通过 Windows Server 2003 建立虚拟专用网络(1)

·Windows server2003使用指南
·Windows Server2003防木马权限设置
·在Windows server2003下创建软RAID
·最新报道-Windows Server 2003企业版安
·Windows Server 2003 VPN基础（图）
·新版Windows Server 2008 BT种子下载
·Windows Server 2003下DNS架设攻略
·Windows Server 2003 DNS服务安装篇(图
·Windows Server 2008正式包装亮相
·Windows Server 2003中文版

Electronic, Inc. 是一家虚构的电子产品设计和制造公司，总部设在纽约，其分公司和分销商业合作伙伴遍布美国各地。Electronic, Inc. 已经实施了一个 VPN 解决方案，使用 Windows Server 2003 来连接远程访问用户、分公司和商业合作伙伴。 公司总部的 VPN 服务器同时提供了远程访问以及站点到站点（也称为路由器到路由器）点对点隧道协议 (PPTP) 和结合 Internet 协议安全的第二层隧道协议 (L2TP/IPSec) VPN 连接。此外，VPN 服务器还对 Intranet and Internet 位置提供了数据包的路由。

网络配置的要素有：

图 1 显示了 Electronic, Inc. VPN 服务器的网络配置。

图 1：Electronic, Inc. VPN 服务器的网络配置

基于 Electronic, Inc. 总公司 Intranet 的网络配置，VPN 服务器的配置如下：

远程访问策略配置

Electronic, Inc. 正在使用纯模式 Active Directory 域，而且 Electronic, Inc. 的网络管理员已经决定采用按组访问的管理模式。所有用户帐户的远程访问权限都被设为“通过远程访问策略控制访问”。对连接尝试的远程访问授权由首个匹配的远程访问策略上的远程访问权限设置来控制。远程访问策略用于根据组成员身份，应用不同的 VPN 连接设置。

域配置

为了能对不同类型的 VPN 连接应用不同的连接设置，创建了下列 Active Directory 组：

注意：在此示例部署中，所有用户和组都创建于 electronic.example.com Active Directory 域中。

安全配置

为了启用 L2TP/IPSec 连接，让远程访问客户端使用智能卡，并让路由器使用 EAP-TLS，Electronic, Inc. 域被配置为对所有域成员自动注册计算机证书。

--------------------------------------------------------------------------

Electronic, Inc. 的波特兰和达拉斯分公司使用按需的站点到站点 VPN 连接，连接到总公司。波特兰和达拉斯分公司都只有一小部分员工需要偶尔连接到总公司。波特兰和达拉斯分公司的 Window Server 2003 路由器配有一台 ISDN 适配器，可呼叫当地的 Internet 服务提供商以获得 Internet 的访问权，然后在 Internet 上建立站点到站点 VPN 连接。当 VPN 连接闲置达五分钟时，分公司的路由器将中断 VPN 连接。

达拉斯分公司使用的 IP 网络 ID 为 192.168.28.0，子网掩码为 255.255.255.0 (192.168.28.0/24)。波特兰分公司使用的 IP 网络 ID 为 192.168.4.0，子网掩码为 255.255.255.0 (192.168.4.0/24)。

为了简化连接，VPN 连接为单向启动的连接，通常由分公司路由器启动。有关详细信息，请在 Windows Server 2003“帮助和支持”中参阅名为“单向启动的请求拨号连接”的主题。

图 3 显示了提供按需的分公司连接的 Electronic, Inc. VPN 服务器。

图 3：提供按需的分公司连接的 Electronic, Inc. VPN 服务器

域配置

对于到达拉斯分公司的 VPN 连接，通过下列设置创建了用户帐户 VPN_Dallas：

对于到波特兰分公司的 VPN 连接，通过下列设置创建了用户帐户 VPN_Portland：

远程访问策略配置

为了对 VPN 路由器定义身份验证和加密设置，创建了如下远程访问策略：

基于 PPTP 的按需的分公司连接

达拉斯分公司属于基于 PPTP 的分公司，使用一台 Windows Server 2003 路由器，根据需要与纽约的 VPN 服务器创建按需的站点到站点 VPN 连接。连接建立后，如果闲置达五分钟，将中断该连接。

为了根据本文的“VPN 服务器的常规配置”和“按需的分公司连接”章节所提供的设置，部署到总公司的基于 PPTP 的单向启动的按需的站点到站点 VPN 连接，在达拉斯路由器上配置了如下设置。

到 ISP 连接的请求拨号接口

为了通过当地 ISP 将达拉斯分公司的路由器连接到 Internet，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

若要运行“请求拨号接口”向导，右键单击“网络接口”，然后单击“新建请求拨号接口”。

站点到站点 VPN 连接的请求拨号接口

为了使用 Internet 上的站点到站点 VPN 连接将达拉斯分公司的路由器连接到 VPN 服务器，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

基于 L2TP/IPSec 的按需的分公司连接

波特兰分公司属于基于 L2TP/IPSec 的分公司，使用一台 Windows Server 2003 路由器，根据需要与纽约的 VPN 服务器创建按需的站点到站点 VPN 连接。连接建立后，如果闲置达五分钟，将中断该连接。

为了根据本文的“VPN 服务器的常规配置”和“按需的分公司连接”章节所提供的设置，部署到总公司的基于 L2TP/IPSec 的单向启动的按需的站点到站点 VPN 连接，在波特兰路由器上配置了如下设置：

证书配置

波特兰的路由器原先由 Electronic, Inc. 的网络管理员配置。那时，该路由器与 Electronic, Inc. Intranet 建立了物理连接，随后被送往波特兰网站。波特兰路由器在连接到 Electronic, Inc. Intranet 时，通过自动注册安装了一个计算机证书。

到 ISP 连接的请求拨号接口

为了通过当地 ISP 将波特兰分公司的路由器连接到 Internet，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

站点到站点 VPN 连接的请求拨号接口

为了使用 Internet 上的站点到站点 VPN 连接，将波特兰分公司的路由器连接到 VPN 服务器，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

------------------------------------------------------------

或