配置windows作为远程访问SSL.docx
- 文档编号:28811221
- 上传时间:2023-07-19
- 格式:DOCX
- 页数:4
- 大小:49.25KB
配置windows作为远程访问SSL.docx
《配置windows作为远程访问SSL.docx》由会员分享,可在线阅读,更多相关《配置windows作为远程访问SSL.docx(4页珍藏版)》请在冰豆网上搜索。
配置windows作为远程访问SSL
配置windows2008作为远程访问SSL-VPN服务器系列之一
一、新的协议SSTP的支持及介绍
随着windowsserver2008的发布,相信新的功能和特性让ITPRO们兴奋不已,在新的功能中,SSTP协议支持让通过WINDOWS2008进行SSL-VPN访问成为了可能。
SSTP是微软提供的新一代的虚拟专用网(VPN)技术,它的全称是安全套接层隧道协议(SecureSocketTunnelingProtocol;sstp),和PPTPL2TPOVERIPsec一样,也是微软所提供的VPN技术。
在拥有最大弹性发挥的同时,又确保信息安全达到了一定程度。
目前,支持SSTP技术的仅限于如下OS:
WindowsXPSp3、WindowsVistaSp1以及Windows2008。
通使用此项新技术,可以使防火墙管理员能更容易的配置策略使SSTP流量通过其防火墙。
它提供了一种机制,将PPP数据包封装在HTTPS的SSL通讯中,从而使PPP支持更加安全身份验方法,如EAP-TLS等。
二、PPTP及L2TPOVERIPSEC在使用过程中的不足
新的SSTP协议的支持,并没有完全否决PPTP及L2TPOVERIPSEC在微软产品所组成的解决方案中的作用,当企业使用基于WINDOWS平台的VPN解决方案时,这种协议仍是被常用来解决或是提升企业网络安全性。
但两者的数据包通过防火墙、NAT、WEBPROXY时却都有可能发生一些连线方面的问题。
PPTP数据包通过防火墙时,防火墙需被设定成同时充许TCP连接以及GRE封装的数据通过,但大部分ISP都会阻止这种封包,从而造成连线的问题;而当你的机器位于NAT之后,NAT亦必需被设定成能转发GRE协议封装的数据包。
否则就会造成只能建立PPTP的TCP连接,而无法接收GRE协议封装的数据包;WEBPROXY是不支持PPTP协议的。
L2TPOVERIPSEC的情况和此类似,需要在防火墙上充许IKE数据和ESP封装的数据同时通过,否则也会出现连接问题。
且WEBPROXY也是不支持L2TPOVERIPSEC协议的。
三、SSTP的执行过程
上面简要介绍了SSTP协议的优势以及PPTP等之前两种协议的不足,下面就来说下XPWITHSP3或是VISTAWITHSP1等客户端是如何连接到WINDOWS2008SSL(SSTP)VPN服务器的:
1、SSTPVPN客户端以随机的TCP端口建立TCP连接至SSTPVPN服务器(常常是SSTPVPN网关服务器)上的TCP443端口。
2、SSTPVPN客户端发送一个SSL“Client-Hello”消息给SSTPVPN服务器,表明想与此建立一个SSL会话。
3、SSTPVPN服务器发送“其机器证书”至SSTPVPN客户端。
4、SSTPVPN客户端验证机器证书,决定SSL会话的加密方法,并产生一个以SSTPVPN服务器公钥加密的SSL会话密钥,然后发送给SSTPVPN服务器。
5、SSTPVPN服务器使用此机器证书私钥来解密收到的加密的SSL会话,之后两者之间所有的通讯都以协商的加密方法和SSL会话密钥进行加密。
6、SSTPVPN客户端发送一个基于SSL的HTTP(HTTPS)请求至SSTPVPN服务器。
7、SSTPVPN客户端与SSTPVPN服务器协商SSTP隧道。
8、SSTPVPN客户端与SSTPVPN服务器协商包含“使用PPP验证方法验(或EAP验证方法)证使用者证书以及进行IPV4或IPV6通讯”的PPP连接。
9、SSTPVPN客户端开始发送基于PPP连接的IPV4或IPV6通讯流量(数据)。
四、SSTPVPN服务器环境搭建及说明
测试环境较为简单,三台机器完成全部操作,其中两台是WINDOWSSERVER2008企业版,一台是带有SP1的VISTA。
注意,这其中会涉及到公有DNS解析问题,在本试验中,以HOSTS文件中写入相关信息代替。
网络拓朴及详细说明如下:
1、图中WIN2K8DC是一台windows2008域制器,名为。
充当DC、CA(企业根)、FILESERVER角色。
IPAdd:
10.0.0.2/24
Gw:
10.0.0.1
DNS:
10.0.0.2
2、图中RRAS是一台windows2008服务器,域成员,充当RRAS、IIS服务器。
两块网卡。
NEI网卡IPAdd:
10.0.0.1/24
DNS:
10.0.0.2
WAI网卡IPAdd:
166.111.8.2/24
DNS:
10.0.0.2(真实环境中这块网卡是有网关和公有DNS的)
3、图中VISTA是一台带有SP1的VISTA手脑电脑,位于INTERNET上的任一位置。
IPAdd:
166.111.8.1/24
整个网络拓朴中的机器角色是通过HYPER-V上安装虚拟机器完成。
实际生产环境中请按角色归位。
整个实验执行流程如下:
A、在WIN2K8DC升级域控,安装CA角色(企业根)
B、在RRAS这台机器上安装RRAS(VPN,NAT)、IIS角色,并能发布位于DC上的CAURL。
同时为本机申请证书。
C、在VISTA机器上,建立SSLVPN连线至VPN服务器。
(在此机器上写HOSTS文件相关DNS域名解析结果)
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 配置 windows 作为 远程 访问 SSL