51CTO技术论坛_中国领先的IT技术社区 » 安全技术和产品应用 » ISA » [转贴]How to ：配置 ISA Server 2006 中的站点到站点 VPN 连接

cdmatong 发表于 2006-10-16 21:07

[转贴]How to ：配置 ISA Server 2006 中的站点到站点 VPN 连接

来源：ISA中文站

作者：风间子

在 VPN 功能方面和 ISA Server 2004 相比， ISA Server 2006 主要在站点到站点 VPN 连接方面进行了改进，主要体现在以下方面：

[b]无需启用远程访问 VPN 服务[/b]：在 ISA Server 2004 中，配置 L2TP/IPSec 和 PPTP 模式的站点到站点 VPN 需要同时启用远程访问 VPN 服务，而在 ISA Server 2006 中，配置站点到站点 VPN 无需同时启用远程访问 VPN 服务。当然，常规的远程访问 VPN 属性（如 VPN 客户地址分配等）还是需要配置的；
[b]集成远程访问 VPN 配置[/b]：在配置基于 PPTP 和 L2TP/IPSec 模式的站点到站点 VPN 连接时，需要预先配置远程访问 VPN 服务，而 ISA Server 2006 中在配置站点到站点 VPN 连接时，在向导中集成了远程访问 VPN 服务的配置；
[b]集成网络规则和访问规则配置[/b]：在 ISA Server 2004 中，在创建站点到站点 VPN 连接后，还需要创建对应的网络规则和访问规则以允许客户访问，很多管理员会忽略这一点，从而造成配置失败。在 ISA Server 2006 中，在创建站点到站点 VPN 连接时，在向导中集成了相应网络规则和访问规则的配置，从而简化了配置过程。
[b]智能提醒向导[/b]：在站点到站点 VPN 连接创建完成后，向导会提醒你成功配置站点到站点 VPN 连接所需要的额外步骤，从而避免配置遗漏所造成的配置失败。
[b]分支[/b][b]办公室 VPN 连接向导[/b]和[b]应答文件创建向导[/b]： 为了简化分支办公室中 ISA Server 的部署，在 ISA Server 2006 企业版中新增了两个组件：[b]分支办公室 VPN 连接向导[/b]和[b]应答文件创建向导[/b]。[b]应答文件创建向导[/b]允许企业总部的 IT 管理员根据某个分支办公室的远程站点创建一个应答文件， 而[b]分支办公室 VPN 连接向导[/b]则可以根据此应答文件将对应分支办公室的 ISA Server 迁移到企业总部的配置存储服务器上。关于这两个组件的使用，请参见[url=http://www.isacn.org/info/info.php?sessid=&infoid=319][color=#0000ff]How to ：使用分支办公室 VPN 连接向导配置分支办公室与企业总部之间的连接[/color][/url]一文。
在其他方面， ISA Server 2006 和 ISA Server 2004 并没有太大区别，配置和操作步骤基本一致，只是在 ISA Server 2006 中进行配置更为轻松和人性化，从而更能避免配置失败。并且希望在你阅读本文之前，先阅读[url=http://www.isacn.org/info/info.php?sessid=&infoid=246][color=blue]How to ：配置 ISA Server 2004 企业版中的站点到站点的VPN连接[/color][/url]一文，这样你才能对站点到站点 VPN 连接有更好的认识。另外标准版和企业版间配置站点到站点VPN并没有太大区别，因此在这篇文章中，我使用企业版来为大家进行介绍。

本文中的试验环境如下图所示，企业总部网络中部署了一个 ISA Server 2006 企业版阵列（包含两台 ISA Server 服务器 [b]Florence[/b] 和 [b]Firenze[/b]，位于工作组环境，其中 [b]Florence[/b] 作为配置存储服务器）位于作为边缘防火墙，连接Internet和内部网络；内部网络的IP地址范围为[b]10.1.1.0/24[/b]。分公司网络同样部署了一个 ISA Server 2006 企业版阵列，不过此阵列只包含一台 ISA Server 服务器 [b]Istanbul[/b]，同时作为配置存储服务器，分公司网络地址范围为 [b]10.2.1.0/24[/b]。在这个试验中，我将在总部网络和分公司网络之间部署基于PPTP、L2TP/IPSec 和 IPSec Tunnel的站点到站点 VPN 连接。
　

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn.jpg[/img]

各计算机的TCP/IP配置如下所示：
[b]Florence：[/b]
内部网络接口：
IP：10.1.1.1/24
DG：None
DNS：10.1.1.8
外部网络接口：
IP：61.139.1.1/24
DG：61.139.1.1
DNS：None
阵列通信网络接口：
IP：172.18.6.1/24
DG：None
DNS：None
[b]Firenze：[/b]
内部网络接口：
IP：10.1.1.2/24
DG：None
DNS：10.1.1.8
外部网络接口：
IP：61.139.1.2/24
DG：61.139.1.2
DNS：None
阵列通信网络接口：
IP：172.18.6.2/24
DG：None
DNS：None
　
在此阵列上针对内部网络和外部网络启用NLB，其中内部虚拟IP地址为 10.1.1.254 ，外部虚拟IP地址为 61.139.1.3 和 61.139.1.4 ，此步骤非必需；在部署IPSec隧道模式时，我会采用NLB部署。
[b]Berlin：[/b]
内部网络接口：
IP：10.1.1.8/24
DG：10.1.1.254
DNS：10.1.1.8
[b]Istanbul：[/b]
内部网络接口：
IP：10.2.1.1/24
DG：None
DNS：None
外部网络接口：
IP：61.139.1.5/24
DG：61.139.1.5
DNS：None
[b]测试客户机：[/b]
内部网络接口：
IP：10.2.1.254/24
DG：10.2.1.1
DNS：None
[b][color=#003366]一、创建PPTP模式的站点到站点 VPN 连接

[/color][/b]首先我在总部 ISA Server 阵列上创建连接。在 [b]Florence[/b] 上运行 ISA Server 管理控制台，然后点击[b]虚拟专用网络[/b]节点，在中部细节面板中点击[b]远程站点[/b]标签，然后点击右部[b]任务面板[/b]中的[b]创建站点到站点 VPN 连接[/b]链接，

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn01.jpg[/img]

在弹出的[b]欢迎使用站点到站点连接向导[/b]页，输入远程站点名字，在此我为到分公司的远程站点命名为 [b]Branch [/b]，完成后点击[b]下一步[/b]，

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn02.jpg[/img]

在[b]VPN协议[/b]页，选择[b]点对点隧道协议（PPTP）[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn03.jpg[/img]

在弹出的警告对话框上，向导提醒你必须具有一个匹配网络名的用户名以允许远程站点的拨入，点击[b]确定[/b]，

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn04.jpg[/img]

由于我尚未配置远程访问 VPN 属性，因此向导预先让我配置远程访问 VPN 属性，在[b]本地网络VPN设置[/b]页，我选择使用静态IP地址池为远程访问 VPN 客户分配IP地址，点击[b]添加[/b]按钮输入不同 ISA Server 所承载的IP地址范围，然后点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn05.jpg[/img]

在[b]连接所有者[/b]页，虽然我对外部网络启用了NLB，但是我只想让 [b]Florence[/b] 来承载此连接，因此选择[b]Florence[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn06.jpg[/img]

在[b]远程站点网关[/b]页，输入远程VPN网关的名称或IP地址，如果输入名称，确保可以正确解析（对于动态IP地址的情况，在此可以输入动态域名），在此我们输入[b] Istanbul [/b]的外部IP地址[b] 61.139.1.5 [/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn07.jpg[/img]

在[b]远程身份验证[/b]页，勾选[b]本地站点可以使用这些凭据来初始化到远程站点的连接[/b]（这样可以让内部用户进行请求拨号来主动连接远程VPN站点），
[color=#ff0000]然后输入远程VPN网关上创建的具有拨号权限的对应于远程站点的用户名和密码，[/color]
注意，这个用户名必须和远程VPN网关上创建的远程站点的名字相同，输入用户名[b] HeadQuarter [/b]和对应的密码，我等下会在分公司 ISA Server 上进行创建，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn08.jpg[/img]

在[b]网络地址[/b]页，点击[b]添加范围[/b]来添加远程网络的IP地址范围，在此我输入分公司的网络地址范围[b]10.2.1.0[/b]～[b]10.2.1.255[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn09.jpg[/img]

在[b]远程NLB[/b]页，由于分公司网络并未使用NLB，因此直接点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn10.jpg[/img]

在[b]站点到站点网络规则[/b]页，默认情况下向导将为远程站点和内部网络之间创建一个路由关系为[b]路由[/b]的网络规则。你可以修改目的网络，但不能修改网络关系；如果需要修改路由关系为 NAT，则只能手动创建网络规则或自动创建后再修改。在此我接受默认设置，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn11.jpg[/img]

在[b]站点到站点访问规则[/b]页，在此可以为远程站点和内部网络的互访自动创建访问规则，在此我选择[b]允许所有出站协议[/b]，这样将创建一个访问规则，允许内部和远程站点之间所有协议的互访，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn12.jpg[/img]

在[b]正在完成新建VPN站点到站点网络向导[/b]页，点击[b]完成[/b]，

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn13.jpg[/img]

此时向导会提示你需要创建一个具有远程拨入权限并且和远程站点名字匹配的用户，点击[b]确定[/b]；在 ISA Server 管理控制台中点击[b]应用[/b]保存修改并更新防火墙策略，等待阵列服务器完成配置同步。

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn14.jpg[/img]

在此我在 [b]Florence[/b] 上创建和远程站点所对应的用户 [b]Branch[/b]，并授予远程拨入权限。

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn15.jpg[/img]

cdmatong 发表于 2006-10-16 21:07

接下来，我们需要在分公司网络中创建站点到站点 VPN 连接（[b]Istanbul[/b] 上已经预先配置了远程访问 VPN 服务），在 [b]Istanbul[/b] 上运行 ISA Server 管理控制台，然后点击[b]虚拟专用网络[/b]节点，在中部点击[b]远程站点[/b]标签，然后点击右部任务面板中的[b]创建站点到站点 VPN 连接[/b]链接。
在弹出的[b]欢迎使用站点到站点连接向导[/b]页，输入远程站点名字，在此我为到总部的远程站点命名为 [b]HeadQuarter [/b]，完成后点击[b]下一步[/b]，

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn16.jpg[/img]

在[b]VPN协议[/b]页，同样选择[b]点对点隧道协议（PPTP）[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn17.jpg[/img]

在[b]连接所有者[/b]页，选择[b] ISTANBUL [/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn18.jpg[/img]

在[b]远程站点网关[/b]页，输入远程VPN网关的名称或IP地址，如果输入名称，确保可以正确解析（对于动态IP地址的情况，在此可以输入动态域名），在此我们输入[b] Florence [/b]的外部IP地址[b] 61.139.1.1[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn19.jpg[/img]

在[b]远程身份验证[/b]页，勾选[b]本地站点可以使用这些凭据来初始化到远程站点的连接[/b]（这样可以让内部用户进行请求拨号来主动连接远程VPN站点），
[color=#ff0000]然后输入远程VPN网关上创建的具有拨号权限的对应于远程站点的用户名和密码，[/color]
注意，这个用户名必须和远程VPN网关上创建的远程站点的名字相同，输入用户名 [b]Branch [/b]和对应的密码，这是我们刚才在 [b]Florence[/b] 上创建的，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn20.jpg[/img]

在[b]网络地址[/b]页，点击[b]添加范围[/b]来添加远程网络的IP地址范围，在此我输入总部的网络地址范围[b]10.1.1.0[/b]～[b]10.1.1.255[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn21.jpg[/img]

在[b]远程NLB[/b]页，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn22.jpg[/img]

在[b]站点到站点网络规则[/b]页，默认情况下向导将为远程站点和内部网络之间创建一个路由关系为[b]路由[/b]的网络规则。你可以修改目的网络，但不能修改网络关系；如果需要修改路由关系为 NAT，则只能手动创建网络规则或自动创建后再修改。在此我接受默认设置，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn23.jpg[/img]

在[b]站点到站点访问规则[/b]页，在此可以为远程站点和内部网络的互访自动创建访问规则，在此我选择[b]允许所有出站协议[/b]，这样将创建一个访问规则，允许内部和远程站点之间所有协议的互访，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn24.jpg[/img]

在[b]正在完成新建VPN站点到站点网络向导[/b]页，点击[b]完成[/b]，

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn25.jpg[/img]

在 ISA Server 管理控制台中点击[b]应用[/b]保存修改并更新防火墙策略，等待阵列服务器完成配置同步。
同样，我在 [b]Istanbul[/b] 上创建和远程站点所对应的用户 [b]HeadQuarter[/b] ，并授予远程拨入权限。

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn26.jpg[/img]

　
现在我在 [b]Berlin[/b] 上 Ping 分公司网络中的主机 [b]10.2.1.254[/b]，此时 [b]Florence[/b] 主动发起连接，连接成功，如下图所示：

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn27.jpg[/img]

在总部网络和分公司网络 ISA Server 的会话中，已经显示出了对应的站点到站点连接会话：

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn29.jpg[/img]

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn28.jpg[/img]

cdmatong 发表于 2006-10-16 21:08

[b][color=#003366]二、修改站点到站点连接为L2TP/IPSec模式

[/color][/b]由于L2TP/IPSec模式的站点到站点 VPN 连接和PPTP模式基本一致，在此我直接修改站点到站点连接属性为L2TP/IPSec模式（我已经在双方VPN网关上安装了服务器身份验证证书）。分别在双方 ISA Server 管理控制台的远程站点属性中进行修改，如下图所示：

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn30.jpg[/img]

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn31.jpg[/img]

然后分别点击[b]应用[/b]保存修改并更新防火墙策略，等待阵列服务器完成配置同步。
在 10.2.1.254 主机上Ping[b] 10.1.1.8[/b]，站点到站点 VPN 连接成功，不过，可以明显的看出，L2TP/IPSec 模式的连接比 PPTP 模式更慢。

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn32.jpg[/img]

双方的会话如下图所示：

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn34.jpg[/img]

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn33.jpg[/img]

cdmatong 发表于 2006-10-16 21:09

[b][color=#003366]三、创建IPSec隧道模式的站点到站点 VPN 连接

[/color][/b]在此我采用证书进行身份验证，因此首先我们需要在双方VPN网关上安装IPSec证书。然后在 [b]Florence[/b] 上运行 ISA Server 管理控制台，然后点击[b]虚拟专用网络[/b]节点，在中部细节面板中点击[b]远程站点[/b]标签，然后点击右部[b]任务面板[/b]中的[b]创建站点到站点 VPN 连接[/b]链接。
在弹出的[b]欢迎使用站点到站点连接向导[/b]页，输入远程站点名字 [b]Branch [/b]，然后点击[b]下一步[/b]，

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn35.jpg[/img]

在[b]VPN协议[/b]页，选择[b]IPSec 隧道模式[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn36.jpg[/img]

在[b]连接设置[/b]页，输入远程VPN网关和本地网关的IP地址，远程网关的地址我们输入远程站点[b] Istanbul [/b]的外部IP地址[b] 61.139.1.5 [/b]，由于我想对此连接启用NLB，因此本地网关的IP地址输入NLB的虚拟IP地址 [b]61.139.1.3[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn37.jpg[/img]

在[b]IPSec身份验证[/b]页，选择颁发IPSec证书的CA，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn38.jpg[/img]

在[b]网络地址[/b]页，点击[b]添加范围[/b]来添加远程网络的IP地址范围，默认已经包含了远程VPN网关的地址，在此我添加分公司的网络地址范围[b]10.2.1.0[/b]～[b]10.2.1.255[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn39.jpg[/img]

在[b]站点到站点网络规则[/b]页，默认情况下向导将为远程站点和内部网络之间创建一个路由关系为[b]路由[/b]的网络规则。你可以修改目的网络，但不能修改网络关系；如果需要修改路由关系为 NAT，则只能手动创建网络规则或自动创建后再修改。在此我接受默认设置，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn40.jpg[/img]

在[b]站点到站点访问规则[/b]页，在此可以为远程站点和内部网络的互访自动创建访问规则，在此我选择[b]允许所有出站协议[/b]，这样将创建一个访问规则，允许内部和远程站点之间所有协议的互访，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn41.jpg[/img]

在[b]正在完成新建VPN站点到站点网络向导[/b]页，点击[b]完成[/b]，

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn42.jpg[/img]

在弹出的启用系统策略警告页，点击[b]是[/b]。在 ISA Server 管理控制台中点击[b]应用[/b]保存修改并更新防火墙策略，等待阵列服务器完成配置同步。

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn43.jpg[/img]

同样，我们按照相同的步骤在 [b]Istanbul[/b] 中创建远程站点。在[b]欢迎使用站点到站点连接向导[/b]页，输入远程站点名字为 [b]HeadQuarter[/b]，然后点击[b]下一步[/b]，

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn44.jpg[/img]

在[b]VPN协议[/b]页，选择[b]IPSec 隧道模式[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn45.jpg[/img]

在[b]连接所有者[/b]页，选择由 [b]Istanbul [/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn46.jpg[/img]

在[b]连接设置[/b]页，输入远程VPN网关和本地网关的IP地址，这个必须和总部远程站点的设置相匹配，因此远程网关的地址我们输入总部网络的的外部NLB虚拟IP地址[b] 61.139.1.3 [/b]，本地网关的IP地址输入[b]Istanbul[/b]的IP地址 [b]61.139.1.5[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn47.jpg[/img]

在[b]IPSec身份验证[/b]页，选择颁发IPSec证书的CA，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn48.jpg[/img]

在[b]网络地址[/b]页，点击[b]添加范围[/b]来添加远程网络的IP地址范围，默认已经包含了远程VPN网关的地址，不过在此必须添加总部网络的所有外部IP地址，即[b]61.139.1.1[/b]～[b]61.139.1.4[/b]，然后添加总部网络地址范围[b]10.1.1.0[/b]～[b]10.1.1.255[/b]，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn49.jpg[/img]

在[b]站点到站点网络规则[/b]页，默认情况下向导将为远程站点和内部网络之间创建一个路由关系为[b]路由[/b]的网络规则。你可以修改目的网络，但不能修改网络关系；如果需要修改路由关系为 NAT，则只能手动创建网络规则或自动创建后再修改。在此我接受默认设置，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn50.jpg[/img]

在[b]站点到站点访问规则[/b]页，在此可以为远程站点和内部网络的互访自动创建访问规则，在此我选择[b]允许所有出站协议[/b]，这样将创建一个访问规则，允许内部和远程站点之间所有协议的互访，点击[b]下一步[/b]；

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn51.jpg[/img]

在[b]正在完成新建VPN站点到站点网络向导[/b]页，点击[b]完成[/b]，

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn52.jpg[/img]

同样在客户机上Ping对方网络发起连接，连接成功，双方的会话如下图所示：

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn53.jpg[/img]

[img]http://www.isacn.org/pic/2006_sitetositevpn/2006_sitetositevpn54.jpg[/img]

查看完整版本: [转贴]How to ：配置 ISA Server 2006 中的站点到站点 VPN 连接