第21章远程访问服务的配置和策略管理.ppt

远程拨号访问服务 21 21 1概述 远程访问 远程用户连接到公司网络路由和远程访问服务RRAS客户创建远程访问连接 访问权限强化远程访问功能身份验证和加密协议DHCP 21 2在Windows2003中检测远程访问 硬件 modem ISDN DSLRRAS服务 建立远程访问连接 本地局域网 远程访问协议 远程访问客户 远程访问服务器 拨号 远程访问进程远程访问服务器 2003S RRAS身份验证 相当于客户机和局域网之间的网关使远程用户等同于局域网的用户远程访问连接的类型拨号连接 modem ISDN等 使用PSTN等连接到RRAS的一个端口长途话费高 容量低 数据传输协议 远程访问服务器 远程访问客户 2003使用远程访问协议建立两个远程访问设备之间的连接通常是调制解调器安装和配置RRAS服务时选择 整个网络 仅远程访问服务器若使用TCP IP 需配置提供IP地址的方式 远程访问协议2003不能作为SLIP服务器MSRAS协议为NT3 1 WKG DOSNetBEUIAppleTalk远程访问协议 ARAP使AppleMacintosh客户机可访问2003远程访问服务器反之 2003客户不能访问ARAP远程访问服务器LAN协议使RRAS服务集成MS UNIX NOVELL 首先要为相应的连接类型启用一个端口调制解调器 电缆2003P 或2003S非域成员使用 网络连接 2003S域成员使用 RRAS 21 3配置入站连接 配置入站拨号连接 远程客户机协议 默认仅TCP IPRADIUS 远程身份验证拨入用户服务 配置调制解调器和电缆端口 配置用户拨入设置 权限 呼叫方ID 回拨 IP路由 公司付费 公司付费且指定 三种基本类型拨号连接到专用网络或服务器的连接到VPN的连接通过电缆的直接连接 21 4配置出站连接 客户 考察硬件选项 连接方式 直接的连接 创建拨号连接 利用 新建连接 启用此连接的Internet共享向导中 必须选择 用于所有用户 局域网的操作可能会被中断因为IP将改变192 168 0 1启用请求拨号局域网上的其它机器动自动拨此连接 通过电缆直接连接 21 5配置多链路连接 A B A B C 远程访问服务器 多链路带BAP 按需动态增 减链路 远程访问服务器 多链路 多链路技术将多个物理链路结合成一个逻辑束 以增加带宽 如4 128 512KpbsPPP多链路协议BAP带宽分配协议提供动态的多链路支持服务器配置RRAS 服务器 属性 PPP多重链接连接使用BAP或BACP的动态带宽控制 在远程访问客户机上配置多链路相应连接 属性 常规选择连接使用的多个设备选项 选一个 只拨叫第一个可用的设备拨叫所有设备只根据需要拨叫设备活动至少到 持续时间至少为 防止未经授权的用户访问你网络标准的身份验证协议 21 7配置身份验证协议 标准的身份验证协议 协议 安全性 PAP 低口令明文 SPAP 中口令加密 CHAP 高 MS CHAP 高 何时使用 客户机和服务器不能利用更安全的验证形式进行协商时 双向可逆的加密机制 某些客户运行非MS操作系统 MD5 有些用户运行NT4 0 95 98 2003 MS CHAPv2 高 有些运行2003的拨号客户机运行NT4 98的VPN机更强的初始数据密钥 不同的密钥 可扩展的身份验证协议 EAP ExtensibleAuthenticationProtocols 提供专用的及未来的身份验证方法支持所使用的身份验证MD5 CHAP传输层安全性TLS 支持智能卡验证智能卡 用户证书和私有密钥附加的第三方的身份验证方法 如 令牌卡令牌卡 代码每次使用时都会发生变化确保支持通过API进行身份验证的方法新技术 智能卡 令牌卡 生物计量硬件 视网膜 指纹尚未开发的身份验证技术 21 8配置加密协议 RRAS 远程访问策略 相应策略 属性 编辑配置文件 加密 IPSec 56位 DES MPPE 40位 IPSec 56位 DES MPPE 56位 IPSec 3DESMPPE 128位 客户机接收IP地址的方式静态的IP地址来自一个IP地址范围从DHCP服务器获取一般使用短租期 如一小时 21 9为DHCP集成配置路由和远程访问 利用DHCP将IP地址分配给远程访问客户机 如果DHCP服务器是可用的如果DHCP服务器是不可用的将某些DHCP选项指定给拨号用户可使用默认的路由和远