在此部分中将进行如下操作: 

一、在WIN2K8 DC上安装AD证书服务,并设置为企业根。 
二、在SSTP ***服务器上安装IIS7.5 
三、在SSTP ***服务器上使用IIS7.5中的证书请求向导,为SSTP ***服务器请求一个机器证书。 
四、在SSTP ***服务器安装RRAS角色,并配置其为***和NAT服务器。 
五、配置NAT服务器以发布CRL(证书吊销列表)


一、在WIN2K8 DC上安装AD证书服务,并设置为企业根。 
1、在WIN2K8 DC上,打开服务器管理器,在“角色”中点选“添加角色”,并在弹出添加角色向导中点选“ACTIVE DIRECTORY 证书服务”,下一步:

clip_image002

clip_image004

2、在“选择角色服务”窗口中,选择“证书颁发机构”以及“证书颁发机构WEB注册”两项,同时,在选择“证书颁发机构WEB注册”后弹出的窗口中,点“添加必要的角色服务”。下一步:

clip_image006

1、 在“指定安装类型”窗口中,选择“企业“项。(当然也可以选择独立项,但显然,这不是这次实验的目的,如果今后有时间,我会以此次实验拓朴为原型,改变CA角色到SSTP ***服务器上,并设置成独立CA。也许还简单些。)下一(几)步:

clip_image008

clip_image010

clip_image012

4、中间一些过程略去,实在没有什么可要说明的。在“为CA配置加密“以及”配置CA名称“两个界面,均按默认设置,并下一步:

clip_image014

clip_image016

clip_image018

clip_image020

clip_image022

5、在“选择角色服务”界面,拖动按钮至中间,并在“安全性”选项前全部打上对勾,请务必如此,这些动作是为下面的服务器证书做好组件安装准备的,否则你就不能使用证书申请向导了。选择后,下一步:

clip_image024

6、在“确认安装选择“界面,通过下拉右侧按钮可以清楚的看到之前的设定,如果你认为没有问题,就选择安装,如果你认为还需要更改,就选上一步。此处,选择”安装“。

clip_image026

clip_image028

7、“AD CS“,AD证书服务安装完成后的界面如下。至此,完成了AD CS的角色及角色服务安装,DC和*** Server需重启。

clip_image030

8、设置CA的CRL因采用HTTP的方式从企业CA下载CRL,因此需设置CRL分发点,打开“证书颁发机构” 的属性

clip_image032

9、在属性窗口的“扩展”选项卡中选择扩展“CRL分发点(CDP)”,选中列表中的http,然后对下面的两个选项打勾。

clip_image034

10、在属性窗口的“扩展”选项卡中选择扩展“颁发机构信息访问(AIA)”,选中列表中的http,然后对下面的一个选项打勾。

clip_image036

11、设置完成后会自动重启证书服务。AIA(授权信息访问)内含何处可以找到CA最新证书的信息,如此***客户端便可以通过HTTP的方式从CA下载CRL与AIA。

clip_image037

 

二、在SSTP ***服务器上使用IIS7.5中的证书请求向导,为SSTP ***服务器请求一个机器证书。 
在上文中,我们定制安装了IIS7.5服务器,接下来的操作就是为SSTP ***服务器申请一个机器证书。 
SSTP ***服务器需要一个机器证书来创建与SSL ***客户端的SSL ***确连接。这个机器证书中的“通用名称”必需是SSL ***客户端连接SSTP ***服务器所使用的名子(DNS域名)。故为了解析SSTP ***服务器的公网IP地址,需要为此名字创建DNS 记录。 
以下操作是在SSTP ***服务器中进行。 
1、打开服务器管理器,展开“角色”至“INTERNET信息服务器”(也可以通过管理工具打开它)项。并点选中间控制面板中的***(contoso\administrator)。在右侧控制面板中可以看到“服务器证书”选项。接下的操作都与此有关。双击或是点右上角的“打开功能”以打开它。

2、在打开的“服务器证书”控制面板中,选择右侧的“创建域证书”,并在弹出的“可分辨名称属性”对话框中,填入图中所示内容(你可以有所不同,根据环境需要)。值得注意的是,这里的sstp.contoso.com,是对应当到SSTP ***服务器的外部IP的,由于这里只是测试环境,你需要在SSTP ***客户端的主机文件里新建DNS A记录。下一步:

clip_image039

clip_image041

3、此时的登陆帐号是contoso\administrator,也只有显示contoso\users这样的情况时,才会出现图中标示的“选择”按钮可用。否则,你只有手动填写,并有可能出现验证问题。 
点选“选择”按钮,在弹出的对话框中选择证书颁发机构。确定。并在“好记名称”对话框中填上你认为的好记的称便可。然后,点“完成“按钮。

clip_image043

4、下图所示是创建完成后的证书申请属性的“详细信息“界面。

clip_image045

 

三、在SSTP ***服务器安装RRAS角色,并配置其为***和NAT服务器。 
在WINDOWS SERVER 2008 R2里,路由和远程访问服务器安装方法和之前的WINDOWS系统有所不同,它作为一项角色服务包含在“网络策略和访问服务”角色中。而“网络策略和访问服务”提供网络策略服务器(NPS)、路由与远程访问、健康注册颁发机构(HRA)和主机凭据授权协议(HCAP),这些都有助于网络的健康和安全。 
在此次实验中,本不需要NAT 服务器角色的,为何,不但要把此SSTP ***服务器做为***服务器,还要实现其NAT的功能呢?前面已讲到,SSL ***客户端需要下载CRL,这时的NAT功能就是起到转发此通讯流量至内部网络的AD CA服务器上。否则,SSTP ***服务器连接将失效。 
同时,为了能访问内部网络的CRL,不但要配置SSTP ***服务器做为NAT服务器,还要在通过NAT来发布CRL(也许,在生产环境中,你需要通过一个防火墙来发布此CRL)。 
1、打开服务器管理器,并展开“角色”项。点右侧面板的“添加角色”按钮。在弹出的“选择服务器角色”窗口中,选择“网络策略与访问服务”。下一步:

clip_image047

2、在弹出的“选择角色服务”窗口中,选择“路由和远程访问服务”,并确保“远程访问服务”、“路由”两项被选定。并点下一步,直至完成此角色的安装。

clip_image049

clip_image051

3、完成安装后,展开“角色”、“网络策略和访问服务”,右键选择“配置并启用路由和远程访问”。

clip_image053

4、在“路由和远程访问服务欢迎向导”界面,点下一步。 
5、在弹出的“配置”界面,在“虚拟专用网络(***)和NAT”打上对勾。下一步:

clip_image055

6、在“***连接”界面,选择名称为“外网”的网卡,下一步:

clip_image057

7、在接下来的界面中选择“来自一个指定的地址范围”,并下一步,在“地址范围分配”界面,输入新的地址范围,并确定后,下一步:

clip_image059

8、在“管理多个远程访问服务器”界面,由于没有内部的RADIUS服务器,此处选择第一项“否,使用路由和远程访问来对连接进行身份验证”。下一步:

clip_image061

9、在“正在完成路由和远程访问服务服务器安装向导”界面,点完成,并在弹出的消息对话框中点”OK”。

clip_image063

10、完成配置后,展开至“端口”处,并下拉右侧按钮至中间,此时,可以看到SSTP已创建。

clip_image065

 

四、配置NAT服务器以发布CRL(证书吊销列表) 
为了能使SSL ***客户端下载到CRL,就需要配置NAT服务器,以发布位于内部的AD CA服务器上的CRL。

1、 展开“路由各远程访问”至“NAT”项,在右侧的面板中,右键单击“外网”,选属性: 
clip_image067

2、在“WAI属性”界面中,移动鼠标至“服务和端口”项,并找到“WEB服务器(HTTP)”,点选后,会弹出“编辑服务”界面,在“专用地址”对话框中,填入内部的AD CA服务器的IP地址:59.65.232.199,并两次确定后,完成此次操作。 
此处注意的是考虑到是实验环境,需要在SSL ***客户端的主机文件中添加上针对此次发布的DNS A记录项。

clip_image069