通过 Windows Server 2003 建立虚拟专用网络： 示例部署

简介

本白皮书介绍如何使用 Windows Server 2003 和 Windows XP 操作系统，为一家虚构的公司配置常见的虚拟专用网络。虽然您的网络配置可能与这里描述的配置有所不同，但是您仍可在网络环境中应用虚拟专用网络的一些基本概念。

同时使用公用和专用网络创建的网络连接称为虚拟专用网络 (VPN)。VPN 是专用网络的扩展（包含共享或公用网络（如：Internet）上的链接）。借助 VPN，用户可以通过模拟点对点专用链接的方式，在共享或公用网络上的两台计算机间发送数据。建立虚拟专用网络即创建并配置虚拟专用网络。

为了模拟点对点链接，数据将随提供路由信息（允许数据遍历共享或公用网络以到达端点）的标头一起封装或包装。为了模拟专用链接，数据将被加密以实现机密性。如果没有加密密钥，将无法破译共享或公用网络上截获的数据包。封装并加密专用数据的链接即为 VPN 连接。

Electronic, Inc. 是一家虚构的电子产品设计和制造公司，总部设在纽约，其分公司和分销商业合作伙伴遍布美国各地。Electronic, Inc. 已经实施了一个 VPN 解决方案，使用 Windows Server 2003 来连接远程访问用户、分公司和商业合作伙伴。

公司总部的 VPN 服务器同时提供了远程访问以及站点到站点（也称为路由器到路由器）点对点隧道协议 (PPTP) 和结合 Internet 协议安全的第二层隧道协议 (L2TP/IPSec) VPN 连接。此外，VPN 服务器还对 Intranet and Internet 位置提供了数据包的路由。

根据 VPN 服务器的常规配置，介绍了下列 VPN 配置：

注意：此处列举的公司、组织、产品、人员和事件均属虚构。不应与真实的公司、组织、产品、人员或事件相联系，也不应随意推测。

返回页首

VPN 服务器的常规配置

为了对 Electronic, Inc. 部署一个 VPN 解决方案，网络管理员针对下列几个方面进行了分析，并制定了设计决策：

网络配置

网络配置的要素有：

图 1 显示了 Electronic, Inc. VPN 服务器的网络配置。

图 1：Electronic, Inc. VPN 服务器的网络配置
查看大图。

基于 Electronic, Inc. 总公司 Intranet 的网络配置，VPN 服务器的配置如下：

远程访问策略配置

Electronic, Inc. 正在使用纯模式 Active Directory 域，而且 Electronic, Inc. 的网络管理员已经决定采用按组访问的管理模式。所有用户帐户的远程访问权限都被设为“通过远程访问策略控制访问”。对连接尝试的远程访问授权由首个匹配的远程访问策略上的远程访问权限设置来控制。远程访问策略用于根据组成员身份，应用不同的 VPN 连接设置。

有关详细信息，请参阅 Windows Server 2003“帮助和支持”中的“远程访问策略介绍”主题。

域配置

为了能对不同类型的 VPN 连接应用不同的连接设置，创建了下列 Active Directory 组：

注意：在此示例部署中，所有用户和组都创建于 electronic.example.com Active Directory 域中。

安全配置

为了启用 L2TP/IPSec 连接，让远程访问客户端使用智能卡，并让路由器使用 EAP-TLS，Electronic, Inc. 域被配置为对所有域成员自动注册计算机证书。

有关详细信息，请在 Windows Server 2003“帮助和支持”中参阅名为“清单：配置证书自动注册”的主题。

返回页首

员工的 VPN 远程访问

根据本文的“VPN 服务器的常规配置”一节中提供的设置以及下列一些其他设置，使用 Internet 上的远程访问 VPN 连接，对 Electronic, Inc. 的员工部署了远程访问。

图 2 显示了提供远程访问 VPN 连接的 Electronic, Inc. VPN 服务器。

图 2：提供远程访问 VPN 连接的 Electronic, Inc. VPN 服务器
查看大图。

域配置

对于得到 VPN 访问许可的每位员工：

远程访问策略配置

为了对远程访问 VPN 客户端定义身份验证和加密设置，创建了下列常见的远程访问策略：

基于 PPTP 的远程访问客户端配置

在 Windows XP 远程访问客户端计算机上，使用“新建连接向导”创建带有如下设置的 VPN 连接：

基于 L2TP/IPSec 的远程访问客户端配置

远程访问计算机使用一个到 Electronic, Inc. Intranet 的局域网 (LAN) 连接，登录 Electronic, Inc. 域，并通过自动注册接收计算机证书。然后，使用“新建连接向导”创建带有下列设置的 VPN 连接：

在“连接 Electronic, Inc.”对话框中，单击“属性”，然后单击“网络”选项卡。

在“网络”选项卡上，“VPN 类型”被设为“L2TP/IPSec VPN”。当“VPN 类型”被设为“自动”时，将先尝试建立 PPTP 连接。在这种情况下，Electronic, Inc. 的网络管理员不想让可建立 L2TP/IPSec 连接的远程访问客户端使用 PPTP。

返回页首

按需的分公司连接

Electronic, Inc. 的波特兰和达拉斯分公司使用按需的站点到站点 VPN 连接，连接到总公司。波特兰和达拉斯分公司都只有一小部分员工需要偶尔连接到总公司。波特兰和达拉斯分公司的 Window Server 2003 路由器配有一台 ISDN 适配器，可呼叫当地的 Internet 服务提供商以获得 Internet 的访问权，然后在 Internet 上建立站点到站点 VPN 连接。当 VPN 连接闲置达五分钟时，分公司的路由器将中断 VPN 连接。

达拉斯分公司使用的 IP 网络 ID 为 192.168.28.0，子网掩码为 255.255.255.0 (192.168.28.0/24)。波特兰分公司使用的 IP 网络 ID 为 192.168.4.0，子网掩码为 255.255.255.0 (192.168.4.0/24)。

为了简化连接，VPN 连接为单向启动的连接，通常由分公司路由器启动。有关详细信息，请在 Windows Server 2003“帮助和支持”中参阅名为“单向启动的请求拨号连接”的主题。

图 3 显示了提供按需的分公司连接的 Electronic, Inc. VPN 服务器。

图 3：提供按需的分公司连接的 Electronic, Inc. VPN 服务器
查看大图。

为了根据本文的“VPN 服务器的常规配置”一节所提供的设置，部署按需的站点到站点 VPN 连接，以将波特兰和达拉斯分公司连接到总公司，配置了如下这些附加的设置。

域配置

对于到达拉斯分公司的 VPN 连接，通过下列设置创建了用户帐户 VPN_Dallas：

对于到波特兰分公司的 VPN 连接，通过下列设置创建了用户帐户 VPN_Portland：

远程访问策略配置

为了对 VPN 路由器定义身份验证和加密设置，创建了如下远程访问策略：

下面几节介绍了达拉斯分公司中基于 PPTP 的按需的分公司连接，以及波特兰分公司中基于 L2TP/IPSec 的按需的分公司连接。

基于 PPTP 的按需的分公司连接

达拉斯分公司属于基于 PPTP 的分公司，使用一台 Windows Server 2003 路由器，根据需要与纽约的 VPN 服务器创建按需的站点到站点 VPN 连接。连接建立后，如果闲置达五分钟，将中断该连接。

为了根据本文的“VPN 服务器的常规配置”和“按需的分公司连接”章节所提供的设置，部署到总公司的基于 PPTP 的单向启动的按需的站点到站点 VPN 连接，在达拉斯路由器上配置了如下设置。

到 ISP 连接的请求拨号接口

为了通过当地 ISP 将达拉斯分公司的路由器连接到 Internet，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

若要运行“请求拨号接口”向导，右键单击“网络接口”，然后单击“新建请求拨号接口”。

站点到站点 VPN 连接的请求拨号接口

为了使用 Internet 上的站点到站点 VPN 连接将达拉斯分公司的路由器连接到 VPN 服务器，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

基于 L2TP/IPSec 的按需的分公司连接

波特兰分公司属于基于 L2TP/IPSec 的分公司，使用一台 Windows Server 2003 路由器，根据需要与纽约的 VPN 服务器创建按需的站点到站点 VPN 连接。连接建立后，如果闲置达五分钟，将中断该连接。

为了根据本文的“VPN 服务器的常规配置”和“按需的分公司连接”章节所提供的设置，部署到总公司的基于 L2TP/IPSec 的单向启动的按需的站点到站点 VPN 连接，在波特兰路由器上配置了如下设置：

证书配置

波特兰的路由器原先由 Electronic, Inc. 的网络管理员配置。那时，该路由器与 Electronic, Inc. Intranet 建立了物理连接，随后被送往波特兰网站。波特兰路由器在连接到 Electronic, Inc. Intranet 时，通过自动注册安装了一个计算机证书。

到 ISP 连接的请求拨号接口

为了通过当地 ISP 将波特兰分公司的路由器连接到 Internet，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

站点到站点 VPN 连接的请求拨号接口

为了使用 Internet 上的站点到站点 VPN 连接，将波特兰分公司的路由器连接到 VPN 服务器，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

返回页首

持续的分公司连接

芝加哥和菲尼克斯分公司使用每天 24 小时都保持连接的持续的站点到站点 VPN 连接，与总公司建立了连接。芝加哥和菲尼克斯分公司处的 Windows Server 2003 路由器配有 T1 WAN 适配器，与当地的 Internet 服务提供商建立了持续连接，以访问 Internet。

芝加哥分公司使用的 IP 网络 ID 为 192.168.9.0，子网掩码为 255.255.255.0 (192.168.9.0/24)。芝加哥分公司路由器对其 Internet 接口使用的公共 IP 地址为 131.107.0.1。菲尼克斯分公司使用的 IP 网络 ID 为 192.168.14.0，子网掩码为 255.255.255.0 (192.168.14.0/24)。菲尼克斯分公司路由器对其 Internet 接口使用的公共 IP 地址为 159.60.0.1。

所采用的 VPN 连接为双向启动的连接。由分公司路由器或 VPN 服务器启动连接。双向启动的连接要求在该连接两头的路由器上，创建请求拨号接口、远程访问策略、IP 地址池和数据包筛选器。

图 4 显示了提供持续的分公司连接的 Electronic, Inc. VPN 服务器。

图 4：提供持续的分公司连接的 Electronic, Inc. VPN 服务器
查看大图。

为了根据本文的“VPN 服务器的常规配置”一节所提供的设置，部署持续的站点到站点 VPN 连接，以将芝加哥和菲尼克斯分公司连接到总公司，配置了如下这些附加的设置。

域配置

对于由芝加哥路由器启动的芝加哥分公司的 VPN 连接，通过下列设置创建了用户帐户 VPN_Chicago：

对于由菲尼克斯路由器启动的菲尼克斯分公司的 VPN 连接，通过下列设置创建了用户帐户 VPN_Phoenix：

对于由 VPN 服务器启动的芝加哥分公司和菲尼克斯分公司的 VPN 连接，通过下列设置创建了用户帐户 VPN_CorpHQ：

远程访问策略配置

必须在 VPN 服务器以及位于芝加哥和菲尼克斯的路由器上，配置远程访问策略。

VPN 服务器的远程访问策略配置

VPN 服务器的远程访问策略配置如本文中“按需的分公司连接”一节说明的具体配置。

芝加哥路由器的远程访问策略配置

为了对 VPN 连接定义身份验证和加密设置，删除了名为“如启用拨入权限则允许访问”的默认策略，并创建了如下远程访问策略：

菲尼克斯路由器的远程访问策略配置

为了对 VPN 连接定义身份验证和加密设置，删除了名为“如启用拨入权限则允许访问”的默认策略，并创建了如下远程访问策略：

IP 地址池配置

必须在 VPN 服务器以及位于芝加哥和菲尼克斯的路由器上，配置 IP 地址池。

VPN 服务器的 IP 地址池配置

VPN 服务器的 IP 地址池配置如本文中“VPN 服务器的常规配置”一节说明的具体配置。

芝加哥路由器的 IP 地址池配置

配置了起始 IP 地址为 192.168.9.248、结束 IP 地址为 192.168.9.253 的静态 IP 地址池。这样最多可为五个 VPN 客户端创建一个静态地址池。

有关详细信息，请在 Windows Server 2003“帮助和支持”中参阅名为“创建静态 IP 地址池”的主题。

菲尼克斯路由器的 IP 地址池配置

配置了起始 IP 地址为 192.168.14.248、结束 IP 地址为 192.168.14.253 的静态 IP 地址池。这样最多可为五个 VPN 客户端创建一个静态地址池。

有关详细信息，请在 Windows Server 2003“帮助和支持”中参阅名为“创建静态 IP 地址池”的主题。

下面几节介绍了针对芝加哥分公司的基于 PPTP 的持续的分公司连接，以及针对菲尼克斯分公司的基于 L2TP/IPSec 的持续的分公司连接。

基于 PPTP 的持续的分公司连接

芝加哥分公司属于基于 PPTP 的分公司，使用一台 Windows Server 2003 VPN 服务器，根据需要与纽约的 VPN 服务器创建持续的站点到站点 VPN 连接。永不中断该连接，即使在闲置时也是如此。

为了根据本文的“VPN 服务器的常规配置”和“持续的分公司连接”章节所提供的设置，部署到总公司的基于 PPTP 的双向启动的持续的站点到站点 VPN 连接，在 VPN 服务器和芝加哥路由器上配置了如下设置。

VPN 服务器配置

对 VPN 服务器配置了一个请求拨号接口、一些静态路由和一些 PPTP 数据包筛选器。

站点到站点 VPN 连接的请求拨号接口

为了使用 Internet 上的站点到站点 VPN 连接将 VPN 服务器连接到芝加哥分公司的路由器，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

创建完请求拨号接口后，就进行了如下更改：

芝加哥路由器配置

对芝加哥路由器配置了一个请求拨号接口和一些静态路由。

站点到站点 VPN 连接的请求拨号接口

为了使用 Internet 上的站点到站点 VPN 连接将芝加哥分公司的路由器连接到 VPN 服务器，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

创建完请求拨号接口后，就进行了如下更改：

Electronic, Inc. VPN 服务器的静态路由

为了使 Internet 上的 Electronic, Inc. VPN 服务器可达，配置了如下静态路由：

注意：由于 WAN 适配器创建了到 ISP 的点对点连接，因此可以为网关输入任何地址。网关地址的一个例子是 0.0.0.0。0.0.0.0 是未指定的 IP 地址。

基于 L2TP/IPSec 的持续的分公司连接

菲尼克斯分公司属于基于 L2TP/IPSec 的分公司，使用一台 Windows Server 2003 路由器，根据需要与纽约的 VPN 服务器创建持续的站点到站点 VPN 连接。 永不中断该连接，即使在闲置时也是如此。

为了根据本文的“VPN 服务器的常规配置”和“持续的分公司连接”章节所提供的设置，部署到总公司的基于 L2TP/IPSec 的双向启动的持续的站点到站点 VPN 连接，在 VPN 服务器和菲尼克斯路由器上配置了如下设置。

VPN 服务器配置

对 VPN 服务器配置了一个请求拨号接口和一个静态路由。

站点到站点 VPN 连接的请求拨号接口

为了使用 Internet 上的站点到站点 VPN 连接将 VPN 服务器连接到菲尼克斯分公司的路由器，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

创建完请求拨号接口后，就进行了如下更改：

菲尼克斯路由器配置

菲尼克斯的路由器原先由 Electronic, Inc. 的网络管理员配置。那时，该路由器与 Electronic, Inc. Intranet 建立了连接，随后被送往菲尼克斯网站。菲尼克斯路由器在连接到 Electronic, Inc. Intranet 时，通过自动注册安装了一个计算机证书。此外，还对菲尼克斯路由器计算机配置了一个请求拨号接口和一个静态路由。

站点到站点 VPN 连接的请求拨号接口

为了使用 Internet 上的站点到站点 VPN 连接将菲尼克斯分公司的路由器连接到 VPN 服务器，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

创建完请求拨号接口后，就进行了如下更改：

Electronic, Inc. VPN 服务器的静态路由

为了使 Internet 上的 Electronic, Inc. VPN 服务器可达，配置了如下静态路由：

注意：由于 WAN 适配器创建了到 ISP 的点对点连接，因此可以为网关输入任何地址。网关地址的一个例子是 0.0.0.0。0.0.0.0 是未指定的 IP 地址。

返回页首

商业合作伙伴的 Extranet

Electronic, Inc. 的网络管理员已经创建了一个 Extranet。该 Extranet 属于 Electronic, Inc. 专用网络的一部分。商业合作伙伴可通过安全的 VPN 连接访问此专用网络。Electronic, Inc. Extranet 连接到 Electronic, Inc. VPN 服务器，并包含一台文件服务器和一台 Web 服务器。零件分销商 Tasmanian Traders 和 Parnell Aerospace 是 Electronic, Inc. 的商业合作伙伴，他们使用按需的站点到站点 VPN 连接，连接到 Electronic, Inc. Extranet。使用了一个附加的远程访问策略，来确保商业合作伙伴只能访问 Extranet 文件服务器和 Web 服务器。

将 Electronic, Inc. Extranet 上的文件服务器的 IP 地址配置为 172.31.0.10，并把 Web 服务器的 IP 地址配置为 172.31.0.11。Tasmanian Traders 使用的公共网络 ID 为 131.107.254.0，子网掩码为 255.255.255.0。Parnell Aerospace 使用的公共网络 ID 为 131.107.250.0，子网掩码为 255.255.255.0。为了确保 Extranet Web 服务器和文件服务器对商业合作伙伴可达，在文件服务器和 Web 服务器上，对网关地址为 172.31.0.1 的每个商业合作伙伴网络都配置了静态路由。

为了简化配置，VPN 连接采用单向启动模式。通常，由商业合作伙伴的路由器启动连接。有关详细信息，请在 Windows Server 2003“帮助和支持”中参阅名为“单向启动的请求拨号连接”的主题。

图 5 显示了为商业合作伙伴提供 Extranet 连接的 Electronic, Inc. VPN 服务器。

图 5：为商业合作伙伴提供 Extranet 连接的 Electronic, Inc. VPN 服务器
查看大图。

为了根据本文的“VPN 服务器的常规配置”一节所提供的设置，部署针对商业合作伙伴的按需的单向启动的站点到站点 VPN 连接，以将 Tasmanian Traders 和 Parnell Aerospace 连接到 Electronic, Inc. Extranet，配置了如下这些附加的设置。

域配置

对于到 Tasmanian Traders 的 VPN 连接，通过下列设置创建了用户帐户 PTR_Tasmanian：

对于到 Parnell Aerospace 的 VPN 连接，通过下列设置创建了用户帐户 PTR_Parnell：

远程访问策略配置

为了对商业合作伙伴的 VPN 连接定义身份验证和加密设置，创建了如下远程访问策略：

创建完远程访问策略后，就按如下方法修改配置：

输入筛选器：

下面几节介绍了针对商业合作伙伴 Tasmanian Traders 的基于 PPTP 的 Extranet，以及针对商业合作伙伴 Parnell Aerospace 的基于 L2TP/IPSec 的 Extranet。

针对商业合作伙伴的基于 PPTP 的 Extranet

Tasmanian Traders 是 Electronic, Inc. 的商业合作伙伴，使用一台 Windows Server 2003 路由器，根据需要与纽约的 Electronic, Inc. VPN 服务器创建按需的基于 PPTP 的站点到站点 VPN 连接。创建完连接后，如果闲置长达五分钟，就会中断。Tasmanian Traders 路由器使用持续的 WAN 连接，连接到 Internet。

为了根据本文的“VPN 服务器的常规配置”和“商业合作伙伴的 Extranet”章节所提供的设置，部署到总公司的基于 PPTP 的单向启动的按需站点到站点 VPN 连接，在 Tasmanian Traders 路由器上配置了如下设置。

站点到站点 VPN 连接的请求拨号接口

为了使用 Internet 上的站点到站点 VPN 连接将 Tasmanian Traders 路由器连接到 Electronic, Inc. VPN 服务器，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

针对商业合作伙伴的基于 L2TP/IPSec 的 Extranet

Parnell Aerospace 是 Electronic, Inc. 的商业合作伙伴，使用一台 Windows Server 2003 路由器，根据需要与纽约的 Electronic, Inc. VPN 服务器创建按需的基于 L2TP/IPSec 的站点到站点 VPN 连接。创建完连接后，如果闲置长达五分钟，就会中断。Parnell Aerospace 路由器使用持续的 WAN 连接，连接到 Internet。

为了根据本文的“VPN 服务器的常规配置”和“商业合作伙伴的 Extranet”章节所提供的设置，部署到总公司的基于 L2TP/IPSec 的单向启动的按需站点到站点 VPN 连接，在 Parnell Aerospace 路由器上配置了如下设置：

证书配置

Parnell Aerospace 的路由器原先由 Electronic, Inc. 的网络管理员配置。那时，该路由器与 Electronic, Inc. Intranet 建立了连接，随后被送到 Parnell Aerospace 的网络管理员那里。Parnell Aerospace 路由器在连接到 Electronic, Inc. Intranet 时，通过自动注册安装了一个计算机证书。

站点到站点 VPN 连接的请求拨号接口

为了使用 Internet 上的站点到站点 VPN 连接将 Parnell Aerospace 路由器连接到 Electronic, Inc. VPN 服务器，通过“请求拨号接口”向导用下列设置创建了一个请求拨号接口：

返回页首

采用 RADIUS 身份验证的拨号和 VPN 连接

除了基于 VPN 的远程访问外，Electronic, Inc. 的网络管理员还打算为纽约分公司的员工提供基于调制解调器的拨号远程访问。纽约分公司的所有员工都隶属于名为 NY_Employees 的 Active Directory 组。一台运行 Windows Server 2003 的独立远程访问服务器提供了拨号远程访问，连接电话号码为 555-0111。网络管理员将一台运行带有 Internet 验证服务 (IAS) 的 Windows Server 2003 的计算机用为 RADIUS 服务器，而不必分别管理 VPN 服务器和远程访问服务器的远程访问策略。IAS 服务器在 Electronic, Inc. Extranet 上的 IP 地址为 172.31.0.9，并同时为远程访问服务器和 VPN 服务器提供集中式远程访问身份验证、授权和记帐。

图 6 显示了为 VPN 服务器和远程访问服务器提供身份验证和记帐的 Electronic, Inc. RADIUS 服务器。

图 6：为 VPN 服务器和远程访问服务器提供身份验证和记帐的 Electronic, Inc. RADIUS 服务器
查看大图。

域配置

对于纽约分公司中每位得到拨号访问权的员工，将相应用户帐户的拨入属性的远程访问权限设为“通过远程访问策略控制访问”。

远程访问策略配置

必须通过两条途径修改远程访问策略：

复制远程访问策略

一旦将 VPN 服务器配置为使用 RADIUS 身份验证后，就不会再使用 VPN 服务器所保存的远程访问策略。相反，将使用 IAS 服务器所保存的远程访问策略。所以，当前这组远程访问策略将被复制到 IAS 服务器。

有关详细信息，请在 Windows Server 2003“帮助和支持”中参阅名为“将 IAS 配置复制到其他服务器”的主题。

为拨号远程访问客户端创建一个新的远程访问策略

为了对纽约分公司的员工所用的拨号连接定义身份验证和加密设置，在 RADIUS 服务器上创建了如下远程访问策略：

RADIUS 配置

为了配置 RADIUS 身份验证和记帐，Electronic, Inc. 的网络管理员进行了如下配置：

拨号远程访问客户端配置

在 Windows XP 远程访问客户端计算机上，使用“新建连接向导”创建带有如下设置的拨号连接：

返回页首

总结

Electronic, Inc. 使用 Windows Server 2003 和 Windows XP 带有的 VPN 技术，运用 Internet 连接各个远程用户、分公司和商业合作伙伴。Electronic, Inc. 的 Windows Server 2003 VPN 和拨号远程访问服务器（结合 Internet 验证服务）为 VPN 和拨号远程访问解决方案的远程访问策略，提供了集中式身份验证、授权、记帐和管理。