ISA2004启用VPN系列之二配置客户端计算机以建立 VPN 连接 - 【网络安全技术】 - 我是网管论坛

打印 \| 推荐 \| 订阅 \| 收藏标题: [ISA] ISA2004启用VPN系列之二配置客户端计算机以建立 VPN 连接 (查看:1246 回复:1)
本主题由 yukun21 于 2007-11-13 09:10 提升

rickyfang

总版主

企业网管技术/Windows操作系统

UID 399708
精华 2
积分 903
帖子 953
MST币 5773 点
BST币 903 点赚取
阅读权限 200
注册 2006-6-22
来自北京清华科技园区
状态离线

大中小

[ 使用道具 ]

发表于 2007-6-20 22:29 [ 资料 ] [ 博客 ] [ 主页 ] [ 短消息 ] [ 加为好友 ]

ISA2004启用VPN系列之二配置客户端计算机以建立 VPN 连接

本帖发表在我是网管论坛，帖子地址：http://bbs.54master.com/172193,1,1

本实验室在虚拟计算机中使用以下六台计算机。

我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！3a.H5C$_"|;]
Florence（红色）和 Firenze（红色）运行 ISA Server 2004 Enterprise Edition。这两台计算机配备三个网卡，分别用于连接内部网络、外围网络和外部网络 (Internet)。Florence 和 Firenze 处于名为ITALY 的阵列中。只有 Florence 运行配置存储服务器 (CSS)。我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！;a5Y1T8i8l,z)Y5d
Denver.contoso.com（绿色）是内部网络上 contoso.com 域的域控制器。Denver 上运行 DNS、RADIUS 和 Exchange 2003，同时也是证书颁发机构 (CA)。我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！(M1a)r'b7f%K1j1}8?2_&w-^
Perth.contoso.com（黄色）是 Web 服务器，它位于外围网络上。Perth 不是该域的成员。
Istanbul.fabrikam.com（紫色）是外部网络 (Internet) 上的 Web服务器和客户端计算机。- 畅通网络因为有我._&g$D+n+i:m-Z#T;w
Istanbul 上运行 Outlook 2003。Istanbul不是某个域的成员。Berlin（红色）运行 ISA Server 2004 Enterprise Edition。这台计算机代表一个办事处。Berlin 处在名为 GERMANY 的阵列中。我是网管论坛7^2`2}1`-`"P5}$u8^
Berlin 也运行配置存储服务器 (CSS)，但与 Florence 上的 CSS属于不同的企业。
这些计算机不能与主机通信。
为便于检查和了解网络通讯，每台虚拟计算机上都安装了 Microsoft Network Monitor 5.2，它属于 Windows Server 2003 的一部分。
在本练习中，您将配置 Internet 的客户端计算机，以建立到 ISA Server 计算机的VPN 连接。- 畅通网络因为有我(T,a0u!a'n#a(b V"t
注意：本实验室练习使用以下计算机：Denver - Florence – Istanbul网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术9M)l1r,i%^(G(z/Y+P
在 Istanbul 计算机上执行以下步骤。我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！&q$f(a-E%_3G2a)~)m
1.在 Istanbul 计算机上，考察当前的IP地址配置，并使用 Ping命令测试与“内部”网络(10.1.1.5)的连接。
a. 在 Istanbul 计算机上，打开命令提示符窗口。网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术3l%g9A;?._
b. 在命令提示符下，键入 ipconfig，然后按 Enter 键。
※ipconfig 命令的输出显示 Istanbul 目前只使用 IP 地址 39.1.1.7。网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术*u7L;T#r)Q#E2@
c. 键入 ping 39.1.1.1，然后按 Enter 键。我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！$?;O*n9e+{+p
※ping请求将超时，因为ISA Server (39.1.1.1) 不允许“外部”网络 (Internet) 上的计算机传入的ping请求。我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！/?-i6r!t3h+z&j'J*G2l6V
d. 键入 ping 10.1.1.5，然后按 Enter 键。
※ping 请求将超时，因为 Istanbul 还无法连接到“内部”网络上的计算机。
e. 关闭命令提示符窗口。网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术%x:x(c;i&A(z$\*x

2.在“网络连接”窗口中创建一个新连接。我是网管论坛'@1c&~1Q#F*n$_*c
键入：VPN 连接
名称：VPN 至Contosobbs.54master.com0|&w8s%K/?)W.c(}
VPN 服务器：39.1.1.1
a. 在“开始”菜单中，单击“控制面板”，右键单击“网络连接”，然后单击“打开”。
※此时将打开“网络连接”窗口。
b. 在“网络连接”窗口中，右键单击“新建连接向导”，然后单击“新建连接”。- 畅通网络因为有我/z+J%h!S#Y'm0}:s:W#v)]
c. 在“新建连接向导”对话框中，单击“下一步”。
d. 在“网络连接类型”页面上，选择“连接到我的工作场所的网络”，然后单击“下一步”。(i f'q3~4S,f
e. 在“网络连接”页面上，选择“虚拟专用网络连接”，然后单击“下一步”。
f. 在“连接名称”页面上的“公司名”文本框中，键入“VPN 至Contoso”，然后单击“下一步”。bbs.54master.com&^'P.u2b#c$g6k
g. 在“VPN 服务器选择”页面上的“主机名称或 IP 地址”文本框中，键入 39.1.1.1，然后单击“下一步”。
h. 在“可用连接”页面上，选择“只是我使用”，然后单击“下一步”。- 畅通网络因为有我$X-E1@6x9p5t$G#g*[
i. 在“正在完成新建连接向导”页面上，单击“完成”。我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！.`*v.K;d3|
※该向导将在“网络连接”窗口中创建一个新连接，并显示“将 VPN 连接至 Contoso”对话框，提示您建立此连接。
3. 建立名为“VPN 至Contoso”的 VPN 连接。bbs.54master.com1n4W5E"q4T
用户名：Administrator
密码：password
a. 在“将 VPN 连接至 Contoso”对话框中，填写以下信息：bbs.54master.com"R,O*Q'e/K.V&Z(s;@
●用户名：Administrator
●密码：password我是网管论坛7K9v,h5t:j#R
然后单击“连接”。
※在创建到 ISA Server 计算机的 VPN 连接之后，系统任务栏中将出现一个图标，表示已建立的连接。

4. 考察当前的 IP 地址配置，并使用 Ping 命令测试与“内部”网络(10.1.1.5) 和 VPN 隧道终结点 (10.3.1.1)的连接。
a. 打开一个命令提示符窗口。9d/o"^%f6h8l4\&]
b. 在命令提示符下，键入 ipconfig，然后按 Enter 键。- 畅通网络因为有我$\$f8v(|5]%q/|
※ipconfig 命令的输出显示 Istanbul 当前使用 IP 地址39.1.1.7，并已收到一个新的 IP 地址 10.3.1.2（或更高），以便建立它到 ISA Server 计算机的 VPN 连接。注意，这两个连接将同时列出一个默认的网关设置。5R7K:V3C9F,u
c. 键入 route print，然后按 Enter 键。3B3|(D!`:p)D
※该 route 命令的输出显示 Istanbul 具有两个默认路由（两个子网掩码 (Netmask) 0.0.0.0 行）。然而，VPNbbs.54master.com"m,Z-s"E,A2Q5j0U+M4W4y5n
连接 (10.3.1.2) 的默认路由的度量 (1) 低于网卡连接(39.1.1.1) 上默认网关的度量 (21)。这一活动的默认网关正在使用 VPN 连接 (10.3.1.2)，输出结尾处的Default Gateway（默认网关）行就显示了这一点。

- 畅通网络因为有我6T;c'm-G/i7^:@%W'C
d. 键入 ping 10.1.1.5，然后按 Enter 键。
※ping 请求（指向 Denver）将超时。即使 Istanbul 已创建到 ISA Server 计算机的 VPN 连接，它也无法连接到“内部”网络上的计算机。
※比较：bbs.54master.com;F+{&s9G&j;c:V
● ISA Server 2004 - 在创建 VPN 连接后，VPN 客户端计算机将被视为“VPN 客户端”网络的一部分。它们将受“VPN 客户端”网络的防火墙策略访问规则的约束。此外，防火墙日志中将记录所有来自“VPN 客户端”网络的访问。
● ISA Server 2000 - 在创建 VPN 连接后，VPN 客户端计算机将被视为内部网络 (LAT) 的一部分。它们可以访问内部网络上的所有资源，而无需经过筛选。8Q.K!C0\9J8F1G
e. 键入 ping 10.3.1.1，然后按 Enter 键。我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！"S,q*~*W0s0B D'?
※ping 请求将超时。IP 地址 10.3.1.1 是 ISA Server 计算机上的目标 VPN IP 地址。更有甚者，如果没有访问规则允许到达 VPN 隧道的终结点，则将无法到达终结点。网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术4r"P+L9R7D0I8g

在 Florence 计算机上执行以下步骤。
5.在 Florence 计算机上，使用 Ping 命令测试与 VPN 客户端计算机（10.3.1.2 或更高）的连接。
a. 在 Florence 计算机上，打开命令提示符窗口。
b. 在命令提示符下，键入 ping 10.3.1.2（或分配给 Istanbul的更高 10.3.1.x IP 地址），然后按 Enter 键。我是网管论坛 N(z w9A*z(g8O#t/x,U
※此时将从 Istanbul 计算机上返回四个 ping 回复。- 畅通网络因为有我%Q!e(w1w0g/]!}
c. 关闭命令提示符窗口。我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！&K%W1Q#T:C.d4E%m
d. 在 ISA Server 控制台中，选择“防火墙策略(ITALY)”。
e. 在任务窗格的“任务”选项卡上，单击“显示系统策略规则”。网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术!K1^0}9a$\9I
※系统策略规则 11 允许从“本地主机”（ISA Server 计算机）向“所有网络”（包括“VPN 客户端”网络）发出Ping 请求。
f. 在任务窗格的“任务”选项卡上，单击“隐藏系统策略规则”。'_9t*K:f {4h)y

6.创建新的访问规则。
名称：允许来自 VPN
客户端的 Ping 请求
应用于：Ping
源网络：VPN 客户端我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！/x!z3s#F5w q3I8T
目标网络：本地主机
a. 在右窗格中，选择第一条规则（如果未定义其他规则，则选择“默认规则”），以指明新规则要添加到规则列表中的位置。bbs.54master.com J2T2s,{,k0}0T
b. 在任务窗格的“任务”选项卡上，单击“创建阵列访问规则”。
c. 在“新建访问规则向导”对话框中的“访问规则名称”文本框中，键入“允许来自 VPN 客户端的 Ping 请求”，然后单击“下一步”。6x7t5{9q$E'M"[
d. 在“规则操作”页面上，选择“允许”，然后单击“下一步”。我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！"_.B0a6T9G3|!M2_0K
e. 在“协议”页面上的“此规则应用到”列表框中，选择“所选的协议”，然后单击“添加”。
f. 在“添加协议”对话框中，:B!j(m/V0h8]2D
● 依次单击“通用协议”、“Ping”、“添加”，然后单击“关闭”以关闭“添加协议”对话框。1V%p6m6W({)|&W
g. 在“协议”页面上，单击“下一步”。
h. 在“访问规则源”页面上，单击“添加”。
i. 在“添加网络实体”对话框中，我是网管论坛/h)k `5H#U6C.e1~
● 依次单击“网络”、“VPN 客户端”和“添加”，然后单击“关闭”以关闭“添加网络实体”对话框。
j. 在“访问规则源”页面上，单击“下一步”。
k. 在“访问规则目标”页面上，单击“添加”。我是网管论坛'i;t8j'?'c p(~8n/b
l. 在“添加网络实体”对话框中，
● 依次单击“网络”、“本地主机”和“添加”，然后单击“关闭”以关闭“添加网络实体”对话框。
m. 在“访问规则目标”页面上，单击“下一步”。
n. 在“用户集”页面上，单击“下一步”。bbs.54master.com&C!T u5\7X#g's @7i
o. 在“正在完成新建访问规则向导”页面上，单击“完成”。- 畅通网络因为有我)F4@'e.|9T.?
※此时将创建一个新的防火墙策略规则，该规则允许从“VPN 客户端”网络向“本地主机”网络 (ISA Server)发出 Ping 请求。
p. 单击“应用”以应用新规则，然后单击“确定”。等待，直到CSS 状态变为“已同步”。

我是网管论坛;G$p8S&`,o'f4|
在 Istanbul 计算机上执行以下步骤。
7.在 Istanbul 计算机上，再次使用 Ping 命令验证与 VPN 隧道终结点（ISA Server计算机 (10.3.1.1)）的连接性。
a. 在 Istanbul 计算机上，在命令提示符下键入ping 10.3.1.1，然后按 Enter 键。- 畅通网络因为有我3h&K#^3N'J'd3@3i.j"R
※此时将从 ISA Server 计算机上返回四个（或三个）ping回复。“允许来自 VPN 客户端的 Ping 请求”访问规则允许访问 10.3.1.1。
※这一结果确认 Istanbul 计算机位于“VPN 客户端”网络中，同时它与 ISA Server 计算机之间具有一个活动的 VPN 连接。
b. 关闭命令提示符窗口。bbs.54master.com1A&A.~3q7{#\)m$T

我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！6j6T5I;x.t.J/L3f
※在下一个练习中，您将对 ISA Server 进行配置，以允许“VPN 客户端”网络访问“内部”网络。网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术,J%m(y8]9F!Q:K*d

[ 本帖最后由 rickyfang 于 2007-11-10 15:40 编辑 ]

[ 点这里复制网址，推荐给你QQ/MSN上的好友们! ]

本站声明：以上内容由网友 rickyfang 提供，与54master立场无关！

2007|2008 Microsoft® MVP For ISA
下里巴人的家:http://www.rickyfang.net
微软官方论坛：http://forums.microsoft.com/china
E-Mail：<font color="red">ricky.fang@live.com[color]

[ 顶部 ]