借助VPN，企業(yè)外出人員可隨時連到企業(yè)的VPN服務(wù)器，進而連接到企業(yè)內(nèi)部網(wǎng)絡(luò)。借助windows2003的“路由和遠程訪問”服務(wù)，可以實現(xiàn)基于軟件的VPN。
VPN（Virtual Private Network）即虛擬專用網(wǎng)絡(luò)，通過一個公用網(wǎng)絡(luò)（如Internet）建立一個臨時的、安全的、模擬的點對點連接。這是一條穿越公用網(wǎng)絡(luò)的信息隧道，數(shù)據(jù)可以通過這條隧道在公用網(wǎng)絡(luò)中安全地傳輸。因此也可形象地稱之為“網(wǎng)絡(luò)中的網(wǎng)絡(luò)”。而保證數(shù)據(jù)安全傳輸?shù)年P(guān)鍵就在于VPN使用了隧道協(xié)議，目前常用的隧道協(xié)議有PPTP、L2TP和IPSec。
VPN是基于Windows 2003，通過ADSL接入Internet的服務(wù)器和客戶端，連接方式為客戶端通過Internet與服務(wù)器建立VPN連接。
VPN服務(wù)器需要兩塊網(wǎng)卡，一個連入內(nèi)網(wǎng)一個連入外網(wǎng)。
Authentication(驗證)：設(shè)置哪些用戶可以通過VPN訪問服務(wù)器資源。在DC上做身份驗證。
Authorization（授權(quán)）：檢查客戶端是否可以撥入服務(wù)器，是否符合撥入條件（時間，協(xié)議……）
VPN工作原理：
VPN客戶端請求VPN服務(wù)器（請求撥入服務(wù)器）
VPN 服務(wù)器請求DC進行身份驗證，然后得到授權(quán)信息
VPN 服務(wù)器回應(yīng)VPN客戶端撥號請求。
VPN 服務(wù)器與客戶端建立連接，并開始傳送數(shù)據(jù)。
工作組模型下VPN服務(wù)器做身份驗證，撥號請求發(fā)送至SAM數(shù)據(jù)庫做身份驗證。
1. VPN使用的協(xié)議（隧道協(xié)議）：PPTP，L2TP
2. PPTP：點對點傳輸協(xié)議，使用nicrosoft point-to-point encryption（MPPE）加密算法（默認采用協(xié)議）針對于internet。
L2TP：默認無加密算法，若想使用加密算法，結(jié)合IPsec。針對于internet、X.25、ATM
用戶賬號撥入權(quán)限：條件、權(quán)限、配置文件決定了客戶端是否可以撥入VPN網(wǎng)絡(luò)。
配置文件包括：撥入時間，IP地址范圍，是否支持多鏈路，何種身份驗證，是否加密。
配置過程：路由和遠程訪問-遠程訪問策略-進行相應(yīng)時間，配置文件設(shè)置
配置VPN服務(wù)器步驟如下：
首先安裝“路由和遠程訪問”，或者在運行里輸入“rrasmgmt.msc”，在彈出的“路由和遠程訪問”管理控制臺窗口中，單擊配置并啟用路由和遠程訪問，如圖所示：
彈出“路由和遠程訪問服務(wù)器安裝向?qū)А睂υ捒?，單擊下一步，選中自定義配置，下一步，選擇自定義配置，如圖：
選中VPN訪問，下一步，如圖所示：
單擊完成。
在彈出的路由和遠程訪問對話框中，單擊是，如圖所示。
隨即，VPN服務(wù)即成功啟動。單擊服務(wù)器名稱-屬性，在彈出的對話框中選中 IP 選項卡，在IP地址指派中選中靜態(tài)地址池，單擊添加，如圖所示：
在起始IP地址和結(jié)束IP地址編輯框中輸入IP地址，單擊確定，如圖：
單擊確定；
提示：使用靜態(tài)IP地址池為客戶端分配IP地址可以減少IP地址解析時間，提高連接速度。
起始IP地址和結(jié)束IP地址可以自定義一段IP地址（如192.168.0.10至192.168.0.50）如這臺主機已經(jīng)配置了DHCP服務(wù)，也可以選擇動態(tài)主機配置協(xié)議（DHCP），會延長連接時間。
返回屬性對話框，單擊確定，完成初步配置操作。
提示：如果服務(wù)器端有固定的IP地址，則客戶端可隨時與服務(wù)器建立VPN連接。如果服務(wù)器采用ADSL撥號方式接入Internet，則需要在每次更改IP地址后通知客戶端，或者申請動態(tài)域名解析服務(wù)。
賦予用戶遠程連接的權(quán)限
出于安全考慮，VPN服務(wù)器配置完成以后所有用戶均被拒絕撥入到服務(wù)上（初始狀態(tài)）因此需要為指定用戶賦予撥入權(quán)限，操作步驟如下：
1． VPN服務(wù)器中右擊我的電腦，選擇管理。
在彈出的計算機管理窗口，展開本地用戶和組，選中用戶。如圖：
如果計算機加入了域，則單擊AD用戶和計算機中的user組中的用戶，如圖：
2． 在test屬性對話框中，單擊撥入選項卡。在遠程訪問權(quán)限中選中允許訪問，單擊確定，如圖所示：
提示：如果域功能級別為windows2000混合模式，則“通過遠程訪問策略控制訪問”不可選，提升域功能級別即可。
3． 其實此為安全性最差的撥入方式，建議選中通過遠程訪問策略控制訪問，這需要在服務(wù)器中定制遠程訪問策略（若為AD域環(huán)境下，須將域功能級別提升到03以上）
完成VPN服務(wù)器的配置操作，并賦予特定用戶遠程連接VPN服務(wù)器的權(quán)限以后，還需要在客戶端中創(chuàng)建VPN連接并撥入VPN服務(wù)器，才能實現(xiàn)對企業(yè)內(nèi)部網(wǎng)絡(luò)的訪問。
客戶端創(chuàng)建VPN連接
客戶端配置比較簡單，只需建立一個VPN的專用連接即可。
假設(shè)客戶端已建立了一個接入Internet的ADSL連接，創(chuàng)建VPN連接的步驟如下所述：
1. 桌面右擊網(wǎng)上鄰居->屬性，打開網(wǎng)絡(luò)連接。單擊新建連接，如圖所示：
2. 彈出“歡迎使用新建連接向?qū)А?，下一步，網(wǎng)絡(luò)連接類型頁面中選擇“連接到我的工作場所的網(wǎng)絡(luò)”。下一步，如圖所示：
3. 選擇“虛擬專用網(wǎng)絡(luò)連接”，下一步；
提示：如果是第一次建立連接，系統(tǒng)會要求輸入所在地區(qū)的電話區(qū)號。如果在建立VPN連接前已經(jīng)建立了其他連接（如ADSL接入Internet的連接）則不會出現(xiàn)該提示。
4. 在連接名對話框中，在公司名中，輸入連接名稱（連接到sungh.com域）單擊下一步；
5. VPN服務(wù)器選擇中，選擇主機名或者IP地址，下一步；
6. 可用連接上選擇“只是我使用”，單擊下一步；
7. 在完成新建連接向?qū)е?，選擇“在我的桌面上添加一個到此連接的快捷方式”，完成；
為了避免出現(xiàn)成功連接VPN服務(wù)器后客戶端不能訪問Internet的問題，用戶還需要對剛剛創(chuàng)建的“企業(yè)VPN連接”做簡單的配置。
在“網(wǎng)絡(luò)連接”窗口中右擊企業(yè)VPN連接->屬性,切換至“網(wǎng)絡(luò)”選項卡，選擇Internet協(xié)議（TCP/IP），如圖；
單擊屬性，在彈出的對話框中，選擇高級，如圖；
在“高級TCP/IP設(shè)置”對話框的“常規(guī)”中取消選中的“在遠程網(wǎng)絡(luò)上使用默認網(wǎng)關(guān)”，單擊確定，如圖所示。
客戶端VPN連接配置完畢，用戶已經(jīng)具備了在VPN服務(wù)器和客戶端建立VPN連接的條件。
單擊桌面上的企業(yè)VPN連接，輸入用戶名和密碼（被賦予權(quán)限的用戶名和密碼），如圖：
成功建立VPN連接以后，可以雙擊桌面右下角的VPN連接圖標(biāo)查看其狀態(tài)，如圖所示；
如何訪問VPN服務(wù)器上的共享資源呢，有兩種方法：
1) 通過“網(wǎng)上鄰居”直接訪問共享資源；
2) 通過UNC路徑訪問，即在地址欄中輸入“\\服務(wù)器名”或\\服務(wù)器地址，通過瀏覽器窗口訪問共享資源。
提示：在成功建立VPN連接后可能會出現(xiàn)客戶端和服務(wù)端的“網(wǎng)上鄰居”窗口中無法找到對方的問題，這時應(yīng)該檢查兩者是否均安裝了NetBEUI協(xié)議。如果沒有應(yīng)該馬上安裝，通?？梢越鉀Q該問題。
如果客戶端在訪問服務(wù)器端的共享資源的時候可能會出現(xiàn)長時間的搜索過程。如果遲遲找不到服務(wù)器，可以使用“搜索計算機”進行搜索。
如果VPN服務(wù)器端同時又作為局域網(wǎng)內(nèi)的一臺主機，用戶還可以讓VPN客戶端進一步訪問局域網(wǎng)內(nèi)的其他主機。這需要VPN服務(wù)端開啟了路由器功能并啟用了IP路由，不過在VPN服務(wù)器配置完成后這些功能都是默認啟用的。
接著上文繼續(xù)介紹： 遠程訪問策略（對客戶端撥入VPN服務(wù)器的限制） 打開“路由和遠程訪問策略”單擊“遠程訪問策略”默認情況下存在兩個策略，如圖所示； 單擊任一策略，在彈出的對話框中，策略狀況中顯示的信息稱為撥入條件。 通過設(shè)置“遠程訪問策略”，用戶可以對VPN服務(wù)器進行簡單管理。如果VPN服務(wù)器對客戶端的訪問時段有所限制，則可以定制VPN服務(wù)的開放時段，操作步驟如下所述： 1. 打開“路由和遠程訪問”窗口，右擊遠程訪問策略，選擇新建遠程訪問策略，如圖： 2. 打開“新建遠程訪問策略向?qū)А?，在歡迎對話框中單擊下一步，在打開的“策略配置方法”對話框中選擇設(shè)置自定義策略，在策略名編輯框中輸入策略名稱，下一步，如圖所示； 3. 在打開的“策略狀況”對話框中單擊添加，打開“選擇屬性”對話框，在“屬性類型”列表中選擇相應(yīng)選項，單擊添加，如圖； 4. 打開“Framed-protocol”對話框，選擇需要添加的協(xié)議。單擊添加，確定，如圖： 5. 返回“策略狀況”對話框，在“策略狀況”列表中可看到剛添加的策略。下一步，如圖； 6. 單擊下一步，選擇“授予遠程訪問的權(quán)限”，下一步； 7. 單擊“編輯配置文件”，可以對遠程訪問策略進行進一步設(shè)置，如圖； 8. 在彈出的“編輯撥入配置文件”選項卡中，可以對遠程訪問策略進行詳細的設(shè)置，在此不依依列舉，如圖所示，可對訪問時間和日期進行設(shè)置；點擊“編輯”； 9. 在彈出的“撥入時段”，中可以對時間和日期進行具體的設(shè)置，單擊確定； 10. 返回“編輯配置文件選項頁面中”，單擊下一步；選擇完成，即完成配置，在“路由和遠程訪問”的配置頁面中，右側(cè)，出現(xiàn)了“運行使用的協(xié)議”策略； 要想使這些策略生效，需要在賦予用戶遠程連接權(quán)限的時候選中通過遠程訪問策略控制訪問，如圖所示； 經(jīng)過上述設(shè)置，如果指定用戶在允許撥入時段以外的時間長時撥入VPN服務(wù)器，將被VPN服務(wù)器拒絕撥入，如圖所示。 單擊圖示中的箭頭，可以調(diào)整遠程訪問策略的限制順序。 提示：在客戶端和服務(wù)端均為ADSL接入Internet的環(huán)境下，用戶可以輕松建立VPN連接。如果網(wǎng)絡(luò)環(huán)境比較復(fù)雜，如小區(qū)寬帶接入Internet的客戶端訪問ADSL接入Internet的服務(wù)端、采用Cable Modem接入Internet的客戶端訪問ADSL接入Internet的服務(wù)端、ADSL接入Internet的客戶端訪問小區(qū)寬帶接入Internet的服務(wù)端等等，則還需要作進一步的配置才能實現(xiàn)連接。 配置PPTP或L2TP端口 打開路由和遠程訪問，單擊端口-》屬性，如圖所示； 選擇WAN 微型端口 (PPTP)，單擊配置； 在配置設(shè)備對話框中，選擇設(shè)備的“最多端口數(shù)”，選擇請求撥號連接的方式，“僅入站”還是“入站和出站”； PPTP與L2TP協(xié)議區(qū)分： PPTP和L2TP都使用PPP協(xié)議對數(shù)據(jù)進行封裝，然后添加附加包頭用于數(shù)據(jù)在互聯(lián)網(wǎng)絡(luò)上的傳輸。盡管兩個協(xié)議非常相似，但是仍存在以下幾方面的不同： 1.PPTP要求互聯(lián)網(wǎng)絡(luò)為IP網(wǎng)絡(luò)。L2TP只要求隧道媒介提供面向數(shù)據(jù)包的點對點的連接。L2TP可以在IP（使用UDP），楨中繼永久虛擬電路（PVCs),X.25虛擬電路（VCs）或ATM VCs網(wǎng)絡(luò)上使用。 2.PPTP只能在兩端點間建立單一隧道。L2TP支持在兩端點間使用多隧道。使用L2TP，用戶可以針對不同的服務(wù)質(zhì)量創(chuàng)建不同的隧道。 3.L2TP可以提供包頭壓縮。當(dāng)壓縮包頭時，系統(tǒng)開銷（overhead）占用4個字節(jié)，而PPTP協(xié)議下要占用6個字節(jié)。 4.L2TP可以提供隧道驗證，而PPTP則不支持隧道驗證。但是當(dāng)L2TP或PPTP與IPSEC共同使用時，可以由IPSEC提供隧道驗證，不需要在第2層協(xié)議上驗證隧道 IAS服務(wù)器的配置 作用：可以實現(xiàn)將多臺VPN服務(wù)器配置成IAS客戶端，集中配置遠程訪問策略；適用于大型網(wǎng)絡(luò)。 單擊開始菜單-》管理工具-》添加和刪除程序-》添加/刪除windows組件-》網(wǎng)絡(luò)服務(wù)中，添加internet驗證服務(wù)，即添加了IAS服務(wù)器組件。 打開internet驗證服務(wù)，右擊RADIUS客戶端，選擇新建RADIUS客戶端， 在彈出的對話框中輸入名稱和IP，如圖所示； 輸入共享機密（口令）如圖； 單擊完成，如圖所示，右側(cè)便出現(xiàn)了配置結(jié)果； 單擊VPN服務(wù)器，右擊屬性，在安全選項卡中，單擊身份驗證提供程序，選擇RADIUS身份驗證，點擊配置， 在彈出的對話框中，點擊添加，將IAS服務(wù)器添加，如圖； 記賬提供程序中選擇RADIUS記賬，即windows日志的記錄方式； 同上，點擊配置，將RADIUS服務(wù)器添加進來， 單擊應(yīng)用，彈出對話框，提示重啟路由和遠程訪問； 單擊確定，重啟之后，便實現(xiàn)了將VPN服務(wù)器變成IAS客戶端，如圖所示，遠程訪問策略轉(zhuǎn)移到了RADIUS服務(wù)器上，實現(xiàn)了將多臺VPN服務(wù)器配置成IAS客戶端，集中配置遠程訪問策略； 單擊“遠程訪問記錄”中的本地文件屬性，可以設(shè)置記錄（日志）文件產(chǎn)生的頻率， 如圖，設(shè)置中的記賬請求，記錄撥入和斷開的時間；身份驗證請求，記錄用戶撥入是否成功；周期性狀態(tài)，記錄沒有正常提交斷開請求，服務(wù)器端會周期的發(fā)送連接包，客戶端一段時間沒有反應(yīng)，便認為斷開。
