Сурков Л.В. - Построение виртуальных частных сетей VPN в сетевой среде Windows Server 2008 или 2003 (1075631), страница 5
Текст из файла (страница 5)
Посколькумаршрутизаторы в Интернете обрабатывают только внешние IP-заголовки, онипересылают туннелированные данные на общий IP-адрес VPN-сервера.Рисунок 14МГТУ им. БауманаКафедра ИУ-620Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010Случай а):Клиент дозванивается до ISP и получает (обычно) общий IP-адрес. При этом адресосновного шлюза в IPCP-процессе не назначается. Маршрут по умолчанию необходимодобавить в таблицу маршрутизации.Случай б):Клиент имеет соединение с intranet (или просто имеет иной TCP/IP интерфейс) идозванивается до ISP. В этом случае клиент получает от ISP IP-адрес и новый шлюз поумолчанию.
Причем предыдущий шлюз по умолчанию получает значение более высокойметрики (т.е. становится менее приоритетным) по сравнению с новым шлюзом. Т.о. адресав интрасети, находящиеся вне сети, к которой клиент удаленного доступа подключеннапрямую.Новый шлюз назначается автоматически (по умолчанию).Чтобы запретить создание маршрута по умолчанию:В свойствах TCP/IP объекта соединения удаленного доступа откройте диалоговоеокно Advanced TCP/IP Settings, перейдите на вкладку General и сбросьте флажок Usedefault gateway on remote network.Рисунок 15Чтобы обеспечить связь как с адресами в интрасети, так и с адресами и Интернете,пока активно соединение с ISP, не сбрасывайте флажок Use default gateway on remotenetwork, а в таблицу маршрутизации на клиенте удаленного доступа добавьте маршруты кинтрасети. Эти маршруты можно добавить как статические (командой route) или, если винтрасети используется протокол маршрутизации RIP Версии 1, воспользоваться службойМГТУ им.
БауманаКафедра ИУ-621Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010Route Listening Service для прослушивания трафика RiP vl и динамического добавлениянужных маршрутов.
Тогда после соединения с ISP все адреса в интрасети будутдостижимы через маршруты к интрасети, а все адреса в Интернете — через маршрут поумолчанию.Случай в):Клиент уже имеет соединения с intranet либо ISP или оба вместе, и пытаетсяустановить VPN. Стоит отметить, что ситуация аналогична предыдущей.Когда VPN-клиент создает VPN-соединение, в его таблицу маршрутизациидобавляются еще один маршрут по умолчанию и маршрут к VPN-серверу (рисунок 16).Прежний маршрут по умолчанию сохраняется, но его метрика увеличивается.
Добавлениенового маршрута по умолчанию означает, что все адреса в Интернете, кроме IP-адресасервера туннелирования, недостижимы до закрытия VPN-соединения.Как и в случае клиента удаленного доступа, подключающегося к Интернету,создание VPN-клиентом удаленного доступа VPN-соединения с частной интрасетью черезИнтернет влечет за собой одно из следующих последствий: пока VPN-соединение неактивно, адреса в Интернете достижимы, а в интрасети черезинтеренет— нет; пока VPN-соединение активно, адреса в интрасети через Интернет достижимы, а вИнтернете —нет.Для большинства VPN-клиентов, подключенных к Интернету, такая схема несоздает никаких проблем, потому что они, как правило, поддерживаюткоммуникационную связь либо с интрасетью. либо с Интернетом, но не то и другоеодновременно.А что касается VPN-клиентов, которым после установления VPN-соединения нуженодновременный доступ и к интрасети, и к Интернету, то конкретное решение зависит оттипа адресации в интрасети.
Но в любом случае объект VPN-соединения следуетнастроить так, чтобы новый основной шлюз не добавлялся. Тогда после создания VPNсоединения маршрут по умолчанию будет по-прежнему указывать адрес NAS-сервера ISP,что позволит обращаться по любым адресам в Интернете.Исходя из типа адресации в интрасети одновременный доступ к ресурсам интрасетии Интернета реализуется следующим образом.Общие адреса. Добавьте статические постоянные маршруты к общим адресаминтрасети с использованием IP-адреса виртуального интерфейса VPN-сервера в качествеIP-адреса шлюза.Частные адреса.
Добавьте статические постоянные маршруты к частным адресаминтрасети с использованием IP-адреса виртуального интерфейса VPN-сервера в качествеIP-адреса шлюза.Перекрывающиеся или недопустимые адреса. Если в интрасети используютсяперекрывающиеся (overlapping) или недопустимые (illegal) адреса (идентификаторы IPсетей, которые не являются частными и либо не зарегистрированы в InterNIC, либополучены от ISP), эти IP-адреса могут дублировать общие адреса в Интернете. Если втаблицу маршрутизации на VPN-клиенте добавляются статические постоянные маршрутыс перекрывающимися адресами, то совпадающие: с ними адреса в Интернетенедостижимы.МГТУ им.
БауманаКафедра ИУ-622Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010Рисунок 16В каждом из этих случаев в таблицу маршрутизации на VPN-клиенте нужнодобавлять статические постоянные маршруты к идентификаторам сетей, используемым винтрасети.Каждый маршрут добавляется следующей командой:ROUTE ADD <идентификатор сети для интрасети> MASK <маска сети> <IPадрес виртуального интерфейса VPN-сервера> -рIP-адрес шлюза в командах route для каждого маршрута интрасети — это IP-адресвиртуального интерфейса VPN-сервера, а не его Интернет-интерфейса.Вы можете определить IP-адрес виртуального интерфейса VPN-сервера по IP-адресуинтерфейса Internal (Внутренний), раскрыв в оснастке Routing and Remote Access узлы IPRouting и General (Общие).Рисунок 17Если IP-адреса для VPN-клиентов и удаленного доступа к сетям выделяются черезDHCP, то IP-адрес виртуального интерфейса VPN-сервера является первым IР-адресом,полученным от DHCP.МГТУ им.
БауманаКафедра ИУ-623Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010Если Вы сконфигурировали статический пул IP-адресов, то IP-адрес виртуальногоинтерфейса VPN-сервера – первый IP-адрес из этого пула.Вы можете выяснить IP-адрес виртуального интерфейса VPN-сервера и такимспособом: дважды щелкните объект активного VPN-соединения и в диалоговом окнеStatus перейдите на вкладку Details.Рисунок 18Необходимо быть очень осторожным при добавлении маршрутов, чтобыгарантировать передачу трафика, связанного с интрасетью, по VPN-, а не по РРРсоединению с ISP. Если Вы добавите неправильные маршруты, то трафик, которыйдолжен был бы пересылаться через VPN в зашифрованном виде, будет передаваться черезИнтернет открытым текстом.VPN-соединения между маршрутизаторамиВ случае VPN-соединений между маршрутизаторами пересылка пакетовосуществляется через интерфейс соединения по требованию (demand-dial interface),настраиваемый следующим образом.На вкладке General (Общие) введите хост-имя или IP-адрес VPN-сервера.На вкладке Security (Безопасность) выберите либо шифрование пароля и данных, либопереключатель Custom (Дополнительные (особые параметры)].
Выбрав Custom. Выдолжны указать подходящие параметры шифрования и аутентификации.На вкладке Networking (Сеть) укажите нужный тип сервера и протоколы, подлежащиемаршрутизации. Если в качестве типа сервера Вы выбрали вариант Automatic(Автоматически), то сначала предпринимается попытка установить соединение L2TPповерх IPSec, затем РРТР-соединение.В окне Interface Credentials (Учетные данные для интерфейса) введите имяпользователя, пароль и имя домена, применяемые для проверки вызывающей»маршрутизатора.МГТУ им. БауманаКафедра ИУ-624Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev.
2010В создании интерфейсов соединения по требованию помогает Demand-Dial InterfaceWizard (Мастер интерфейса вызова по требованию). Имя такого интерфейса наотвечающем маршрутизаторе должно совпадать с именем пользователя в удостоверениях(учетных данных) вызывающего маршрутизатора и наоборот — иначе Вам не удастсяустановить VPN-соединение между маршрутизаторами.Временные и постоянные VPN-соединения между маршрутизаторамиVPN-соединения между маршрутизаторами могут быть временными илипостоянными. Временные соединения создаются для пересылки пакетов через VPN-интерфейссоединения по требованию и закрываются по истечении определенного временипростоя.
Этот интервал задается как на VPN-клиенте (вызывающем маршрутизаторе),так и на VPN-сервере (вызываемом маршрутизаторе). По умолчанию время простоядля интерфейсов соединения по требованию на VPN-клиенте не ограничено, а на VPNсервере — составляет 20 минут. Эти интервалы можно изменить по своемуусмотрению. Временные VPN-соединения между маршрутизаторами рекомендуетсяиспользовать в филиалах, сначала подключающихся к Интернету через местныхпровайдеров. Постоянные соединения создаются при запуске маршрутизатора и существуютнезависимо от того, пересылается по ним трафик или нет. Если VPN-соединениезакрывается, оно автоматически восстанавливается.
Используйте постоянные VPNсоединения между маршрутизаторами в офисах, располагающих постояннымиподключениями к Интернету.Чтобы сделать соединение временным или постоянным:1. В оснастке Routing and Remote Access выберите Routing Interfaces.2. Щелкните правой кнопкой мыши нужный интерфейс соединения по требованию ивыберите команду Properties.3. На вкладке Options в разделе Connection Type выберите один из переключателей: либоDemand dial, либо Persistent.VPN-соединения через подключение удаленного доступа с ISPЕсли VPN-сервер и VPN-клиент напрямую подключены к Интернету попостоянному WAN-каналу типа Т1 или Frame Relay, то VPN-соединение может бытьпостоянным и действовать круглосуточно.
Однако, если нет возможности использоватьпостоянный WAN-канал или если его применение нерентабельно, то можносконфигурировать VPN-соединение между маршрутизаторами, устанавливаемое потребованию и использующее подключение удаленного доступа к ISP. Для этого VPNсоединения нужно два интерфейса соединения по требованию: один обеспечиваетподключение к местному ISP, другой — создание VPN-соединения междумаршрутизаторами.ВременноеVPN-соединениемеждумаршрутизаторамиустанавливается автоматически, когда маршрутизатор филиала принимает трафик,подлежащий пересылке по VPN-соединению. Например, получив пакет, который нужнопереслать в центральный офис, маршрутизатор филиала сначала связывается с местнымISP по коммутируемой линии.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
