(guān)要求遠(yuǎn)程VPN服務(wù)器是運(yùn)行ISAServer的計算機(jī)或運(yùn)行WindowsVPN的服務(wù)器安全級別比L2TPoverIPSec低21.3.2關(guān)于選擇VPN隧道協(xié)議配置遠(yuǎn)程站點(diǎn)網(wǎng)絡(luò)的方法

配置選項解釋VPN協(xié)議選擇用來連接到該遠(yuǎn)程站點(diǎn)的隧道協(xié)議遠(yuǎn)程VPN服務(wù)器輸入遠(yuǎn)程站點(diǎn)的VPN網(wǎng)關(guān)服務(wù)器的服務(wù)器名稱或IP地址遠(yuǎn)程身份驗(yàn)證輸入用戶名和密碼。此用戶賬戶將用于在目標(biāo)VPN網(wǎng)關(guān)服務(wù)器上發(fā)起連接L2TP/IPSec身份驗(yàn)證如果決定使用L2TP/IPSec作為隧道協(xié)議，你會得到配置預(yù)共享密鑰的選項，創(chuàng)建隧道時預(yù)共享密鑰將被用于對計算機(jī)進(jìn)行身份驗(yàn)證網(wǎng)絡(luò)地址需要配置遠(yuǎn)程站點(diǎn)網(wǎng)絡(luò)中所有計算機(jī)的IP地址范圍21.3.3配置遠(yuǎn)程站點(diǎn)網(wǎng)絡(luò)的方法站點(diǎn)到站點(diǎn)VPN的網(wǎng)絡(luò)和訪問規(guī)則

啟用站點(diǎn)到站點(diǎn)VPN的網(wǎng)絡(luò)和訪問規(guī)則：

啟用了兩個系統(tǒng)策略：“允許到ISA服務(wù)器的VPN站點(diǎn)到站點(diǎn)的通訊”“允許來自ISA服務(wù)器的VPN站點(diǎn)到站點(diǎn)通訊”針對遠(yuǎn)程站點(diǎn)網(wǎng)絡(luò)創(chuàng)建網(wǎng)絡(luò)規(guī)則配置訪問規(guī)則來控制遠(yuǎn)程站點(diǎn)和連接到ISAServer計算機(jī)的其他網(wǎng)絡(luò)之間的通信網(wǎng)絡(luò)之間的開放通信。一種選項是配置分支辦事處以擁有對內(nèi)部網(wǎng)絡(luò)的完全訪問權(quán)網(wǎng)絡(luò)之間的受控通信。在此情況下，你不希望讓分支辦事處的用戶具有對內(nèi)部網(wǎng)絡(luò)的完全訪問權(quán)21.3.4站點(diǎn)到站點(diǎn)VPN的網(wǎng)絡(luò)和訪問規(guī)則配置遠(yuǎn)程站點(diǎn)VPN網(wǎng)關(guān)服務(wù)器的方法

配置遠(yuǎn)程站點(diǎn)VPN網(wǎng)關(guān)服務(wù)器：

配置VPN網(wǎng)關(guān)使用相同的隧道協(xié)議配置到總部站點(diǎn)VPN網(wǎng)關(guān)的連接配置網(wǎng)絡(luò)路由21.3.5配置遠(yuǎn)程站點(diǎn)VPN網(wǎng)關(guān)服務(wù)器的方法配置使用IPSec隧道模式的站點(diǎn)到站點(diǎn)VPN

配置使用IPSec隧道模式的站點(diǎn)到站點(diǎn)VPN：配置遠(yuǎn)程VPN網(wǎng)關(guān)的IP地址時，還必須配置一個本地VPN網(wǎng)關(guān)的IP地址創(chuàng)建VPN隧道時IPSec將使用的設(shè)置以及可用來最大化VPN安全性的設(shè)置將VPN網(wǎng)關(guān)配置為使用證書或預(yù)共享密鑰進(jìn)行身份驗(yàn)證21.3.6配置使用IPSec隧道模式的站點(diǎn)到站點(diǎn)VPN實(shí)驗(yàn)21-2：為遠(yuǎn)程站點(diǎn)配置VPN

配置總部的運(yùn)行ISAServer的計算機(jī)啟用站點(diǎn)到站點(diǎn)的VPN連接InternetDen-ISA-01Den-DC-0121.2.9實(shí)驗(yàn)21-2：為遠(yuǎn)程客戶端配置VPN訪問第21章：為遠(yuǎn)程客戶端和網(wǎng)絡(luò)配置虛擬專用網(wǎng)絡(luò)訪問虛擬專用網(wǎng)絡(luò)概述為遠(yuǎn)程客戶端配置虛擬專用網(wǎng)絡(luò)為遠(yuǎn)程站點(diǎn)配置虛擬專用網(wǎng)絡(luò)使用ISAServer2004配置隔離控制使用ISAServer2004配置隔離控制

網(wǎng)絡(luò)隔離控制的工作方式關(guān)于在ISAServer上啟用隔離控制準(zhǔn)備客戶端腳本的方法使用連接管理器配置VPN客戶端的方法準(zhǔn)備偵聽器組件的方法啟用隔離控制的方法配置Internet身份驗(yàn)證服務(wù)以實(shí)現(xiàn)隔離控制配置隔離訪問規(guī)則的方法21.4使用ISAServer2004配置隔離控制網(wǎng)絡(luò)隔離控制的工作方式ISA

ServerDNS

ServerWeb

Server域控制器文件服務(wù)器QuarantinescriptVPN隔離客戶網(wǎng)絡(luò)VPN客戶端網(wǎng)絡(luò)RQC.exe隔離遠(yuǎn)程訪問策略ISA

ServerDNS

ServerWeb

Server域控制器文件服務(wù)器隔離腳本VPN隔離客戶網(wǎng)絡(luò)VPN客戶端網(wǎng)路RQC.exe隔離遠(yuǎn)程訪問策略21.4.1網(wǎng)絡(luò)隔離控制的工作方式關(guān)于在ISAServer上啟用隔離控制

在ISAServer上啟用隔離控制：在ISAServer上啟用隔離控制創(chuàng)建并安裝偵聽器組件為被隔離的VPN客戶端網(wǎng)絡(luò)配置網(wǎng)絡(luò)規(guī)則和訪問規(guī)則使用CMAK來創(chuàng)建CM配置文件，該配置文件包含一個通知組件和客戶端腳本創(chuàng)建驗(yàn)證客戶端配置信息的客戶端腳本1435221.4.2關(guān)于在ISAServer上啟用隔離控制運(yùn)行Rqc.exe命令：準(zhǔn)備客戶端腳本的方法客戶端腳本：可以是可執(zhí)行文件（*.exe）、腳本文件（*.vbs）或簡單的命令文件（*.cmd

或*.bat）在腳本中執(zhí)行一組測試以確保遠(yuǎn)程訪問客戶端符合網(wǎng)絡(luò)策略如果腳本中指定的所有測試成功，腳本就必須使用以下參數(shù)運(yùn)行Rqc.exerqcConnName

TunnelConnName

TCPPort

Domain

UserName

ScriptVersion21.4.3準(zhǔn)備客戶端腳本的方法使用連接管理器配置VPN客戶端的方法

配置VPN客戶端使用連接管理器：

配置連接管理器配置文件包含一個運(yùn)行網(wǎng)絡(luò)策略要求腳本的后連接操作一個網(wǎng)絡(luò)策略要求腳本一個通知組件所有遠(yuǎn)程訪問客戶端計算機(jī)上分發(fā)并安裝它

21.4.4使用連接管理器配置VPN客戶端的方法ConfigureRQSforISA.vbs:準(zhǔn)備偵聽器組件的方法將RQS作為服務(wù)安裝創(chuàng)建一條ISAServer訪問規(guī)則允許RQS端口（7250）上從VPN客戶端和被隔離的VPN客戶端網(wǎng)絡(luò)發(fā)送到本地主機(jī)網(wǎng)絡(luò)的通信在運(yùn)行ISAServer的計算機(jī)上修改注冊表項啟動RQS服務(wù)命令行運(yùn)行ConfigureRQSforISA.vbsCscriptConfigureRQSForISA.vbs/installSharedKey1\0SharedKey2pathtoRQS.exe21.4.5準(zhǔn)備偵聽器組件的方法啟用隔離控制的方法定義超時值添加不需要隔離的用戶或組定義隔離策略的源21.4.6啟用