项目10 VPN服务器配置与管理

项目10

VPN服务器配置与管理知识学习目标和要点：本项目详细介绍VPN服务的基本原理和部署方案，让读者了解远程访问的类型、掌握虚拟专用网的概念及应用模式、了解网络服务器中的VPN组件、掌握安装路由和远程访问服务角色、掌握配置和管理VPN服务器等内容。思政IDEOLOGY导入

2020年，在全球浮点运算性能最强的500台超级计算机中，中国部署的超级计算机数量继续位列全球第一。这是中国的自豪，也是中国崛起的重要见证。思政IDEOLOGY目标“三更灯火五更鸡，正是男儿读书时。黑发不知勤学早，白首方悔读书迟。”祖国的发展日新月异，我们拿什么报效祖国？唯有勤奋学习，惜时如金，才无愧盛世年华。思政IDEOLOGY内容你知道全球超级计算机500强榜单吗？你知道中国目前的水平吗？由国际组织“TOP500”编制的新一期全球超级计算机500强榜单于2020年6月23日揭晓。榜单显示，在全球浮点运算性能最强的500台超级计算机中，中国部署的超级计算机数量继续位列全球第一，达到226台，占总体份额超过45%；“神威太湖之光”和“天河二号”分列榜单第四、第五位。中国厂商联想、曙光、浪潮是全球前三的“超算”供应商，总交付数量达到312台，所占份额超过62%。全球超级计算机500强榜单始于1993年，每半年发布一次，是给全球已安装的超级计算机排名的知名榜单。.01.02.03远程访问服务虚拟专用网(VPN)概念VPN应用模式目录10.1项目知识准备——虚拟专用网基础.04基于隧道的VPN.05VPN协议.06网络服务器的VPN组件.07VPN服务器网络规划远程访问服务配置为远程访问服务器，可以将远程工作人员或移动工作人员连接到企业网络。局域网连接用户的所有服务一般都可通过远程访问连接使用。远程用户可以像其计算机直接连接到网络上一样工作。远程访问服务可以提供两种不同类型的远程访问连接。(1)拨号网络通过使用远程通信提供商提供的服务，远程客户端使用非永久的拨号线路连接到远程访问服务器的物理端口上，这时使用的网络就是拨号网络。最常见的拨号网络是客户端拨打远程访问服务器某个端口的电话号码。01.远程访问服务(2)虚拟专用网虚拟专用网是在公共网络上建立的安全专用网络。客户端使用特定的隧道协议对服务器的虚拟端口进行虚拟呼叫。常见的应用是客户端通过虚拟专用网隧道连接到与Internet相连的远程访问服务器上。远程访问服务器应答虚拟呼叫，验证呼叫方身份，并在虚拟专用网客户端和企业网络之间传送数据。与拨号网络相比，虚拟专用网始终是通过公用网络(如Internet)在客户端和服务器之间建立的一种逻辑的、非直接的连接，这就必须对连接上传送的数据进行加密。01.远程访问服务远程访问(RemoteAccess)也称为远程接入，通过这种技术，可以将远程或移动用户连接到组织内部网络上，使远程用户可以像本地计算机连接到内部网络上一样工作。实现远程访问最常用的连接方式就是VPN技术。目前，Internet中的多个企业网络常常选择VPN技术(通过加密技术、验证技术、数据确认技术的共同应用)连接起来，就可以轻易地在Internet上建立一个专用网络，让远程用户通过Internet来安全地访问网络内部的网络资源。02.虚拟专用网概念虚拟专用网是指在公共网络(通常为Internet)中建立一个虚拟的、专用的网络，是Internet与Intranet之间的专用通道，为企业提供一个高安全、高性能、简便易用的环境。当远程的VPN客户端通过Internet连接到VPN服务器时，它们之间所传送的信息会被加密，所以即使信息在Internet传送的过程中被拦截，也会因为信息已被加密而无法识别，因此可以确保信息的安全性。02.虚拟专用网概念03.VPN应用模式VPN大致可以划分为远程访问和网络互连两种应用模式。(1)远程访问。远程访问可作为替代传统的拨号远程访问的解决方案，能够廉价、高效、安全地连接移动用户、远程工作者或分支机构，适合企业的内部人员移动办公或远程办公，以及商家提供B2C的安全访问服务等。此模式采用的网络结构是单机连接到网络，又称点到站点VPN、桌面到网络VPN、客户到服务器VPN。03.VPN应用模式基于VPN的远程访问03.VPN应用模式(2)远程网络互连。这是最主要的VPN应用模式，用于企业总部与分支机构之间、分支机构与分支机构的网络互连。此模式采用的网络结构是网络连接到网络，又称站点到站点(Site-to-Site)VPN、网关到网关VPN、路由器到路由器VPN、服务器到服务器VPN或网络到网络VPN。03.VPN应用模式基于VPN的远程网络互联04.基于隧道的VPNVPN的实现技术多种多样，隧道(又称通道)技术是最典型的，也是应用最为广泛的VPN技术。VPN隧道的工作机制，位于两端的VPN系统之间形成一种逻辑的安全隧道，称为VPN连接或VPN隧道，各种应用(如文件共享、Web发布、数据库管理等)可以像在局城网中一样使用。隧道包括数据封装、传输和解包的全过程，实际上是用一种网络协议来传输另一种网络协议的数据单元，依靠网络隧道协议实现。04.基于隧道的VPNVPN隧道工作机制05.VPN协议VPN客户端使用隧道协议以创建VPN服务器上的安全连接。WindowsServer2016支持4种VPN协议。(1)PPTP是点对点协议PPP的扩展，增强了PPP的身份验证、压缩和加密机制。PPP和Microsoft点对点加密(MPPE)为VPN连接提供了数据封装和加密服务。使用MPPE加密来进行连接，只需对用户进行验证，是最容易使用的VPN协议。(2)L2TP本身并不进行加密工作，而是由IPSec实现加密。它需要对所有客户端进行计算机证书身份验证，需要部署PKI数字证书。不过路由和远程访问服务在L2TP/IPSec身份验证中提供了预共享密钥支持，无需计算机证书，在VPN客户端与服务器两端使用相同的预共享密钥也可建立L2TP/IPSec连接，只是这种身份验证方法安全性相对较差，远不如证书。05.VPN协议(3)SSTP可以创建一个在HTTPS上传送的VPN隧道，HTTPS是普遍采用的安全访问协议，可以穿过代理服务器、防火墙和NAT路由器。这种SSTP只适用于远程访问，不能支持网络互联VPN。(4)IKEv2采用IPSec隧道模式。它实现VPNReconnect(重新连接)功能，允许网络中断后，在指定的时间内仍然保留VPN隧道；一旦网络恢复，无需手动发起VPN连接就可以恢复VPN隧道，好像没有中断一样，这对无线移动连接很有用。不过IKEv2仅支持远程访问。06.网络服务器的VPN组件VPN的连接过程如下。(1)VPN客户端向VPN服务器连接Internet的接发送建立VPN连接的请求。(2)VPN服务器接收到VPN客户端建立连接的请求之后，将对VPN客户端的身份进行验证。(3)如果身份验证未通过，则拒绝VPN客户端的连接请求。(4)如果身份验证通过，则允许VPN客户端建立VPN连接，并为VPN客户端分配一个内部网络的IP地址。(5)VPN客户端将获得的IP地址与VPN连接组件绑定，并使用该地址与内部网络进行通信。06.网络服务器的VPN组件网络服务器的VPN组件07.VPN服务器配置环境VPN服务器是核心组件，可以配置VPN服务器以提供对整个网络的访问或只限制访问VPN服务器本身的资源。本例中VPN服务器安装的网络操作系统为WindowsServer2016。VPN客户端可以是使用VPN连接的远程用户，也可以是使用VPN连接的远程路由器。本例中VPN客户端上安装的操作系统是Windows10。07.VPN服务器配置环境VPN服务网络规划图.01.02任务10-1添加“路由和远程访问服务”角色任务10-2配置VPN服务并设置账户允许VPN连接目录10.2项目实施——部署并配置VPN服务器.03任务10-3VPN客户端配置.04任务10-4VPN客户端通过VPN访问内网资源.05任务10-5断开VPN连接任务10-1.添加“路由和远程访问服务”角色1.网络环境设置打开虚拟机，选中Server-1服务器，选择“虚拟机”菜单下的“设置”选项，打开“硬件”对话框，单击“网络适配器”选项，选择下方的“添加按钮”，弹出如图所示对话框，单击“完成”按钮。进入到图虚拟机设置对话框，单击“网络连接”下的“自定义：特定虚拟网络”，单击右侧的下拉箭头，可以看到二个网络连接：VMnet1和VMnet2，并将两个网络适配器与之对应，单击“确定”按钮。(还要将内部资源服务器的网络连接设置为VMnet1，VPN客户端的网络连接设置为VMnet2)任务10-1.添加“路由和远程访问服务”角色根据网络拓扑图中的地址规划情况，将所有设置的地址配置好，为了测试成功，请关闭所有设备的防火墙。VPN服务器、内部资源服务器、VPN客户端三台设备网络地址配置如图所示。任务10-1.添加“路由和远程访问服务”角色2.添加VPN服务器角色打开VPN服务器上“服务器管理器”窗口的“仪表板”，单击“添加角色”链接，打开图所示的“选择服务器角色”窗口，勾选“网络策略和访问服务”和“远程访问”复选框。任务10-1.添加“路由和远程访问服务”角色持续单击“下一步”按钮，显示“角色服务”列表框。将角色服务全部选中，如图所示。任务10-1.添加“路由和远程访问服务”角色持续单击“下一步”按钮，如图IIS角色没有安装过,会提示安装IIS，如图所示。任务10-1.添加“路由和远程访问服务”角色任务10-2.配置VPN服务并设置账户允许VPN连接1.配置VPN服务步骤1在VPN服务器上选择“开始”

“Windows管理工具”

“路由和远程访问”命令，打开图所示的“路由和远程访问”控制台。在“SERVER-1(本地)”侧面有一个红色向下的箭头，说明路由和远程访问并未启用。单击“下一步”按钮，出现“配置”窗口，在该对话框中可以启用相应服务，在此选中“远程访问(拨号或VPN)”单选按钮，如图所示。任务10-2.配置VPN服务并设置账户允许VPN连接单击“下一步”按钮，出现“远程访问”窗口，在该对话框中可以选择创建拨号或VPN远程访问连接，在此勾选“VPN”复选框，如图所示。任务10-2.配置VPN服务并设置账户允许VPN连接单击“下一步”按钮，出现“VPN连接”窗口，在该对话框中选择连接到Internet的网络接口，在此选择“Ethernet1”连接接口，如图所示。任务10-2.配置VPN服务并设置账户允许VPN连接单击“下一步”按钮，出现“IP地址分配”窗口，在该对话框中可以设置分配给VPN客户端计算机的IP地址从DHCP服务器获取或是指定一个地址范围，在此选中“来自一个指定的地址范围”单选按钮，如图所示。任务10-2.配置VPN服务并设置账户允许VPN连接单击“下一步”按钮，出现“地址范围分配”窗口，在该对话框中指定VPN客户端计算机在内网中IP地址范围,如图所示。任务10-2.配置VPN服务并设置账户允许VPN连接单击新建“按钮”，出现“新建IPV4地址范围”对话框在，在“起始IP地址”文本柜中输入“”，在“结束IP地址”文本框中输入“00”,如图所示，然后单击“确定”按钮即可。任务10-2.配置VPN服务并设置账户允许VPN连接返回到“地址范围分配”对话框，可以看到已经指定了一段IP地址范围，如图所示。任务10-2.配置VPN服务并设置账户允许VPN连接单击“下一步”按钮，出现“管理多个远程访问服务器”窗口。在该对话框中可以指定身份验证的方法是路由和远程访问服务器还是RADIUS服务器，在此选中“否，使用路由和远程访问来对连接请求进行身份验证”单选按钮，如图所示。任务10-2.配置VPN服务并设置账户允许VPN连接单击“下一步”按钮，出现“摘要”窗口，在该对话框中显示了之前步骤所设置的信息。单击“完成”按钮，最后连接单击“确定”按钮，服务启动成功，如图所示。任务10-2.配置VPN服务并设置账户允许VPN连接2.设置用户允许VPN连接在VPN服务器上单击“开始”

“Windows管理工具”，双击“计算机管理”，右击选择“用户”选项，选择“属性”，打开“属性”对话框，如图所示。任务10-2.配置VPN服务并设置账户允许VPN连接选择“拨入”选项，在网络访问权限列表中选择“允许访问”单元框，如图所示，单击“确定”按钮。任务10-2.配置VPN服务并设置账户允许VPN连接任务10-3.VPN客户端配置1.在VPN客户端建立VPN连接在VPN客户端计算机Client-1上，打开“控制面板”

“网络和Internet设置”

“网络和共享中心”命令，打开图所示的“网络和共享中心”窗口。单击“设置新的连接或网络”按钮，打开“设置连接或网络”对话框，选择“连接到工作区”选项，如图所示。任务10-3.VPN客户端配置单击“下一步”按钮，出现“你希望如何连接?”对话框，单击“使用我的Internet连接(VPN)”选项，如图所示。任务10-3.VPN客户端配置出现“你想在继续之前设置Internet连接吗?”对话框，在该对话框单击“我将稍后设置Internet连接”选项，如图所示。任务10-3.VPN客户端配置接着出现图所示的“键入要连接的Internet地址”对话框，在“Internet地址”文本框中输入VPN服务器的外网网卡IP地址“”,并设置目标名称为“VPN连接”。单击“创建”按钮创建VPN连接任务10-3.VPN客户端配置2.在VPN客户端设置VPN连接在VPN客户端上用鼠标右键单击“开始”菜单，在弹出的快捷菜单中单击“网络连接”

“VPN”，打开如图所示VPN连接界面。任务10-3.VPN客户端配置单击“连接”按钮，打开图所示的对话框。在该对话框中输入允许VPN连接的账户和密码，在此使用账户“administrator”建立连接。任务10-3.VPN客户端配置单击“确定”按钮后，如果账户密码正确就会显示连接成功，如图所示。任务10-3.VPN客户端配置3.在VPN客户端验证VPN连接查看VPN客户机获取到的IP地址。在VPN客户端计算机Client-1上，打开命令提示符，使用命令“ipconfig”查看IP地址信息，如图所示，可以看到VPN连接获得的IP地址为“”。任务10-3.VPN客户端配置先后输入命令“ping”和“ping”测试VPN客户端计算机和VPN服务器以及内网计算机的连通性，但这时使用命令“ping”是不成功的，如图所示。任务10-3.VPN客户端配置4.在VPN服务器验证VPN连接打开VPN服务器的“路由和远程访问”控制台树，展开服务器节点，单击“远程访问客户端(1)”选项，在控制台右侧界面中显示连接时间以及连接的账户，这表明已经有一个客户端建立了VPN连接，如图所示。任务10-3.VPN客户端配置单击“端口”选项，在控制台右侧界面中可以看到其中一个端口的状态是“活动”，表明有客户端连接到VPN服务器，如图所示。任务10-3.VPN客户端配置双击该活动端口，打开“端口状态”对话框，在该对话框中显示连接时间、用户以及分配给VPN客户端计算机的IP地址，