Приложение Б. Дополнительные конфигурации

Приложение Б. Дополнительные конфигурации
Посетителей: 1600 \| Просмотров: 3264 (сегодня 0)	Шрифт:

На этой странице

	VPN-маршрутизатор, использующийся для предоставления нескольких Интернет-услуг
	VPN-маршрутизатор с одним сетевым адаптером

В этом разделе содержится информация о наиболее распространенных дополнительных конфигурациях VPN-маршрутизаторов Windows 2000. Наиболее общая конфигурация описана в разделах «Развертывание виртуальных частных сетей «маршрутизатор-маршрутизатор» на основе протокола PPTP» и «Развертывание виртуальных частных сетей «маршрутизатор-маршрутизатор» на основе протокола L2TP» этого документа и имеет следующие принципиальные характеристики:

•	На VPN-сервере установлено несколько сетевых адаптеров, один из которых подключен ко внутренней сети и один – к Интернету.
•	Интерфейсы подключения к Интернету VPN-сервера имеют статические общие IP-адреса.
•	VPN-сервер выступает лишь в качестве шлюза, обеспечивающего безопасные маршрутизируемые подключения ко внутренней сети. На VPN-сервере не запущено никаких других служб Интернета, таких как транслятор сетевых адресов (NAT) или веб-службы.

Существуют также еще две наиболее распространенные конфигурации:

1.	Компьютер VPN-сервера также используется, например, в качестве транслятора сетевых адресов или для предоставления услуги размещения узла (обеспечение доступа через Интернет и место для хранения на веб-серверах).
2.	На VPN-сервере установлен один сетевой адаптер, а брандмауэр публикует его общий IP-адрес.

Ниже детально рассматриваются изменения, которые необходимо произвести при развертывании VPN-сервера для соответствия этим дополнительным конфигурациям.

VPN-маршрутизатор, использующийся для предоставления нескольких Интернет-услуг

В этой конфигурации VPN-маршрутизатор имеет следующие принципиальные характеристики:

•	На VPN-сервере установлено несколько сетевых адаптеров, один из которых подключен ко внутренней сети и один – к Интернету.
•	Интерфейсы подключения к Интернету VPN-сервера имеют статические общие IP-адреса.
•	VPN-сервер выступает в качестве шлюза, обеспечивающего безопасные маршрутизируемые подключения ко внутренней сети. Помимо этого VPN-сервер используется, например, в качестве транслятора сетевых адресов или для предоставления услуги размещения узла.

Для этой конфигурации Вы можете выполнить все процедуры по настройке VPN-маршрутизатора, описанные в разделах «Развертывание виртуальных частных сетей «маршрутизатор-маршрутизатор» на основе протокола PPTP» и «Развертывание виртуальных частных сетей «маршрутизатор-маршрутизатор» на основе протокола L2TP» этого документа, за исключением следующего: во время настройки VPN-маршрутизатора при помощи мастера установки сервера маршрутизации и удаленного доступа (Routing and Remote Access Server Setup Wizard) в окне Общие параметры (Common Configurations) вместо конфигурации Сервер виртуальной частной сети (VPN) (Virtual Private Network (VPN) server) выберите конфигурацию Сетевой маршрутизатор (Network router). Вам будет предложено выбрать интерфейс взаимодействия с серверами DHCP, DNS и WINS, способ назначения IP-адресов клиентам удаленного доступа и настроить службу RADIUS.

Когда Вы выбираете конфигурацию Сетевой маршрутизатор (Network router), создается только 5 PPTP-портов и 5 L2TP-портов. Если Вам требуется большее количество портов, откройте свойства элемента Порты (Ports) в оснастке Маршрутизация и удаленный доступ (Routing and Remote Access) и укажите необходимое количество устройств Минипорт WAN (PPTP) и Минипорт WAN (L2TP).

При выборе конфигурации Сетевой маршрутизатор (Network router) не происходит автоматической настройки фильтров пакетов PPTP и L2TP для интерфейса подключения к Интернету VPN-маршрутизатора. Возможность ручной настройки фильтров пакетов определяется тем, запущена ли на VPN-сервере служба NAT.

•

Если на VPN-сервере необходимо запускать службу NAT, не настраивайте фильтры пакетов PPTP и L2TP, а также фильтры пакетов других типов трафика. Если Вы настроите фильтры пакетов PPTP и L2TP для интерфейса подключения к Интернету, NAT не сможет работать. Настраивать фильтры пакетов для интерфейса подключения к Интернету нет необходимости, поскольку даже если Вы не настроите никакие фильтры, NAT отклоняет весь Интернет-трафик, который не был запрошен клиентами внутренней сети.

•

Если нет необходимости запускать службу NAT на VPN-сервере, Вы можете настроить фильтры пакетов PPTP и L2TP, а также другие фильтры для различных служб, работающих на компьютере VPN-сервера. Например, если на компьютере VPN-сервера размещен Веб-сайт, следует добавить фильтры пакетов, которые разрешают прием и отправку трафика на общий IP-адрес VPN-сервера и TCP-порт 80.

Наверх страницы

VPN-маршрутизатор с одним сетевым адаптером

В этой конфигурации на VPN-сервере установлен только один сетевой адаптер и узлы сайта вызывающего маршрутизатора получают доступ к службам, запущенным на компьютере VPN-сервера. Если на VPN-сервере установлен только один сетевой адаптер с назначенным ему общим IP-адресом, то весь трафик, предназначенный для служб, запущенных на компьютере VPN-сервера, передается в незашифрованном виде вне VPN-туннеля.

Единственным способом обеспечения работы VPN-маршрутизатора с одним сетевым адаптером является его размещение за брандмауэром, который предоставляет услуги по преобразованию и публикации адресов. Брандмауэр публикует, или делает известным для Интернет-клиентов статический IP-адрес VPN-маршрутизатора. Когда VPN-пакеты приходят на этот опубликованный IP-адрес, брандмауэр перенаправляет их на частный или другой общий адрес, под которым VPN-маршрутизатор известен внутри сайта.

На Рисунке 6 представлена конфигурация с использованием преобразованного и фактического IP-адреса VPN-маршрутизатора

Рисунок 6 - Конфигурация VPN-маршрутизатора с одним сетевым адаптером

VPN-маршрутизатор настроен в соответствии с разделом «Развертывание виртуальных частных сетей «маршрутизатор-маршрутизатор» на основе протокола PPTP» этого документа (внутренний интерфейс выступает в качестве интерфейса подключения к Интернету). Настройки брандмауэра должны обеспечивать:

•	Публикацию в Интернете имени и IP-адреса VPN-сервера.
•	Перенаправление PPTP-трафика, приходящего на общий IP-адрес VPN-сервера, на внутренний адрес компьютера VPN-сервера.
•	Отклонение всего трафика, за исключением PPTP-трафика, предназначенного для компьютера VPN-сервера.

Наверх страницы

Автор: Артем Жауров aka Borodunter • Иcточник: (переведено с англ.) Microsoft Technet • Опубликована: 13.09.2006

Нашли ошибку в тексте? Сообщите о ней автору: выделите мышкой и нажмите CTRL + ENTER

Теги:

Оценить статью: