创建基于L2TP的站点到站点的***连接：ISA2006系列之二十六

最新推荐文章于 2021-04-23 19:43:42 发布

weixin_34242658

最新推荐文章于 2021-04-23 19:43:42 发布

阅读量84

点赞数

本文链接：https://blog.csdn.net/weixin_34242658/article/details/85192317

版权

创建基于 L2TP 的站点间 ***

在上篇博文中我们介绍了如何利用ISA2006创建站点间的***，而且站点间***使用的隧道协议是PPTP，今天我们更进一步，准备在上篇博文的基础上实现基于L2TP的站点间***。L2TP和PPTP相比，增加了对计算机的身份验证，从理论上分析应该比PPTP更安全一些。L2TP验证计算机身份可以使用预共享密钥，也可以使用证书。我们把两种方式都尝试一下，实验拓扑如下图所示，和上篇博文的环境完全一致。

一 使用预共享密钥

使用预共享密钥实现L2TP的过程是是比较简单的，我们在***站点两端的***服务器上配置一个相同的预共享密钥，就可以用于L2TP协议中验证计算机身份。如下图所示，我们在Beijing上定位到“虚拟专用网络”，右键点击远程站点Tianjin，选择“属性”。

我们在远程站点Tianjin的属性中切换到“协议”标签，勾选使用“L2TP/IPSEC”，同时勾选使用预共享密钥，并设置预共享密钥为password。这里的设置会导致beijing拨叫tianjin时，使用预共享密钥password来证明自己的身份。

在“常规***配置”中点击“选择身份验证方法”，如下图所示，勾选“允许L2TP连接自定义IPSEC策略”，并设置预共享密钥为password。这个设置则是告诉beijing，接受***客户端使用预共享密钥验证计算机身份。这样我们分别设置了beijing作为***服务器和***客户端都使用预共享密钥验证计算机身份，至此，Beijing服务器设置完毕。

接下来我们在Tianjin服务器上如法炮制，如下图所示，选择远程站点Beijing的属性。

在远程站点的属性中切换到“协议”标签，如下图所示，选择使用L2TP作为***协议，并配置预共享密钥为password。

然后在“常规***配置”中点击“选择身份验证方法”，如下图所示，勾选“允许L2TP连接自定义IPSEC策略”，并设置预共享密钥为password。至此，Tianjin服务器也设置完毕。

这时我们来看看站点间***配置的成果，如下图所示，在北京内网的Denver上ping天津内网的Istanbul。第一个包没有ping通，这是因为两个ISA服务器正在创建***隧道，接下来的包都可以顺利往返，这证明我们的配置起作用了。

二 使用证书验证

使用证书验证比预共享密钥验证更加安全，只是实现起来要麻烦一些，我们需要有CA的配合。在我们的实验环境中，Denver是一个被所有的实验计算机都信任的CA，Denver的CA类型是独立根。有了CA之后，***服务器需要向CA申请证书以证明自己的身份，由于站点间***中每个***服务器既是服务器又充当客户机角色，因此每个***服务器都需要申请两个证书，一个是服务器证书，一个是客户机证书。

1、在 Beijing 上进行配置

首先我们要先为Beijing申请两个证书，一个是服务器证书，一个是客户机证书。如下图所示，在Beijing上我们在IE中输入[url]http://10.1.1.5/certsrv[/url]，在CA主页中选择“申请一个证书”。