欢迎来到天天文库
浏览记录
ID:6367605
大小:3.32 MB
页数:47页
时间:2018-01-11
《如何部署sstp协议的vpn详解》由会员上传分享,免费在线阅读,更多相关内容在教育资源-天天文库。
1、如何部署SSTP协议的VPN详解安全套接字隧道协议(SecureSocketTunnelingProtocol)是微软提供的新一代的虚拟专用网(VPN)技术,一种新形的VPN隧道的功能,类似PPTPL2TPOVERIPsec一样。SSTP使流量通过防火墙而阻止PPTP和的L2TP/IPsec流量。SSTP提供了一种机制,通过HTTPS(SSL)建立VPN隧道,使用TCP端口443进行的。同时还使用PPP,支持强大的认证方法,如的EAP-TLS的。安全套接字层(SSL)提供了增强的传输安全,加密和完整性
2、检查。通过下面的图,我们可以了解3种协议的不同点:图中最下面有大家关注SSTP支持的客户端注:XPsp3测试不支持SSTP协议线路图: PPTP及L2TPOVERIPSEC在使用过程中的不足 新的SSTP协议的支持,并没有完全否决PPTP及L2TPOVERIPSEC在微软产品所组成的解决方案中的作用,当企业使用基于WINDOWS平台的VPN解决方案时,这种协议仍是被常用来解决或是提升企业网络安全性。但两者的数据包通过防火墙、NAT、WEBPROXY时却都有可能发生一些连线方面的问题。 PPTP数
3、据包通过防火墙时,防火墙需被设定成同时充许TCP连接以及GRE封装的数据通过,但大部分ISP都会阻止这种封包,从而造成连线的问题;而当你的机器位于NAT之后,NAT亦必需被设定成能转发GRE协议封装的数据包。否则就会造成只能建立PPTP的TCP连接,而无法接收GRE协议封装的数据包;WEBPROXY是不支持PPTP协议的。 L2TPOVERIPSEC的情况和此类似,需要在防火墙上充许IKE数据和ESP封装的数据同时通过,否则也会出现连接问题。且WEBPROXY也是不支持L2TPOVERIPSEC协议
4、的。 SSTP的执行过程 上面简要介绍了SSTP协议的优势以及PPTP等之前两种协议的不足,下面就来说下XPWITHSP3或是VISTAWITHSP1等客户端是如何连接到WINDOWS2008SSL(SSTP)VPN服务器的: 1、SSTPVPN客户端以随机的TCP端口建立TCP连接至SSTPVPN服务器(常常是SSTPVPN网关服务器)上的TCP443端口。 2、SSTPVPN客户端发送一个SSL“Client-Hello”消息给SSTPVPN服务器,表明想与此建立一个SSL会话。 3、S
5、STPVPN服务器发送“其机器证书”至SSTPVPN客户端。 4、SSTPVPN客户端验证机器证书,决定SSL会话的加密方法,并产生一个以SSTPVPN服务器公钥加密的SSL会话密钥,然后发送给SSTPVPN服务器。 5、SSTPVPN服务器使用此机器证书私钥来解密收到的加密的SSL会话,之后两者之间所有的通讯都以协商的加密方法和SSL会话密钥进行加密。 6、SSTPVPN客户端发送一个基于SSL的HTTP(HTTPS)请求至SSTPVPN服务器。 7、SSTPVPN客户端与SSTPVPN服务
6、器协商SSTP隧道。 8、SSTPVPN客户端与SSTPVPN服务器协商包含“使用PPP验证方法验(或EAP验证方法)证使用者证书以及进行IPV4或IPV6通讯”的PPP连接。 9、SSTPVPN客户端开始发送基于PPP连接的IPV4或IPV6通讯流量(数据)。 以上一段话,引自互联网 作者:下里巴人我们再来看这个环境: 一、配置第一台机器,机器名为DC: 1.配置DC的ip地址: 2.提升域控: 域功能级别,林功能级别设置为2003,具体过程: 没设置IPV6地址,会弹如下窗口,按
7、2次“是”继续。 默认向导直到安装完成,重启。 3.创建允许VPN拔入用户帐号,创建验证时用的共享文件夹。共享文件夹内放一文本。 二、配置第二台机器,机器名为VPNsrv 1.配置IP地址: 2.把机器加入域: 加域前nslookup看是否能解释域名,确保加域成功。 重启: 3.安装证书服务和IIS。 以域管理员用户登录安装。 选择ADCS角色, 选择安装证书颁发机构WEB注册,点击添加必要的角色服务 我这里用独立根CA,当然企业根CA也可以。 配置证书公
8、用名称,配置iis,按默认向导致完成. 4.创建服务器身份验证证书,这步骤前先设置IE允许证书发布。 打开服务器管理器,配置IESEC: 以管理员身份运行IE, 关闭自动网站检查, 设置intranet安全级别,低 5.创建一个服务器身份验证证书。 IE中输入:http://localhost/certsrv,点击申请证书 高级证书申请 创建并向此CA提交一个申请 如下: 注意名称要为:VPNserver的FQDN
此文档下载收益归作者所有