一步一步实现企业网络架构之七:配置×××服务器

最新推荐文章于 2024-07-04 21:04:17 发布

weixin_34168880

最新推荐文章于 2024-07-04 21:04:17 发布

阅读量137

点赞数

文章标签：操作系统网络

原文链接：http://blog.51cto.com/lgzeng2360/61139

版权

7.1 远程访问概述

通过将“路由和远程访问”配置为远程访问服务器，可以将远程或移动工作人员连接到组织网络上。远程用户可以像计算机物理地连接到网络上一样工作。

用户运行远程访问软件，并初始化到远程访问服务器上的连接。远程访问服务器，即运行“路由和远程访问”的服务器，会始终验证用户和服务会话，直到用户或网络管理员将其终止为止。那些在一般情况下适用于 LAN 连接用户的所有服务（包括文件和打印共享、Web 服务器访问和消息）均通过远程访问连接启用。

远程访问客户端使用标准工具来访问资源。例如，在运行“路由和远程访问”的服务器上，客户端可以使用 Windows 资源管理器来进行驱动器连接，并连接到打印机上。连接是持久的：在远程会话期间，用户不需要重新连接到网络资源上。因为对于驱动器标识字母和通用命名约定 (UNC) 所命名的名字，远程访问都支持，所以大多数商业和自定义应用程序不许要修改就可以使用。

运行“路由和远程访问”的服务器可以提供两个不同类型的远程访问连接。

拨号网络（dial-up network）通过使用远程通信提供商（例如模拟电话、ISDN 或 X.25）提供的服务，远程客户端使用非永久的拨号连接到远程访问服务器的物理端口上，这时使用的网络就是拨号网络。拨号网络的最佳范例是拨号网络客户端使用拨号网络拨打远程访问服务器某个端口的电话号码。
模拟电话线上或 ISDN 的拨号网络，是拨号网络客户端和拨号网络服务器之间的直接的物理连接。可以加密通过该连接发送的数据，但并不要求一定这样做。
虚拟专用网（×××—virtual private network）虚拟专用网是穿越专用网络或公用网络（如 Internet）的、安全的、点对点连接的产物。虚拟专用网客户端使用特定的，称为隧道协议的基于 TCP/IP 的协议，来对虚拟专用网服务器的虚拟端口进行依次虚拟呼叫。虚拟专用网的最佳范例是，虚拟网络客户端使用虚拟专用网连接连接到与 Internet 相连的远程访问服务器上。远程访问服务器应答虚拟呼叫，验证呼叫方身份，并在虚拟专用网客户端和企业网络之间传送数据。
与拨号网络相比，虚拟专用网始终是通过公用网络（如 Internet）在虚拟专用网客户端和虚拟专用网服务器之间的一种逻辑的、非直接的连接。要保证隐私权，必须加密在连接上传送的数据。

7.2 ×××概述

随着网络，尤其是网络经济的发展，企业规模日益扩大，客户分布日益广泛，合作伙伴日益增多，在这种情况下，传统企业网基于定地点的专线连接方式，已难以适应现代企业的需求。于是企业在自身的灵活性、安全性、经济性、扩展性等方面提出了更高的要求。虚拟专用网（×××）以其独具特色的优势，赢得了了越来越多的企业的青睐。

有研究机构表明，如果企业采用×××替代租用DDN专线，其整个网络成本可节约21%—45%，若替代拨号连网方式，可节约通信成本上50%—80%，×××的优势显而易见。

虚拟专用网（×××）代表了当今网络发展的新趋势，它综合了传统数据网络的性能优点（安全和Qos）和共享数据网络结构的优点（简单和低成本），能够提供远程访问，内外网的连接，在降低成本的同时满足了对网络带宽、接入和服务不断增加的需求，因此，×××必将成为未来企业传输业务的主要工具。

在Windows server 2003中，我们可以使用“路由和远程访问”以配置 ××× 服务器、查看已连接的用户及监视远程访问通信。

对于从 Internet 上访问虚拟专用网，通常情况下，服务器具有到 Internet 的永久性连接。如果 Internet 服务提供商 (ISP) 支持请求拨号连接，则可能存在到 Internet 上的非永久性连接；在将通信传递给 ××× 服务器时创建连接。然而，这不是常规配置。如果 ××× 服务商提供对网络的访问，则必须安装独立的网络适配器，并将其连接到 ××× 服务器提供访问的网络上。

在 Windows Server 2003 Web Edition 和 Windows Server 2003 Standard Edition 上，您最多可以创建 1,000 个点对点隧道协议 (PPTP) 端口，最多可以创建 1,000 个两层隧道协议 (L2TP) 端口。但是，Windows Server 2003 Web Edition 一次只能接收一个虚拟专用网 (×××) 连接。而Windows Server 2003 Standard Edition 最多可以接受 1,000 个并发的 ××× 连接。如果已经连接了 1,000 个 ××× 客户端，则其他连接尝试将被拒绝，直到连接数目低于 1,000 为止。

7.2.1 ×××的组件<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

一个虚拟专用网包括以下组件：

虚拟专用网 (×××) 服务器 可以配置 ××× 服务器以提供对整个网络的访问，或限制仅可访问作为 ××× 服务器的计算机的资源
××× 客户端 ××× 客户端是获得远程访问 ××× 连接的个人用户或获得路由器到路由器 ××× 连接的路由器。运行 Windows Server 2003 家族产品、 Windows XP 、 Windows 2000 、 Windows NT 4.0 、 Windows 95 、 Windows 98 或 Windows Millennium Edition 的 ××× 客户端可以创建到 ××× 服务器的远程访问 ××× 连接。运行 Windows Server 2003 家族产品、 Windows 2000 和 “ 路由和远程访问 ” 或 Windows NT Server 4.0 和 “ 路由和远程访问服务 (RRAS)” 的计算机可创建路由器到路由器的 ××× 连接。 ××× 客户端也可以是任何点对点隧道协议 (PPTP) 客户端或使用 Internet 协议安全性 (IPSec) 的第二层隧道协议 (L2TP) 客户端。
LAN 和远程访问协议 应用程序使用 LAN 协议传输信息。远程访问协议用于协商连接，并为通过广域网 (WAN) 链接发送的 LAN 协议数据提供组帧。 “ 路由和远程访问 ” 支持 PPP 远程访问协议。 Windows Server 2003 Datacenter Edition 、 Windows Server 2003 Enterprise Edition 、 Windows Server 2003 Web Edition 和 Windows Server 2003 Standard Edition 都支持诸如 TCP/IP 和 AppleTalk 的 LAN 协议，用这些协议可以访问 Internet 、 UNIX 、 Apple Macintosh 和 Novell NetWare 资源。
隧道协议 ××× 客户端通过使用 PPTP 或 L2TP 隧道协议，可创建到 ××× 服务器的安全连接。
WAN 选项通过使用诸如 T1 和 “ 帧中继 ” 的永久性 WAN 连接，将 ××× 服务器连接到 Internet 。通过使用永久性 WAN 连接，或拨入（使用标准模拟电话线或 ISDN ）到本地 Internet 服务提供商 (ISP) ，将 ××× 服务器连接到 Internet 。
安全选项 “ 路由和远程访问 ” 通过支持登录和域安全，以及对安全主机、数据加密、智能卡、 IP 数据包筛选和呼叫器 ID 的支持来为 ××× 客户端提供安全网络访问。

<?xml:namespace prefix = st1 ns = "urn:schemas-microsoft-com:office:smarttags" />7.2.2 ×××隧道协议

××× 的隧道协议包含：

点对点隧道协议 PPTP 是点对点协议 (PPP) 的扩展，并协调使用 PPP 的身份验证、压缩和加密机制。 PPTP 的客户端支持内置于 Windows XP 远程访问客户端。其是在 Windows NT 4.0 和 Windows 98 中首次被支持的隧道协议。
PPTP 的 ××× 服务器支持内置于 Windows Server 2003 家族的成员。 PPTP 与 TCP/IP 协议一同安装。根据运行 “ 路由和远程访问服务器安装向导 ” 时所做的选择， PPTP 可以配置为 5 个或 128 个 PPTP 端口。
PPTP 和 Microsoft“ 点对点加密 (MPPE)” 提供了对专用数据封装和加密的主要 ××× 服务。
第二层隧道协议 第二层隧道协议 (L2TP) 是基于 RFC 的隧道协议，该协议是一种业内标准，首次是在 Windows 2000 客户端和服务器操作系统中所支持。与 PPTP 不同，运行 Windows Server 2003 的服务器上的 L2TP 不利用 Microsoft 点对点加密 (MPPE) 来加密点对点协议 (PPP) 数据报。 L2TP 依赖于加密服务的 Internet 协议安全性 (IPSec) 。 L2TP 和 IPSec 的组合被称为 L2TP/IPSec 。 L2TP/IPSec 提供专用数据的封装和加密的主要虚拟专用网 (×××) 服务。
××× 客户端和 ××× 服务器必须支持 L2TP 和 IPSec 。 L2TP 的客户端支持内置于 Windows XP 远程访问客户端，而 L2TP 的 ××× 服务器支持内置于 Windows Server 2003 家族的成员。

7.2.3 ×××连接

××× 通过 Internet 而不是通过直接的拨号连接，来提供安全的远程访问。 ××× 客户机利用专用网络上的一个 ××× 网关，采用 IP 互联网来创建加密的、虚拟的、点对点连接。

通常，用户通过因特网服务提供商（ ISP — Internet service provider ）连接到因特网，然后再创建一个到 ××× 网关的连接。按照这种方式来使用因特网，公司就可以降低他们的长途话费，可以依赖现有的网络基础，而不用再重新建立他们的基础结构。

××× 协议将数据包封装进 PPP 数据包。远程访问服务器执行所有的安全性检查及核实，并且利用数据加密功能，这样使得通过不安全的网络（如因特网）发送数据也是比较安全的。

7.2.4 客户机IP地址的分配方式

当你通过配置 ××× ，使之让客户使用拨号网络连接到公司网络时， ××× 服务器会为自己和客户均重新分配一个用于通信的 IP 地址。

你可以选择下列选项中的一种，来确定客户机接收 IP 地址的方式。

静态的 IP 地址（ Static IP Address ）由管理员在用户的“拨入”属性中进行手动的设置。你需要保证该 IP 地址对于客户的网络连接是有效的，并且保证没有其它客户机使用了这个相同的地址。鉴于此，建议对于拨叼网络不使用静态的 IP 地址。
来自一个 IP 地址范围（ From a Range of IP Addresses ）由管理员在 ××× 服务器中添加一个有足够数目并可供分配的 IP 地址范围。
从 DHCP 服务器获取（ From the DHCP Server ） ××× 服务器可以从网络中某个 DHCP 服务器获取 IP 地址，默认的情况下每次会从 DHCP 服务器处获取 10 个地址，并总是把第一个 IP 地址分配给自己，其余的 IP 地址分配给远程拨入用户。当用完了这 10 个 IP 后， ××× 服务器会再从 DHCP 服务器处获取 10 个 IP 地址以分配给拨入的客户。