默认情况下,站点到站点×××连接是请求拨号连接,只有当网络流量必须通过此接口转发(需要转发IP数据包到对应的远程网络)时才建立连接。此时呼叫路由器(××× 客户端)初始化这个连接,应答路由器(××× 服务器)侦听连接请求,接收来自呼叫路由器的连接请求,并根据请求建立连接,并且在空闲一定时间(默认为5分钟)后断开连接。你可以配置连接为永久连接方式,此时,×××服务器会保持此连接的连接状态,如果连接中断则立即重新初始化连接。
为了避免呼叫路由器建立不需要的连接,您可以按照以下两种方式来限制呼叫路由器建立请求的站点到站点×××连接:
IP请求拨号筛选器。你可以使用请求拨号筛选来决定哪种类型的IP流量不能导致请求拨号连接的建立,也可以配置哪种类型的IP流量可以导致连接的建立。配置请求拨号筛选的方法是:在路由和远程访问管理单元的网络接口节点中右击请求拨号接口,然后点击设置IP请求拨号筛选器。关于IP请求拨号筛选器更详细的信息,请参见深入理解路由和远程访问服务中的筛选器和基本防火墙一文。
拨出时间。你可以使用拨出时间来配置允许或禁止呼叫路由器建立站点到站点×××连接的时间段。配置拨出时间的方法是:在路由和远程访问管理单元的网络接口节点中右击请求拨号接口,然后点击拨出时间。你还可以使用远程访问策略来配置允许传入请求拨号路由连接的时间。
根据初始化的方向,站点到站点×××连接可以分为以下两种类型:
单向初始化连接
在单向初始化连接中,一台×××路由器总是担任呼叫路由器(×××客户端),而另一台×××路由器总是担任应答路由器(×××服务器)。当单向初始化的站点到站点连接成功创建后,呼叫路由器上将添加到达应答路由器所属专用网络的路由,但是应答路由器上不会添加到达呼叫路由器所属专用网络的路由,这种情况,应答路由器不能访问呼叫路由器所属的专用网络,因此通常情况下较少使用单向初始化连接。单向初始化的连接需要满足下列条件:
应答路由器被配置为LAN和请求拨号路由器;
在应答路由器上为呼叫路由器的身份验证凭据添加用户帐户;在应答路由器上配置了请求拨号接口,并且其名称与呼叫路由器所使用的用户帐户名称相同。这个请求拨号接口不是用于拨号的,因此它并没有配置呼叫路由器的主机名或IP地址,也没有配置有效的拨出用户身份验证信息。
如果采用L2TP/IPSec模式的站点到站点×××连接,还需要在呼叫路由器上安装客户端身份验证证书,在应答路由器上安装服务器身份验证证书;如果不安装证书,则需要配置预共享的IPSec密钥。
双向初始化连接
双向初始化连接可以看做是两个方向上的单向初始化连接,每个×××路由器同时是呼叫路由器和应答路由器,向对方进行连接初始化和接受对方的站点到站点×××连接请求。当站点到站点连接成功创建后,每个×××路由器上均会添加到达对方路由器所属专用网络的路由,从而各自的专用网络可以访问远端网络。双向初始化的站点到站点×××连接需要满足下列条件:
两个路由器都被配置为LAN和请求拨号路由器;
在每个路由器上为远端路由器的身份验证凭据添加了用户帐户,并且配置了名字与呼叫路由器所使用的用户帐户名称相同的请求拨号接口;
如果采用L2TP/IPSec模式的站点到站点×××连接,还需要在每个路由器上同时安装客户端身份验证证书和服务器身份验证证书;如果不安装证书,则需要配置预共享的IPSec密钥。
在部署站点到站点×××服务之前,你需要配置×××服务器提供远程访问×××服务,因为本地×××服务器会把远端×××服务器发起的站点到站点×××连接请求当成是普通×××客户端计算机发起的远程访问×××连接请求进行处理。远程访问客户端和请求拨号路由器都可以初始化一个×××连接,那么×××服务器是如何区分它们呢?
当远程访问客户端和请求拨号路由器向×××服务器初始化×××连接时,它们所发送的身份验证信息中包含用于初始化连接的用户名;如果响应这个连接请求的×××服务器(应答路由器)上具有和此用户名一致的请求拨号接口,那么这个连接就是请求拨号连接;否则,这个传入的连接就是远程访问连接。
本文中的试验在How to :部署Windows Server 2003中的远程访问×××服务一文的基础上进行,试验网络结构如下图所示,
[font=Verdana]默认情况下,站点到站点×××连接是请求拨号连接,只有当网络流量必须通过此接口转发(需要转发IP数据包到对应的远程网络)时才建立连接。此时呼叫路由器(××× 客户端)初始化这个连接,应答路由器(××× 服务器)侦听连接请求,接收来自呼叫路由器的连接请求,并根据请求建立连接,并且在空闲一定时间(默认为5分钟)后断开连接。你可以配置连接为永久连接方式,此时,×××服务器会保持此连接的连接状态,如果连接中断则立即重新初始化连接。[/font]
[font=Verdana]为了避免呼叫路由器建立不需要的连接,您可以按照以下两种方式来限制呼叫路由器建立请求的站点到站点×××连接:[/font]
[font=Verdana][b]IP请求拨号筛选器[/b]。你可以使用请求拨号筛选来决定哪种类型的IP流量不能导致请求拨号连接的建立,也可以配置哪种类型的IP流量可以导致连接的建立。配置请求拨号筛选的方法是:在[b]路由和远程访问[/b]管理单元的[b]网络接口[/b]节点中右击请求拨号接口,然后点击[b]设置IP请求拨号筛选器[/b]。关于IP请求拨号筛选器更详细的信息,请参见深入理解路由和远程访问服务中的筛选器和基本防火墙一文。[/font]
[font=Verdana][b]拨出时间[/b]。你可以使用拨出时间来配置允许或禁止呼叫路由器建立站点到站点×××连接的时间段。配置拨出时间的方法是:在[b]路由和远程访问[/b]管理单元的[b]网络接口[/b]节点中右击请求拨号接口,然后点击[b]拨出时间[/b]。你还可以使用远程访问策略来配置允许传入请求拨号路由连接的时间。[/font]
[font=Verdana]根据初始化的方向,站点到站点×××连接可以分为以下两种类型:[/font]
[size=4][font=Verdana][b]单向初始化连接[/b][/font][/size]
[font=Verdana]在单向初始化连接中,一台×××路由器总是担任呼叫路由器(×××客户端),而另一台×××路由器总是担任应答路由器(×××服务器)。当单向初始化的站点到站点连接成功创建后,呼叫路由器上将添加到达应答路由器所属专用网络的路由,但是应答路由器上不会添加到达呼叫路由器所属专用网络的路由,这种情况,应答路由器不能访问呼叫路由器所属的专用网络,因此通常情况下较少使用单向初始化连接。单向初始化的连接需要满足下列条件:[/font]
[font=Verdana]应答路由器被配置为LAN和请求拨号路由器;[/font]
[font=Verdana]在应答路由器上为呼叫路由器的身份验证凭据添加用户帐户;在应答路由器上配置了请求拨号接口,并且其名称与呼叫路由器所使用的用户帐户名称相同。这个请求拨号接口不是用于拨号的,因此它并没有配置呼叫路由器的主机名或IP地址,也没有配置有效的拨出用户身份验证信息。[/font]
[font=Verdana]如果采用L2TP/IPSec模式的站点到站点×××连接,还需要在呼叫路由器上安装客户端身份验证证书,在应答路由器上安装服务器身份验证证书;如果不安装证书,则需要配置预共享的IPSec密钥。[/font]
[font=Verdana]
[b][size=4]双向初始化连接[/font][/size][/b]
[font=Verdana]双向初始化连接可以看做是两个方向上的单向初始化连接,每个×××路由器同时是呼叫路由器和应答路由器,向对方进行连接初始化和接受对方的站点到站点×××连接请求。当站点到站点连接成功创建后,每个×××路由器上均会添加到达对方路由器所属专用网络的路由,从而各自的专用网络可以访问远端网络。双向初始化的站点到站点×××连接需要满足下列条件:[/font]
[font=Verdana]两个路由器都被配置为LAN和请求拨号路由器;[/font]
[font=Verdana]在每个路由器上为远端路由器的身份验证凭据添加了用户帐户,并且配置了名字与呼叫路由器所使用的用户帐户名称相同的请求拨号接口;[/font]
[font=Verdana]如果采用L2TP/IPSec模式的站点到站点×××连接,还需要在每个路由器上同时安装客户端身份验证证书和服务器身份验证证书;如果不安装证书,则需要配置预共享的IPSec密钥。[/font]
[font=Verdana]在部署站点到站点×××服务之前,你需要配置×××服务器提供远程访问×××服务,因为本地×××服务器会把远端×××服务器发起的站点到站点×××连接请求当成是普通×××客户端计算机发起的远程访问×××连接请求进行处理。远程访问客户端和请求拨号路由器都可以初始化一个×××连接,那么×××服务器是如何区分它们呢?[/font]
[font=Verdana]当远程访问客户端和请求拨号路由器向×××服务器初始化×××连接时,它们所发送的身份验证信息中包含用于初始化连接的用户名;如果响应这个连接请求的×××服务器(应答路由器)上具有和此用户名一致的请求拨号接口,那么这个连接就是请求拨号连接;否则,这个传入的连接就是远程访问连接。[/font]
[font=Verdana]本文中的试验在How to :部署Windows Server 2003中的远程访问×××服务一文的基础上进行,试验网络结构如下图所示,[/font]
Munich:
Internet:61.139.0.1/24
HQ LAN:10.1.1.1/24
Perth:
Internet:61.139.0.8/24
Branch LAN:172.16.1.1/24
在这篇文章中,我将在Munich和Perth之间创建站点到站点的×××连接,从而允许总部网络和分部网络间的访问。
完整的配置一个双向初始化连接的站点到站点×××连接包含以下步骤:
在两台×××服务器上分别启用远程访问×××;
在两台×××服务器上分别创建请求拨号连接;
在两台×××服务器上分别创建远端×××服务器用于初始化站点到站点×××连接的拨入用户账户,此用户必须和本地×××服务器上创建的请求拨号连接同名;
如果使用L2TP/IPSec模式的×××连接,还需要在每台×××服务器上安装服务器身份验证证书和客户端身份验证证书。
在进行此站点到站点×××连接试验之前,我已经做好了以下配置:
在两台服务器上启用了远程访问×××服务;
因为需要配置L2TP/IPSec模式的站点到站点×××连接,我已经为每台×××服务器安装好了服务器身份验证证书和客户端身份验证证书。如下图所示:
[font=Verdana][b]Munich[/b]是总部网络(10.1.1.0/24)连接到Internet的网关,而[b]Perth[/b]是分部网络(172.16.1.0/24)连接到Internet的网关。它们的操作系统均为Windows Server 2003 SP1,IP地址设置如下:[/font]
[font=Verdana][b]Munich[/b]:[/font]
[font=Verdana]Internet:61.139.0.1/24[/font]
[font=Verdana]HQ LAN:10.1.1.1/24[/font]
[font=Verdana][b]Perth[/b]:[/font]
[font=Verdana]Internet:61.139.0.8/24[/font]
[font=Verdana]Branch LAN:172.16.1.1/24[/font]
[font=Verdana]在这篇文章中,我将在[b]Munich[/b]和[b]Perth[/b]之间创建站点到站点的×××连接,从而允许总部网络和分部网络间的访问。[/font]
[font=Verdana]完整的配置一个双向初始化连接的站点到站点×××连接包含以下步骤:[/font]
[font=Verdana]在两台×××服务器上分别启用远程访问×××;[/font]
[font=Verdana]在两台×××服务器上分别创建请求拨号连接;[/font]
[font=Verdana]在两台×××服务器上分别创建远端×××服务器用于初始化站点到站点×××连接的拨入用户账户,此用户必须和本地×××服务器上创建的请求拨号连接同名;[/font]
[font=Verdana]如果使用L2TP/IPSec模式的×××连接,还需要在每台×××服务器上安装服务器身份验证证书和客户端身份验证证书。[/font]
[font=Verdana]在进行此站点到站点×××连接试验之前,我已经做好了以下配置:[/font]
[font=Verdana]在两台服务器上启用了远程访问×××服务;[/font]
[font=Verdana]因为需要配置L2TP/IPSec模式的站点到站点×××连接,我已经为每台×××服务器安装好了服务器身份验证证书和客户端身份验证证书。如下图所示:[/font]
在总部的×××服务器Munich上创建请求拨号连接和拨入用户;
在分部的×××服务器Perth上创建请求拨号连接和拨入用户;
测试L2TP/IPSec模式的站点到站点连接;
测试PPTP模式的站点到站点连接;
-
使用ISA Server 2006构建站点到站点的×××连接
Site-to-Site vpn 介绍: 虚拟专用网络概述-->模拟点对点链接(封装) &nb
VPN 构建 Server ISA 站点
举报文章
请选择举报类型
补充说明
0/200
上传截图
格式支持JPEG/PNG/JPG,图片不超过1.9M