基于RRAS与虚拟专用网技术在Windows中的实现
摘要:RRAS和Windows 虚拟专用网技术不但可以方便的实现远程企业用户同企业内部网络用户之间的安全可靠连接,而且能够以最低的成本确保企业高效的数据传输,因此,通过RRAS和虚拟专用网连接技术在Windows中来实现网络的安全访问能够解决Windows网络面临的一系列安全问题。
关键词:RRAS Windows 虚拟专用网技术 安全 虚拟专用网是公共数据网的一种类型,但可以方便的让企业外地用户直接连接到企业的内部网络。
虚拟专用网可以跨专用网络或公用网络(如Internet)创建安全的点对点连接,极大地降低了企业用户的费用,而且提供了很强的安全性和可用性。
虚拟专用网中采用了一些网络安全机制,如隧道技术、认证技术、加密技术、解密技术以及密钥管理技术等,这些网络安全技术能够确保各种数据在公用网络中传输时不被非法用户获取,即便被窃取也无法读取数据包中的有效信息。
1 构建RRAS服务 RRAS也叫路由和远程访问服务,通过将路由和远程访问配置为充当远程访问服务器,可以将企业的远程工作人员或流动工作人员连接到企业内部网络上,远程用户可以像其计算机物理连接到企业内部网络上一样进行资源共享和数据交换。
虽然现在很多企业网络组建都采用了VPN技术,但是基本上是基于网络硬件设备的,比如锐捷硬件VPN、路由器等,而利用Windows Server 2003内置的RRAS组建VPN网络价格低廉、管理方便、性能良好,而且容易维护。
利用路由和远程访问连接的用户可以使用企业内网的所有服务,其中包括文件服务的共享、企业打印机共享、企业Web服务的访问和邮件服务及数据库服务的访问。
例如,在运行路由和远程访问的服务器上,客户端可以使用Windows资源管理器来建立驱动器连接和连接到打印机。
由于远程访问完全支持驱动器号和统一资源定位器UNC名称,因此连接到企业内网的外部用户的大多数应用程序不必进行修改即可直接使用职称论文。
RRAS是Windows Server 2003的默认Windows组件,其初始状态为停用,因此在构建RRAS之前必须将其激活,只有在RRAS管理控制台中服务器上的箭头变为绿色的向上箭头,才表明此RRAS服务已经被激活,激活状态如下图所示: 2 配置远程访问服务器 2.1 远程访问服务器属性的配置 2.1.1 常规属性设置 在Windows Server 2003的路由和远程访问服务中,可以使该服务器作为一个路由器或者是一个远程访问服务器。
当作为路由器时,它可以作为企业网和因特网之间的一座桥梁,因此可以通过选中远程访问服务器复选框来改变该服务器的角色,使其成为一台VPN服务器。
2.1.2 安全设置 VPN始终是通过公用网络如Internet在VPN客户端与服务器之间建立的逻辑连接。
为了确保隐私安全,必须对通过该连接发送的数据进行加密。
RRAS中的安全信息包括身份验证方法和记账提供程序。
身份验证方法包括默认的Windows身份验证和RADIUS身份验证,服务器通过一系列的验证方法对远程系统进行身份验证。
2.1.3 远程用户IP设置 远程VPN客户必须通过IP地址连接到服务器从而访问企业网络,通过IP设置可以给远程客户机指派IP地址。
一般通过两种方法来指派:第一种是利用企业网络内部的DHCP服务器动态的分配IP地址,另一种方法是指定某个范围的静态地址池,其中启用IP路由可以使远程企业用户访问到此远程访问服务器所连接的整个企业内部网络。
2.2 远程访问服务器端口的配置 在企业网络远程访问过程中,网络设备是建立点到点连接所使用端口的硬件或软件,而端口是用来支持单个点对点连接的设备的信道,在路由和远程访问管理控制台中可以监视和管理各种端口,而且可以更改各端口的配置,例如:对WAN微型端口(PPTP)和(L2TP)的数量的更改。
在WAN微型端口(PPTP)中,远程访问连接(仅入站)是为企业用户启用远程访问,请求拨号路由选择连接(入站和出站)是为企业用户启用请求拨号路由。
2.3 用户拨入的配置 企业远程访问服务器同时也具备域控制器的功能,它是通过Active Directory 用户和计算机来管理企业远程客户的,而它所管理的用户对象属性中存在拨入选项卡,拨入属性可以允许或禁止远程企业用户连接到企业内部服务器上。
其中回拨选项可以为远程用户拨入实现多种不同的功能,当用户拨号到企业RRAS服务器后,只要账户正确就允许与企业网络建立连接,则选择不回拨;当远程企业用户拨入到RRAS服务器后,输入正确的账户,服务器会要求用户输入回拨的电话号码,然后挂断电话,并由服务器对用户进行拨号,为远程用户节省电话费用,则选择由呼叫方设置(仅路由和远程访问服务)。
由于企业的规模各不相同,因此企业内部节点数量和网络带宽等也不同,远程访问服务器可以根据企业自身的状况选择以下三种不同的方式来部署: 2.3.1 单接口VPN服务器。
此时用企业的核心路由器或硬件防火墙负责转发IP数据包到因特网并对外网提供各种服务,企业客户端在呼叫服务器时的地址就是核心路由器或硬件防火墙的公网地址。
2.3.2 双接口VPN服务器。