《网络安全技术》课件第8章.pptVIP

图8.9“IP地址指定”显然，第二种方式会让用户觉得能对IP地址指定进行更好的控制。此时用户必须提供一个地址范围，并且用户能够通过查找连接服务器的IP地址列表来快速判断该连接是内部访问还是VPN客户端。如果用户选择这种方式而又使用与其内部网络相同的地址空间，那么为了防止地址冲突，用户需要确认其已选择的地址范围不在其他DHCP服务器定义的DHCP范围之内。图8.9中选择的是第二个选项，从一个指定的地址池中分配地址。此时必须建立地址池，这项工作将在“指定地址范围”窗口中实现。通常情况下，用户可以指定与VPN服务器一端的局域网类似的地址范围。要增加地址范围，单击“新建”按钮，指定地址范围的首地址和该地址池中的结束地址或地址个数。这里要注意的是：认证是提供远程访问服务的关键问题之一。如果没有认证，任何人只要能够到达VPN服务器就能够访问其对应的内部网络。如果网络中有一个远程认证拨号用户服务(RADIUS)的服务器，则WindowsServer2003VPN服务将利用该服务器来进行认证。如果网络中没有RADIUS服务器，则用户可使用RRAS(路由和远程访问服务)来处理认证工作(在“管理多个远程访问服务器”窗口上设置如何认证)。完成这些工作之后，向导将根据用户指定的参数来配置RRAS服务。配置完成后，如果用户选择的是使用现有的DHCP服务器，则向导将通知用户需允许DHCP服务器转发给客户端。这时在RRAS对应窗口上的本地服务器旁边有一个绿箭头，该箭头说明这一服务已经被激活，如图8.10所示。图8.10RRAS已被激活3．连接客户端安装后的VPN服务器支持PPTP和L2TP连接，所以只要用户有使用VPN服务的权限就可以初始化这些连接。值得注意的是：Windows不会自动激活每个用户的RRAS服务，也就是说，管理员要根据每个用户的需求激活这项服务。要激活某个用户的VPN服务，首先从“活动目录用户和计算机”开始，在要激活RRAS服务的用户对象上单击右键，选择“属性”→在“属性”窗口中选择“拨号上网”，在“远程访问权限(拨入或VPN)”下选择“允许访问”选项，单击“应用”或“确定”按钮，这样用户就可以使用VPN服务了，如图8.11所示。图8.11激活用户的RRAS服务4．测试连接在上述步骤完成后，客户端的计算机使用它的用户凭证就可以连接到VPN服务器上。在客户端需要完成的步骤如下：选择“开始”→“我的网络位置”，从“网络任务”快捷菜单中选择“查看网络连接”，点击“创建一个新的连接”，这时系统将弹出一个向导帮助用户建立连接，在向导窗口中选择“连接到我的工作区网络”选项，下一步向导将询问该连接是一个拨号上网连接还是VPN连接，选择“VPN连接”并给该连接命名。需要注意的是：在建立VPN连接之前，用户需要先连接到公网，向导的“下一步”将要求VPN服务器的IP地址或者DNS名字，选中用户给出允许拨号访问该网络的用户名和用户密码凭证，点击“连接”。如果所有的安装过程都正确，则用户就可以连接到VPN服务器了，并且将从VPN服务器的静态地址池中得到一个IP地址。该静态地址池是在安装VPN服务器的过程中创建的。另一方面，在VPN服务器一端，用户可以通过选择“RRAS控制台”→“VPN服务器名称”→“远程访问客户端”，然后单击右键就可查看连接的详细内容。在完成上述步骤后，为了提供更好的安全性，用户可以激活远程访问控制策略，例如：指定认证类型或只允许L2TP/IPSec连接等。习题8.1请简述什么是VPN。8.2VPN有哪些特点？8.3VPN中的关键技术主要有哪些？8.4请比较VPN中常用隧道技术的优缺点。8.5VPN中通常采用什么方法进行身份验证？8.6请简述目前QoS技术中存在的问题。图8.2基于MPLS的IPVPN2)MPLSIPVPN的工作过程(1)用户端的路由器(CE)向提供商的路由器(PE)发送用户网络中的路由信息；(2)PE之间发送VPN-IP的信息以及相应的VPN标签；(3)PE与P路由器之间相互学习路由信息，并进行路由信息与骨干网络中标签的绑定。通过这三步，CE、PE和P路由器可以获取基本的网络拓扑以及路由信息。PE路由器还会拥有骨干网的路由信息和每个VPN的路由信息。当属于某一VPN的CE用户数据进入网络时，在CE与PE连接的接口处可以识别出该CE所属的VPN，以此为依据到这个VPN的路由表中读取下一跳的地址信息，同时在前传的数据包中打上VPN标签。为了到达目的端PE，应在起始端PE中读取骨干网路由信息，得