如何部署sstp协议的vpn详解

《如何部署sstp协议的vpn详解》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、如何部署SSTP协议的VPN详解安全套接字隧道协议（SecureSocketTunnelingProtocol）是微软提供的新一代的虚拟专用网（VPN）技术，一种新形的VPN隧道的功能，类似PPTPL2TPOVERIPsec一样。SSTP使流量通过防火墙而阻止PPTP和的L2TP/IPsec流量。SSTP提供了一种机制，通过HTTPS（SSL）建立VPN隧道，使用TCP端口443进行的。同时还使用PPP，支持强大的认证方法，如的EAP-TLS的。安全套接字层（SSL）提供了增强的传输安全，加密和

2、完整性检查。通过下面的图，我们可以了解3种协议的不同点：图中最下面有大家关注SSTP支持的客户端注：XPsp3测试不支持SSTP协议线路图：　　PPTP及L2TPOVERIPSEC在使用过程中的不足　　新的SSTP协议的支持，并没有完全否决PPTP及L2TPOVERIPSEC在微软产品所组成的解决方案中的作用，当企业使用基于WINDOWS平台的VPN解决方案时，这种协议仍是被常用来解决或是提升企业网络安全性。但两者的数据包通过防火墙、NAT、WEBPROXY时却都有可能发生一些连线方面的问题。　

3、　PPTP数据包通过防火墙时，防火墙需被设定成同时充许TCP连接以及GRE封装的数据通过，但大部分ISP都会阻止这种封包，从而造成连线的问题;而当你的机器位于NAT之后，NAT亦必需被设定成能转发GRE协议封装的数据包。否则就会造成只能建立PPTP的TCP连接，而无法接收GRE协议封装的数据包;WEBPROXY是不支持PPTP协议的。　　L2TPOVERIPSEC的情况和此类似，需要在防火墙上充许IKE数据和ESP封装的数据同时通过，否则也会出现连接问题。且WEBPROXY也是不支持L2TPOV

4、ERIPSEC协议的。　　SSTP的执行过程　　上面简要介绍了SSTP协议的优势以及PPTP等之前两种协议的不足，下面就来说下XPWITHSP3或是VISTAWITHSP1等客户端是如何连接到WINDOWS2008SSL(SSTP)VPN服务器的：　　1、SSTPVPN客户端以随机的TCP端口建立TCP连接至SSTPVPN服务器(常常是SSTPVPN网关服务器)上的TCP443端口。　　2、SSTPVPN客户端发送一个SSL“Client-Hello”消息给SSTPVPN服务器，表明想与此建立一

5、个SSL会话。　　3、SSTPVPN服务器发送“其机器证书”至SSTPVPN客户端。　　4、SSTPVPN客户端验证机器证书，决定SSL会话的加密方法，并产生一个以SSTPVPN服务器公钥加密的SSL会话密钥，然后发送给SSTPVPN服务器。　　5、SSTPVPN服务器使用此机器证书私钥来解密收到的加密的SSL会话，之后两者之间所有的通讯都以协商的加密方法和SSL会话密钥进行加密。　　6、SSTPVPN客户端发送一个基于SSL的HTTP(HTTPS)请求至SSTPVPN服务器。　　7、SSTPV

6、PN客户端与SSTPVPN服务器协商SSTP隧道。　　8、SSTPVPN客户端与SSTPVPN服务器协商包含“使用PPP验证方法验(或EAP验证方法)证使用者证书以及进行IPV4或IPV6通讯”的PPP连接。　　9、SSTPVPN客户端开始发送基于PPP连接的IPV4或IPV6通讯流量(数据)。　　以上一段话，引自互联网　　作者：下里巴人我们再来看这个环境：　　一、配置第一台机器，机器名为DC：　　1.配置DC的ip地址：　　2.提升域控：　　域功能级别，林功能级别设置为2003,具体过程：　　

7、没设置IPV6地址，会弹如下窗口，按2次“是”继续。　　默认向导直到安装完成，重启。　　3.创建允许VPN拔入用户帐号，创建验证时用的共享文件夹。共享文件夹内放一文本。　　　　二、配置第二台机器，机器名为VPNsrv　　1.配置IP地址:　　2.把机器加入域：　　加域前nslookup看是否能解释域名，确保加域成功。　　重启：　　　3.安装证书服务和IIS。　　以域管理员用户登录安装。　　　　选择ADCS角色，　　选择安装证书颁发机构WEB注册，点击添加必要的角色服务　　　　　我这里用独立根CA

8、，当然企业根CA也可以。　　　　配置证书公用名称，配置iis，按默认向导致完成.　　4.创建服务器身份验证证书，这步骤前先设置IE允许证书发布。　　打开服务器管理器，配置IESEC:　　　以管理员身份运行IE，　　关闭自动网站检查，　　　　设置intranet安全级别，低　　5.创建一个服务器身份验证证书。　　IE中输入：http://localhost/certsrv，点击申请证书　　　　高级证书申请　　　　创建并向此CA提交一个申请　　如下：　　注意名称要为：VPNserver的FQDN