VPN構(gòu)建攻略 Win2008實戰(zhàn)之SSTP

作者：佚名 2010-04-09 17:41:15

云計算

虛擬化 隨著windows server 2008的發(fā)布，相信新的功能和特性讓IT PRO們興奮不已，在新的功能中，SSTP協(xié)議的支持讓通過WINDOWS 2008進(jìn)行SSL-VPN訪問成為了可能。

目前創(chuàng)新互聯(lián)建站已為上千家的企業(yè)提供了網(wǎng)站建設(shè)、域名、網(wǎng)站空間、網(wǎng)站托管維護(hù)、企業(yè)網(wǎng)站設(shè)計、莊河網(wǎng)站維護(hù)等服務(wù)，公司將堅持客戶導(dǎo)向、應(yīng)用為本的策略，正道將秉承"和諧、參與、激情"的文化，與客戶和合作伙伴齊心協(xié)力一起成長，共同發(fā)展。

隨著windows server 2008的發(fā)布，相信新的功能和特性讓IT PRO們興奮不已，在新的功能中，SSTP協(xié)議的支持讓通過WINDOWS 2008進(jìn)行SSL-VPN訪問成為了可能。

一、 新的協(xié)議SSTP的支持及介紹

SSTP是微軟提供的新一代的虛擬專用網(wǎng)（VPN）技術(shù)，它的全稱是安全套接層隧道協(xié)議（Secure Socket Tunneling Protocol;sstp），和PPTP L2TP OVER IPsec一樣，也是微軟所提供的VPN技術(shù)。在擁有最大彈性發(fā)揮的同時，又確保信息安全達(dá)到了一定程度。

目前，支持SSTP技術(shù)的僅限于如下OS：Windows XP Sp3（偶在生產(chǎn)環(huán)境中并沒有去驗證）、Windows Vista Sp1(windows 7也在支持之列)以及Windows 2008。且Windows Server 2008僅支持客戶端與服務(wù)器之間的SSTP VPN，并不支持站點(diǎn)到站點(diǎn)間的SSTP VPN。通使用此項新技術(shù)，可以使防火墻管理員能更容易的配置策略使SSTP流量通過其防火墻。它提供了一種機(jī)制，將PPP數(shù)據(jù)包封裝在httpS的SSL通訊中，從而使PPP支持更加安全身份驗方法，如EAP-TLS等。

二、PPTP及L2TP OVER IPSEC在使用過程中的不足

新的SSTP協(xié)議的支持，并沒有完全否決PPTP及L2TP OVER IPSEC在微軟產(chǎn)品所組成的解決方案中的作用，當(dāng)企業(yè)使用基于WINDOWS 平臺的VPN解決方案時，這種協(xié)議仍是被常用來解決或是提升企業(yè)網(wǎng)絡(luò)安全性。但兩者的數(shù)據(jù)包通過防火墻、NAT、web PROXY時卻都有可能發(fā)生一些連線方面的問題。

PPTP數(shù)據(jù)包通過防火墻時，防火墻需被設(shè)定成同時充許TCP連接以及GRE封裝的數(shù)據(jù)通過，但大部分ISP都會阻止這種封包，從而造成連線的問題；而當(dāng)你的機(jī)器位于NAT之后，NAT亦必需被設(shè)定成能轉(zhuǎn)發(fā)GRE協(xié)議封裝的數(shù)據(jù)包。否則就會造成只能建立PPTP的TCP連接，而無法接收GRE協(xié)議封裝的數(shù)據(jù)包；WEB PROXY是不支持PPTP 協(xié)議的。

L2TP OVER IPSEC的情況和此類似，需要在防火墻上充許IKE 數(shù)據(jù)和ESP封裝的數(shù)據(jù)同時通過，否則也會出現(xiàn)連接問題。且WEB PROXY也是不支持L2TP OVER IPSEC協(xié)議的。

#p#

三、SSTP的執(zhí)行過程

上面簡要介紹了SSTP協(xié)議的優(yōu)勢以及PPTP等之前兩種協(xié)議的不足，下面就來說下XP WITH SP3 或是VISTA WITH SP1（Windows 7）等客戶端是如何連接到WINDOWS 2008 SSL（SSTP）VPN服務(wù)器的：

1、SSTP VPN客戶端以隨機(jī)的TCP端口建立TCP連接至SSTP VPN服務(wù)器（常常是SSTP VPN 網(wǎng)關(guān)服務(wù)器）上的TCP 443端口。

2、SSTP VPN客戶端發(fā)送一個SSL "Client-Hello"消息給SSTP VPN服務(wù)器，表明想與此建立一個SSL會話。

3、SSTP VPN服務(wù)器發(fā)送"其機(jī)器證書"至SSTP VPN客戶端。

4、SSTP VPN客戶端驗證機(jī)器證書，決定SSL會話的加密方法，并產(chǎn)生一個以SSTP VPN服務(wù)器公鑰加密的SSL會話密鑰，然后發(fā)送給SSTP VPN服務(wù)器。

5、SSTP VPN服務(wù)器使用此機(jī)器證書私鑰來解密收到的加密的SSL會話，之后兩者之間所有的通訊都以協(xié)商的加密方法和SSL 會話密鑰進(jìn)行加密。

6、SSTP VPN客戶端發(fā)送一個基于SSL的HTTP（HTTPS）請求至SSTP VPN服務(wù)器。

7、SSTP VPN客戶端與SSTP VPN服務(wù)器協(xié)商SSTP隧道。

8、SSTP VPN客戶端與SSTP VPN服務(wù)器協(xié)商包含"使用PPP驗證方法驗（或EAP驗證方法）證使用者證書以及進(jìn)行IPV4或IPV6通訊"的PPP連接。

9、SSTP VPN客戶端開始發(fā)送基于PPP連接的IPV4或IPV6通訊流量（數(shù)據(jù)）。

#p#

四、SSTP VPN服務(wù)器環(huán)境搭建及說明

測試環(huán)境較為簡單，三臺機(jī)器完成全部操作，其中兩臺是WINDOWS SERVER 2008企業(yè)版，一臺是帶有SP1的VISTA。注意，這其中會涉及到公有DNS解析問題，在本試驗中，以HOSTS文件中寫入相關(guān)信息代替。網(wǎng)絡(luò)拓樸及詳細(xì)說明如下：

1、圖中WIN2K8 DC是一臺windows 2008 域制器，名為win2k8dc.contoso.com。

充當(dāng)DC、CA（企業(yè)根）、FILE SERVER角色。

IP Add：10.0.0.2/24

Gw：10.0.0.1

DNS：10.0.0.2

2、圖中RRAS是一臺windows 2008服務(wù)器，域成員，充當(dāng)RRAS 、IIS服務(wù)器。兩塊網(wǎng)卡。

NEI 網(wǎng)卡IP Add：10.0.0.1/24

DNS：10.0.0.2

WAI網(wǎng)卡IP Add：166.111.8.2/24

DNS：10.0.0.2（真實環(huán)境中這塊網(wǎng)卡是有網(wǎng)關(guān)和公有DNS的）

3、圖中VISTA是一臺帶有SP1的VISTA手提電腦，位于INTERNET上的任一位置。

IP Add：166.111.8.1/24

整個網(wǎng)絡(luò)拓樸中的機(jī)器角色是通過HYPER-V上安裝虛擬機(jī)器完成。實際生產(chǎn)環(huán)境中請按角色歸位。

整個實驗執(zhí)行流程如下：

A、在WIN2K8 DC升級域控，安裝CA角色（企業(yè)根）

B、在RRAS這臺機(jī)器上安裝RRAS（VPN,NAT）、IIS角色，并能發(fā)布位于DC上的CA URL。同時為本機(jī)申請證書。

C、在VISTA機(jī)器上，建立SSL VPN連線至VPN服務(wù)器。（在此機(jī)器上寫HOSTS文件相關(guān)DNS域名解析結(jié)果）

在進(jìn)行之前，需要強(qiáng)調(diào)兩個問題，這兩個問題是在配置和利用證書方面經(jīng)常會產(chǎn)生的，提前告示大家在后續(xù)文章閱讀時要注意：

1、 將不正確的RRAS計算機(jī)證書綁定至偵聽器。

（在將RRAS角色添加到VPN服務(wù)器之前，必須添加RRAS計算機(jī)證書，這樣子SSTP才可以正確的用。否則，就會將錯誤的證書綁定到該協(xié)議。詳細(xì)請見下篇文章中的三、四部分）

2、 證書撤銷站點(diǎn)對于VPN客戶端不可用。

（證書撤銷列表必須可用于 Internet上的客戶端。）

【編輯推薦】

1. VPN服務(wù)器故障排查之Windows篇
2. 中小企業(yè)VPN網(wǎng)絡(luò)部署須知
3. vpn配置實例：講解路由器設(shè)置參數(shù)步驟

本文標(biāo)題：VPN構(gòu)建攻略 Win2008實戰(zhàn)之SSTP
標(biāo)題URL：http://fisionsoft.com.cn/article/coodcsj.html