Virtuális magánhálózatok

A Windows 2000 Server Útválasztás és távelérés szolgáltatása az IP-biztonsággal (IPSec) ellátott Point-to-Point Tunneling protokoll (PPTP) vagy Layer Two Tunneling protokoll (L2TP) segítségével virtuális magánhálózati (VPN) szolgáltatásokat nyújt a távelérésű és a két útválasztó közötti VPN-kapcsolatok számára.

  • VPN-kiszolgáló telepítése előtt olvassa el a következő témakört: Feladatlista: VPN-kiszolgáló telepítése és konfigurálása.

  • PPTP-kiszolgáló telepítése előtt nézze át a következő témakört: Feladatlista: PPTP-kiszolgáló telepítése és konfigurálása.

  • Azokról a szolgáltatásokról, amelyek helye a Windows 2000 Server operációs rendszerben megváltozott, a következő témakörben olvashat: Megszokott feladatok végrehajtásának új módjai.

  • A virtuális magánhálózatok (VPN) használatával kapcsolatos tippek a következő témakörben találhatók: Gyakorlati tanácsok.

  • Az általános tudnivalókat a következő témakörben tekintheti meg: Fogalmak.

  • A problémák elhárításáról a következő témakörben tájékozódhat: Hibaelhárítás.


Feladatlisták

A rész tartalma:

  • Feladatlista: VPN-kiszolgáló telepítése és konfigurálása

  • Feladatlista: PPTP-kiszolgáló telepítése és konfigurálása


Feladatlista: VPN-kiszolgáló telepítése és konfigurálása

Lépés | Hivatkozás
Tekintse át a kulcsfogalmakat. | Virtuális magánhálózatok – áttekintés
Telepítse a hardvert. | A gyártó által kiadott dokumentáció
Ellenőrizze, hogy a Windows 2000 operációs rendszert futtató számítógépbe építendő valamennyi hardvert ismeri-e a program. | A Microsoft Windows hardverkompatibilitási listát tartalmazó Microsoft webhely (http://www.microsoft.com/)
Ellenőrizze, hogy sikeres volt-e a hardver telepítése a Windows 2000 rendszer alá. | Eszközkezelő
Telepítse és állítsa be a protokollokat. | Hálózati kommunikáció
Telepítse az Útválasztás és távelérés szolgáltatást. | Az Útválasztás és távelérés szolgáltatás engedélyezése
Konfigurálja a TCP/IP protokollt. | A TCP/IP és a távelérés
Állítsa be a szükséges PPTP- és L2TP-portok számát. | PPTP- vagy L2TP-portok hozzáadása
Konfiguráljon PPTP- és L2TP IPSec-en típusú szűrőket az internetes összeköttetésen. | Csomagszűrők kezelése
Állítsa be a behívási tulajdonságokat, valamint a behívási jogosultságra, a hitelesítésére és a titkosítási beállításokra vonatkozó, távelérési házirendeket. | Bevezetés a távelérési házirendek használatába
(Nem kötelező) A Windows 2000 távelérés-útválasztóját konfigurálja RADIUS-ügyfélként. | RADIUS-hitelesítés használata
(Nem kötelező) Állítsa be az IPX protokollt. | Az IPX és a távelérés
(Nem kötelező) Állítsa be a NetBEUI protokollt. | A NetBEUI és a távelérés


Feladatlista: PPTP-kiszolgáló telepítése és konfigurálása

Lépés | Hivatkozás
Tekintse át a kulcsfogalmakat. | Virtuális magánhálózatok – áttekintés
Telepítse a hardvert. | A gyártó által kiadott dokumentáció
Ellenőrizze, hogy a Windows 2000 operációs rendszert futtató számítógépbe építendő valamennyi hardvert ismeri-e a program. | A Microsoft Windows hardverkompatibilitási listát tartalmazó Microsoft webhely (http://www.microsoft.com/)
Ellenőrizze, hogy sikeres volt-e a hardver telepítése a Windows 2000 rendszer alá. | Eszközkezelő
Telepítse és konfigurálja a TCP/IP protokollt. | Hálózati kommunikáció
Telepítse az Útválasztás és távelérés szolgáltatást. | Az Útválasztás és távelérés szolgáltatás engedélyezése
Állítsa be a szükséges PPTP-portok számát. | PPTP- vagy L2TP-portok hozzáadása
Állítsa be a PPTP-szűrőket az internetes összeköttetésen. | PPTP-szűrők hozzáadása
Állítsa be a behívási tulajdonságokat, valamint a behívási jogosultságra, a hitelesítésére és a titkosítási beállításokra vonatkozó, távelérési házirendeket. | Bevezetés a távelérési házirendek használatába

Megjegyzés

  • A Point-to-Point Tunneling protokoll automatikusan kerül telepítésre.


Megszokott feladatok végrehajtásának új módjai

A következő táblázat a Windows 2000 virtuális magánhálózatok konfigurálásával kapcsolatos leggyakoribb feladatokat tartalmazza. A Windows 2000 rendszerben a feladatok végrehajtására szolgáló felhasználói felület nem ugyanaz, mint a Windows NT 4.0-s verziójában, illetve az Útválasztás és távelérés szolgáltatással (RRAS) ellátott Windows NT 4.0-s verzióban.

Cél | Windows NT 4.0 operációs rendszerben | RRAS szolgáltatással ellátott Windows NT 4.0 operációs rendszerben | Windows 2000 operációs rendszerben
A Point-to-Point Tunneling protokoll (PPTP) telepítése | A Vezérlőpult Hálózat párbeszédpaneljének Protokollok lapja | A Vezérlőpult Hálózat párbeszédpaneljének Protokollok lapja | A PPTP protokoll automatikusan kerül telepítésre
A PPTP-kapcsolatok maximális számának beállítása | A Vezérlőpult Hálózat párbeszédpaneljének Protokollok lapja | A Vezérlőpult Hálózat párbeszédpaneljének Protokollok lapja | Az Útválasztás és távelérés szolgáltatás Portok tulajdonságlapja
A PPTP-csomagszűrés beállítása | A TCP/IP protokoll tulajdonságlapjáról (amely a Vezérlőpult Hálózat párbeszédpaneljének Protokollok lapjáról érhető el) megnyitható IP-címzés különleges beállításai párbeszédpanel | A Távoli elérés (RAS) felügyelő eszköz IP útválasztás mappájának Összefoglalás almappájában szereplő, adott IP-összeköttetés tulajdonságlapja | Az Útválasztás és távelérés szolgáltatás IP-útválasztás mappájának Általános almappájában szereplő, adott IP-összeköttetés tulajdonságlapja


Gyakorlati tanácsok

Az alábbi listán, mely a Microsoft Technikai Tanácsadó Szolgáltatások ajánlásain alapul, a virtuális magánhálózatok kialakításához és beállításához találhatók gyakorlati tanácsok.

  • Az IP-címeket kérje DHCP útján

    • Ha van DHCP-kiszolgáló telepítve, konfigurálja úgy a VPN-kiszolgálót, hogy DHCP segítségével szerezze be a VPN-ügyfelek IP-címeit. Ha nincs DHCP-kiszolgáló telepítve és csak egy alhálózattal rendelkezik, konfigurálja a VPN-kiszolgálót olyan statikus IP-címkészlettel, amely azon alhálózat IP-címtartományának részhalmaza, melyhez a VPN-kiszolgáló csatlakozik. További tudnivalók a Statikus IP-címkészlet létrehozása című témakörben találhatók.

    Ha nincs DHCP-kiszolgáló telepítve és több alhálózattal, valamint útválasztásos infrastruktúrával rendelkezik, konfigurálja a VPN-kiszolgálót olyan statikus IP-címkészlettel, amely egy, a VPN-kiszolgálót tartalmazó alhálózattól különálló alhálózat címtartományait foglalja magában. Ezután adja hozzá a szomszédos útválasztók útválasztási tábláihoz azokat a statikus útvonalakat, amelyek a címtartományokat jelölik, vagy engedélyezze a VPN-kiszolgálón az útválasztásos infrastruktúra útválasztási protokollját. További tudnivalók a Statikus IP-címkészlet létrehozása című témakörben találhatók.

  • Használjon erős hitelesítést
    • Olyan erős, 8 karakternél hosszabb jelszavakat használjon, melyek kis- és nagybetűket, számokat és megengedett írásjeleket is tartalmaznak. Ne használjon neveken vagy szavakon alapuló jelszavakat. Az erős jelszavak ellenállóbbak a szólistán alapuló feltörési kísérletekkel szemben, amelynek lényege, hogy egy jogosulatlan felhasználó úgy próbál feltörni egy jelszót, hogy sokszor egymás után gyakran használt nevet és szót ad meg.
    • Annak ellenére, hogy az EAP-TLS hitelesítési protokoll rendszerleíró adatbázison alapuló bizonyítványokkal dolgozik, a távelérésű VPN-kapcsolatokhoz csak intelligens kártyával ajánlatos használni.
    • Ha az MS-CHAP protokollt használja, akkor a 2-es verziót vegye igénybe. A Windows NT 4.0, a Windows 98 és a Windows 95 rendszert futtató VPN-ügyfelek számára az MS-CHAP legújabb frissítését a Microsofttól szerezheti be. További tudnivalók az MS-CHAP 2-es verzió című témakörben találhatók.
  • Használjon erős titkosítást

    • Az adott helyzetben lehetséges legerősebb titkosítási szintet használja. Az észak-amerikai VPN-kapcsolatok esetében használja az erős vagy legerősebb titkosítást. Az Észak-Amerikán kívüli VPN-kapcsolatok esetében válassza az alapszintű titkosítást. A legerősebb titkosítás csak a Windows 2000 észak-amerikai verzióiban érhető el.

  • Az IPX-hálózati azonosítók esetén használjon automatikus kiosztást

    • Konfigurálja úgy a VPN-kiszolgálót, hogy automatikusan ossza ki ugyanazt az IPX-hálózati azonosítót minden VPN-ügyfélnek.


Fogalmak

Ez a rész a Windows 2000 távelérés-útválasztót használó virtuális magánhálózatról (VPN) nyújt általános háttérinformációkat:

  • Virtuális magánhálózatok – áttekintés
  • A virtuális magánhálózatok ismertetése
  • A virtuális magánhálózatok használata
  • Forrásmunkák


Virtuális magánhálózatok – áttekintés

A rész tartalma:

  • Virtuális magánhálózatok
  • VPN-kapcsolatok
  • A virtuális magánhálózatok típusai
  • A Windows 2000 új szolgáltatásai virtuális magánhálózatok számára


Virtuális magánhálózatok

A virtuális magánhálózat (VPN) a magánhálózat egy bővített formája, ami magában foglalja a megosztott vagy nyilvános hálózatokon (például Interneten) keresztüli kapcsolatokat is. Virtuális magánhálózattal úgy küldhet adatokat két számítógép között megosztott vagy nyilvános hálózaton keresztül, mintha a két gép két pont közötti, privát kapcsolatban lenne egymással. A virtuális magánhálózat kiépítése tulajdonképpen a virtuális magánhálózat létrehozását és konfigurálását jelenti.

A két pont közötti kapcsolat emulálása érdekében az adatokhoz hozzáfűződik egy fejléc (ezt a műveletet nevezik beágyazásnak), amely az adat megosztott vagy nyilvános hálózaton keresztül történő, végpont eléréséhez szükséges útvonalára vonatkozó információkat tartalmazza. Privát kapcsolat emulálásánál biztonsági szempontok miatt az adatok titkosítva vannak. A megosztott vagy nyilvános hálózaton elfogott csomagok a titkosító kulcsok nélkül megfejthetetlenek. Azt a kapcsolatot, amelyben az adatok be vannak ágyazva és tikosítottak, virtuális magánhálózati (VPN) kapcsolatnak nevezik.

Az alábbi kép a VPN-kapcsolat logikai megfelelőjét ábrázolja.

A virtuális magánhálózati kapcsolat (VPN) logikai megfelelője

A mobil felhasználók, illetve az otthon dolgozó felhasználók a VPN-kapcsolatok segítségével nyilvános hálózatokon (például az Interneten) keresztül távelérésű kapcsolatot tudnak létesíteni egy szervezet kiszolgálójával. A felhasználó szempontjából a VPN-kapcsolat két pont közötti kapcsolat a számítógép (a VPN-ügyfél) és egy szervezet kiszolgálója (a VPN-kiszolgáló) között. A megosztott vagy nyilvános hálózat pontos infrastruktúrája lényegtelen, mert logikailag olyan, mintha az adat egy állandó összeköttetésű kapcsolaton keresztül mozogna.

A VPN-kapcsolatok segítségével a szervezetek földrajzilag különálló irodákkal vagy más szervezetekkel is létesíthetnek kapcsolatot nyilvános hálózaton (például az Interneten) keresztül úgy, hogy a kommunikáció biztonságos maradjon. Az Interneten keresztüli VPN-kapcsolat logikailag úgy működik, mint egy állandó összeköttetésű WAN-kapcsolat.

A szervezet mind a távelérésű, mind az útválasztásos kapcsolatoknál használhat VPN-kapcsolatokat távolsági telefonhíváshoz, vagy bérelt vonalakat helyi híváshoz, illetve bérelt vonalakat egy Internet-szolgáltatóval (ISP) való kapcsolathoz.

A Windows 2000 operációs rendszerben kétféle VPN-technológia található:

  1. Point-to-Point Tunneling protokoll (PPTP)

    2. A PPTP protokoll felhasználói szintű, Point-to-Point protokoll (PPP) típusú hitelesítési módszereket és Microsoft pont-pont típusú titkosítást (MPPE) használ az adatok titkosításához.

  2. Layer Two Tunneling protokoll (L2TP) IP-biztonsággal (IPSec)

    3. Az L2TP protokoll felhasználói szintű, PPP-típusú hitelesítési módszereket, és számítógépszintű, IPSec védelemmel ellátott bizonyítványokat használ az adatok titkosításhoz.


VPN-kapcsolatok

A VPN-kapcsolatok létrehozása nagyon hasonlít arra, amikor telefonos kapcsolat és igény szerinti tárcsázás segítségével hoznak létre pont-pont típusú kapcsolatot. A VPN-kapcsolatok két típusát különböztetjük meg:

  • Távelérésű VPN-kapcsolat
  • Két útválasztó közötti VPN-kapcsolat


Távelérésű VPN-kapcsolat

A távelérésű ügyfelek (egyfelhasználós számítógépek) távoli elérésű VPN-kapcsolatot hoznak létre egy virtuális magánhálózattal. A VPN-kiszolgáló elérhetővé teszi a saját vagy a teljes hálózat erőforrásait, amelyhez csatlakoztatva van. A távoli ügyféltől a VPN-kapcsolaton keresztül küldött csomagok a távelérésű ügyfélgépen keletkeznek.

A távelérésű ügyfél (VPN-ügyfél) hitelesíti magát a távelérésű kiszolgálónál (VPN-kiszolgálónál), és a kölcsönös hitelesítés érdekében a kiszolgáló is hitelesíti magát az ügyfél számára.

A Windows 2000, Windows NT 4.0, Windows 95, vagy Windows 98 rendszert futtató számítógépek képesek VPN-kapcsolatok létrehozására a Windows 2000 rendszert futtató VPN-kiszolgálóval. A VPN-ügyfelek lehetnek bármilyen nem Microsoft-fejlesztésű, Point-to-Point Tunneling protokollt (PPTP) vagy Layer Two Tunneling protokollt (L2TP) és Internet-protokollos adatvédelmet (IPSec) futtató ügyfelek.


Két útválasztó közötti VPN-kapcsolat

Egy útválasztó létrehoz egy két útválasztó közötti VPN-kapcsolatot, amely egy magánhálózat két részét köti össze. A VPN-kiszolgáló útválasztásos kapcsolatot biztosít annak a hálózatnak, amelyhez csatlakoztatva van. A két útválasztó közötti VPN-kapcsolat esetében a valamelyik útválasztóról a VPN-kapcsolaton keresztül küldött csomagok általában nem az útválasztón jönnek létre.

A hívó útválasztó (VPN-ügyfél) hitelesíti magát a fogadó útválasztónál (VPN-kiszolgálónak), és a kölcsönös hitelesítés érdekében a fogadó útválasztó is hitelesíti magát a hívó útválasztó számára.

Két útválasztó közötti VPN-kapcsolatot olyan számítógéppel lehet létrehozni, amelyen Windows 2000 vagy Útválasztás és távoli elérés szolgáltatással (Routing and Remote Access Service – RRAS) ellátott Windows NT Server 4.0 fut. VPN-ügyfél lehet bármely olyan, nem a Microsoft által kifejlesztett, Point-to-Point Tunneling protokollt (PPTP) vagy Layer Two Tunneling protokollt (L2TP) használó ügyfél is, amely Internet-protokollos adatvédelmet (IPSec) használ.

Az útválasztók közötti kapcsolatoknak az IPSec biztonságosan feloldott tartalom (ESP) bújtatási módjával történő létrehozásáról további tájékoztatás a Windows 2000 Resource Kit című könyvben található.


A virtuális magánhálózatok típusai

VPN-kapcsolatokat akkor érdemes használni, ha a felhasználók vagy a hálózatok összekötéséhez biztonságos, két pont közötti kapcsolatra van szükség. A VPN-kapcsolatok általában Internet vagy intranet alapúak. A rész tartalma:

  • Internet alapú virtuális magánhálózatok
  • Intranet alapú virtuális magánhálózatok


Internet alapú virtuális magánhálózatok

Az Internet alapú virtuális magánhálózati kapcsolatok használatával elkerülheti a távolsági hívásokkal járó telefonköltségeket, és közben az Internet által biztosított, egész világra kiterjedő hozzáférést is kiaknázhatja.

Interneten keresztül megvalósított távelérés

A távelérésű ügyfél a távolsági hívással hozzáférhető vállalati vagy külső hálózati elérést biztosító (NAS) kiszolgáló helyett a helyi Internet-szolgáltatóval lép kapcsolatba. A helyi Internet-szolgáltatóval (ISP) fenntartott fizikai kapcsolat segítségével a távelérésű ügyfél VPN-kapcsolatot kezdeményez az Interneten keresztül a szervezet VPN-kiszolgálójával. Amint a VPN-kapcsolat létrejött, a távelérésű ügyfél hozzáférhet a privát intranet erőforrásaihoz.

Az alábbi ábrán Interneten keresztül megvalósított távelérés látható.

Interneten keresztül, virtuális magánhálózati kapcsolat segítségével megvalósított távelérés

Interneten keresztül kapcsolódó hálózatok

Az Interneten keresztül kapcsolódó hálózatoknál a csomagokat egy útválasztó VPN-kapcsolaton keresztül továbbítja egy másik útválasztóhoz. Az útválasztók számára a VPN-kapcsolat adatkapcsolati rétegű kapcsolatként működik.

Az alábbi ábrán Interneten keresztül kapcsolódó hálózatok láthatók.

Interneten keresztül, virtuális magánhálózati kapcsolat segítségével kapcsolódó hálózatok

Állandó összeköttetésű WAN-kapcsolatok használata

A fiókirodai útválasztók Internetre való csatlakozása a helyi Internet-szolgáltatóhoz (ISP) csatlakozó helyi, állandó összeköttetésű WAN-kapcsolatok segítségével történik, így nem kell költséges távolsági, állandó összeköttetésű WAN-kapcsolatot használni a fiókirodák között. A két útválasztó közötti VPN-kapcsolatot valamelyik útválasztó kezdeményezi az Interneten keresztül. A kapcsolat létrejötte után az útválasztók a VPN-kapcsolat segítségével irányított vagy útválasztási protokollon keresztül továbbított forgalmat küldenek egymásnak.

Telefonos WAN-kapcsolatok használata

A fiókirodai útválasztó a távolsági hívással hozzáférhető vállalati vagy külső hálózati elérést biztosító (NAS) kiszolgáló helyett a helyi Internet-szolgáltatóval lép kapcsolatba. A helyi Internet-szolgáltatóval (ISP) fenntartott kapcsolat segítségével a fiókirodai útválasztó két útválasztó közötti VPN-kapcsolatot kezdeményez a vállalati iroda útválasztójával az Interneten keresztül. A vállalati iroda útválasztója VPN-kiszolgálóként működik, és a helyi Internet-szolgáltatóhoz (ISP) állandó összeköttetésű WAN-kapcsolat segítségével kell csatlakoznia.

Telefonos WAN-kapcsolat segítségével a vállalati irodát és a fiókirodát is az Internetre lehet csatlakoztatni. Ez azonban csak akkor lehetséges, ha az Internet-szolgáltató (ISP) támogatja az igény szerint tárcsázó útválasztást az ügyfelek felé, tehát ha az ügyfél számára IP-datagram érkezik, az Internet-szolgáltató felhívja az ügyfél útválasztóját. Az Internet-szolgáltatók általában nem támogatják az igény szerint tárcsázó útválasztást az ügyfelek felé.


Intranet alapú virtuális magánhálózatok

Az intranet alapú virtuális magánhálózati kapcsolat a szervezet intranetén belüli IP-kapcsolatokat használja ki.

Intraneten keresztül megvalósított távelérés

Néhány szervezet intranetén belül az egyes osztályok (mint például a humánpolitikai osztály) adatai annyira bizalmasak, hogy az osztály hálózata fizikailag le van választva a szervezeti intranet többi részétől. Ez ugyan megvédi az osztály adatait, de információ-hozzáférési gondok merülnek fel azoknál a felhasználóknál, akik nincsenek fizikailag csatlakoztatva a különálló hálózathoz.

VPN-kapcsolat esetében az osztály hálózata fizikai kapcsolatban áll a szervezeti intranettel, de egy VPN-kiszolgáló elválasztja őket. A VPN-kiszolgáló nem teremt közvetlen útválasztásos kapcsolatot a szervezeti intranet és az osztály hálózata között. A szervezeti intranet felhasználói, ha van megfelelő engedélyük, távelérésű VPN-kapcsolatot létesíthetnek a VPN-kiszolgálóval, és hozzáférhetnek a bizalmas adatokkal dolgozó osztály hálózatának védett erőforrásaihoz. Ezenkívül, adatbiztonsági szempontok miatt a VPN-kapcsolaton keresztüli összes kommunikáció titkosítva van. Azoknak a felhasználóknak, akiknek nincs engedélyük VPN-kapcsolat létesítésére, az osztály hálózata nem elérhető, láthatatlan.

Az alábbi ábrán intraneten keresztül megvalósított távelérés látható.

Intraneten keresztül, virtuális magánhálózati kapcsolat segítségével megvalósított távelérés

Intraneten keresztül kapcsolódó hálózatok

Két útválasztó közötti VPN-kapcsolat segítségével két hálózatot is csatlakoztathat intraneten keresztül. Egy adott szervezet különböző helyeken lévő, bizalmas adatokkal dolgozó osztályai két útválasztó közötti VPN-kapcsolat segítségével kommunikálhatnak egymással. Ez például olyan esetben fordulhat elő, ha a gazdasági osztálynak a fizetésekkel kapcsolatban kommunikálnia kell a humánpolitikai osztállyal.

A gazdasági osztály és a humánpolitikai osztály olyan számítógépekkel csatlakozik a közös intranethez, amelyek VPN-ügyfelekként és VPN-kiszolgálókként is képesek működni. Amint a VPN-kapcsolat létrejött, a két hálózat felhasználói a vállalati intraneten keresztül kicserélhetik egymással a bizalmas adatokat.

Az alábbi ábrán intraneten keresztül kapcsolódó hálózatok láthatók.

Intraneten keresztül, virtuális magánhálózati kapcsolat segítségével kapcsolódó hálózatok


A Windows 2000 új szolgáltatásai virtuális magánhálózatok számára

A Windows 2000 az alábbi új szolgáltatásokat nyújtja a virtuális magánhálózatok számára:

  • Layer Two Tunneling protokoll

    • A Point-to-Point Tunneling Protokoll (PPTP) mellett a Windows 2000 tartalmazza az iparági szabványként elfogadott Layer Two Tunneling protokollt (L2TP) is. A Windows 2000 IP-biztonságával (IPSec) együtt alkalmazott L2TP protokollal biztonságos virtuális magánhálózati (VPN) kapcsolatok hozhatók létre.

  • Távelérési házirendek

    • A távelérési házirend feltételek és kapcsolatbeállítások halmaza, amelyek lehetővé teszik a hálózati rendszergazdák számára, hogy rugalmasan állítsák be a távelérési engedélyeket és a csatlakozási attribútumokat. A távelérési házirend segítségével erős hitelesítést és titkosítást kényszeríthet a VPN-felhasználókra, illetve ettől eltérő hitelesítési és titkosítási megkötéseket a telefonos felhasználókra.

    További tudnivalók A távelérési házirendek című témakörben találhatók.

  • MS-CHAP 2-es verzió

    • A Microsoft Challenge Handshake Authentication protokoll (MS-CHAP) 2-es verziója jelentősen megnöveli a hitelesítő adatok átvitelének, valamint a titkosító kulcsok létrehozásának biztonságát a távelérésű kapcsolatok létesítésekor történő adategyeztetés során. Az MS-CHAP 2-es verzióját kifejezetten a virtuális magánhálózati (VPN) kapcsolatok hitelesítésére tervezték.

    További tudnivalók az MS-CHAP 2-es verzió című témakörben találhatók.

  • Extensible Authentication protokoll

    • Az Extensible Authentication protokoll (EAP) új hitelesítési módszereket tesz lehetővé a távelérésnél, ami különösen fontos az intelligens kártyán alapuló biztonság megvalósításakor. Az EAP az az összeköttetés, amely lehetővé teszi, hogy más hitelesítési modulok illeszkedjenek a PPP-porton keresztül megvalósított Windows 2000 táveléréshez. A Windows 2000 támogatja az EAP-MD5 CHAP és az EAP-TLS (intelligens kártyán és bizonyítványon alapú hitelesítésre használatos) protokollokat, valamint az EAP-üzenetek RADIUS-kiszolgálóra való továbbítását.

    További tudnivalók az EAP című témakörben találhatók.

  • Fiókok zárolása

    • A fiókok zárolása egy biztonsági szolgáltatás, ami adott számú sikertelen hitelesítési próbálkozás után megtagadja a hozzáférést. A fiókok zárolása segít megakadályozni a szólistán alapuló feltörési kísérleteket. Szólistán alapuló feltörési kísérletnek nevezzük azt, amikor egy jogosulatlan felhasználó megpróbál bejelentkezni úgy, hogy egy ismert felhasználónevet ad meg, jelszóként pedig gyakran alkalmazott szavakat próbál beírni. A fiókok zárolása alapértelmezés szerint le van tiltva.

    További tudnivalók a Fiókok zárolása című témakörben találhatók.


A virtuális magánhálózatok ismertetése

A rész tartalma:

  • A virtuális magánhálózatok összetevői
  • A VPN-kapcsolatok tulajdonságai
  • VPN-bújtatóprotokollok
  • VPN adatbiztonság
  • Igény szerinti, két útválasztó közötti VPN


A virtuális magánhálózatok összetevői

A Windows 2000 VPN-kapcsolatainak összetevői a következők:
  • VPN-kiszolgáló

    • Olyan számítógép, amely elfogadja a VPN-ügyfelektől a VPN-kapcsolatokat.

  • VPN-ügyfél

    • Olyan számítógép, amely VPN-kapcsolatot kezdeményez egy VPN-kiszolgálóval. A VPN-ügyfél lehet egyéni számítógép vagy útválasztó.

  • Bújtatási alagút

    • A kapcsolat azon része, amelybe az adatok be vannak ágyazva.

  • VPN-kapcsolat

    • A kapcsolat azon része, amelyben az adatok titkosítva vannak. A tipikus biztonságos VPN-kapcsolat esetén az adatok a kapcsolat azonos részében titkosítódnak és ágyazódnak be.

    Megjegyzés

    • Lehetséges a bújtatási alagúton titkosítás nélkül küldeni adatokat. Ez nem VPN-kapcsolat, mert a magánjellegű adatok titkosítás nélkül közlekednek megosztott vagy publikus hálózaton nem titkosított és könnyen olvasható formában.
  • Bújtatóprotokollok

    • A bújtatási alagutak kezelésére és a magánjellegű adatok beágyazására használt protokollok. A VPN-kapcsolatban a bújtatott adatokat is titkosítani kell. A Windows 2000 tartalmazza a PPTP és az L2TP bújtatóprotokollt. További információ a Point-to-Point Tunneling protokoll és a Layer Two Tunneling protokoll című témakörökben olvasható.

  • Bújtatott adatok

    • Olyan adatok, amelyeket általában pont-pont típusú magánkapcsolaton keresztül küldenek.

  • Közvetítő hálózat

    • Az a megosztott vagy publikus hálózat, amelyen a beágyazott adatok közlekednek. A Windows 2000 rendszerek esetén ez mindig IP-hálózat. A közvetítő hálózat lehet az Internet vagy egy IP alapú intranet.

Az alábbi ábra mutatja a virtuális magánhálózatok összetevőit.

A virtuális magánhálózat alkotóelemei

Megjegyzés

  • Általában a bújtatási alagút és a VPN-kapcsolat a kapcsolat azonos részén helyezkednek el. Létezik azonban a kötelező bújtatás nevű megoldás, ahol a bújtatási alagút (a beágyazás) és a VPN-kapcsolat (a titkosítás) nem a kapcsolat egyazon részén van meghatározva.


A VPN-kapcsolatok tulajdonságai

A PPTP vagy az L2TP IPSec-en protokollt használó VPN-kapcsolatok az alábbi jellemzőkkel rendelkeznek:

  • Beágyazás
  • Hitelesítés
  • Adattitkosítás

Beágyazás

A VPN-technológia felhasználásával a magánjellegű adatokat beágyazzák egy fejléccel együtt, amely azokat az útválasztási információkat tartalmazza, amely segítségével az adatok a köztes hálózaton közlekednek. A beágyazás példái a VPN-bújtatóprotokollok című témakörben találhatók.

Hitelesítés

A VPN-kapcsolatokhoz használt hitelesítésnek három fajtája van:

  1. Felhasználói szintű hitelesítés PPP-hitelesítéssel

    2. A VPN-kapcsolat létrehozásához a VPN-kiszolgáló Point-to-Point protokoll (PPP) felhasználói szintű hitelesítési metódussal hitelesíti azt a VPN-ügyfelet, amely a kapcsolatot kezdeményezte, és ellenőrzi, hogy a VPN-ügyfél rendelkezik-e a megfelelő jogosultságokkal. Ha kölcsönös hitelesítést használnak, akkor a VPN-ügyfél is hitelesíti a VPN-kiszolgálót, így védekezve az álcázott VPN-kiszolgálók ellen.

  2. Számítógép-szintű hitelesítés az ISAKMP használatával

    3. Az IPSec biztonsági hozzárendelések létrehozásához a VPN-ügyfél és a VPN-kiszolgáló számítógép-bizonyítványokat használnak, valamint az Internet Security Association and Key Management protokollt (ISAKMP) és az Oakley kulcsgeneráló protokollt. További tudnivalók Az IPSec biztonsági egyeztetési folyamata című témakörben találhatók.

  3. Adathitelesítés és integritás

    4. Annak ellenőrzése érdekében, hogy a VPN-kapcsolaton küldött adatok a kapcsolat másik végpontján keletkeztek és útközben nem lettek módosítva, az adatok egy titkosítási ellenőrzőösszeget tartalmaznak, amely egy, csak a feladó és a címzett által ismert titkosítási kulcson alapulnak. Az adathitelesítés és integritás ellenőrzése csak L2TP IPSec-en típusú kapcsolatok esetében lehetséges.

Adattitkosítás

Annak érdekében, hogy a megosztott vagy publikus hálózatokon közlekedő adatok hitelességét biztosítsák, az adatokat a feladó titkosítja, a címzett pedig megfejti. A titkosítási és megfejtési folyamat alapja, hogy a feladó és a címzett azonos titkosítási kulcsot használjon.

A köztes hálózaton keresztül VPN-kapcsolaton át küldött, elfogott csomagok nem értelmezhetők senki számára, aki nem rendelkezik a közös titkosítási kulccsal. A titkosítási kulcs hossza fontos biztonsági paraméter. A titkosítási kulcs meghatározásának vannak matematikai módszerei. Az ilyen technikák azonban annál nagyobb számítási teljesítményt és időt igényelnek, minél hosszabb a titkosítási kulcs. Ezért fontos a lehető legnagyobb kulcsméret használatával biztosítani a hitelességet.


VPN-bújtatóprotokollok

A rész tartalma:

  • Point-to-Point Tunneling Protokoll
  • Layer Two Tunneling protokoll


VPN-adatbiztonság

A rész tartalma:

  • Engedélyezés
  • Hitelesítés
  • Adattitkosítás
  • Csomagszűrés


Engedélyezés

A VPN-kapcsolatokat csak az arra jogosult felhasználók és útválasztók használhatják. A Windows 2000 esetében a VPN-kapcsolat engedélyezése a felhasználói fiók behívási tulajdonságaitól és a távelérési házirendektől függ. További tudnivalók A távelérési házirendek című témakörben találhatók.

A VPN-kapcsolatokhoz nem kell külön felhasználói fiókokat létrehozni. A VPN-kiszolgálók a felhasználói fiókok rendelkezésre álló adatbázisaiban megadott felhasználói fiókokat használják, a Windows 2000 adatvédelmével összhangban.

A biztonság működése csatlakozáskor

Az alábbi lépések azt mutatják be, hogy mi történik, miközben a PPTP alapú virtuális magánhálózati ügyfél megkísérli a csatlakozást a Windows 2000 rendszert futtató, PPTP alapú virtuális magánhálózati kiszolgálóhoz.

  1. A VPN-ügyfél PPTP-alagutat hoz létre a VPN-kiszolgáló felé.
  2. A kiszolgáló kihívást küld az ügyfélnek.
  3. Az ügyfél titkosított választ küld a kiszolgálónak.
  4. A kiszolgáló a felhasználói fiókok adatbázisával összehasonlítva ellenőrzi a választ.
  5. Ha a fiók érvényes és rendelkezik távelérési engedéllyel, a kiszolgáló elfogadja a csatlakozást, amelyre érvényesek a VPN-ügyfélre vonatkozó távelérési házirendek és fióktulajdonságok.

Megjegyzés

  • A 2-4. lépéseknél az a kiinduló feltételezés, hogy a VPN-ügyfél és a VPN-kiszolgáló MS-CHAP 1 vagy CHAP hitelesítési protokollt használ. Az ügyfél hitelesítő adatainak küldési módja más hitelesítési protokollok esetén eltérhet.

Az alábbi lépések azt mutatják be, hogy mi történik, miközben az L2TP IPSec-en alapú VPN-ügyfél megkísérli a csatlakozást a Windows 2000 rendszert futtató, L2TP IPSec-en alapú VPN-kiszolgálóhoz.

  1. A számítógép-bizonyítványok, az Internet Security Association and Key Management protokoll (ISAKMP) és az Oakley kulcsgeneráló protokoll segítségével létrejön az IPSec biztonsági hozzárendelés.
  2. A VPN-ügyfél L2TP-alagutat hoz létre a VPN-kiszolgáló felé.
  3. A kiszolgáló kihívást küld az ügyfélnek.
  4. Az ügyfél titkosított választ küld a kiszolgálónak.
  5. A kiszolgáló a felhasználói fiókok adatbázisával összehasonlítva ellenőrzi a választ.
  6. Ha a fiók érvényes és rendelkezik távelérési engedéllyel, a kiszolgáló elfogadja a csatlakozást, amelyre érvényesek a VPN-ügyfélre vonatkozó távelérési házirendek és fióktulajdonságok.

Megjegyzés

  • A 3-5. lépéseknél az a kiinduló feltételezés, hogy a VPN-ügyfél és a VPN-kiszolgáló MS-CHAP 1 vagy CHAP hitelesítési protokollt használ. Az ügyfél hitelesítő adatainak küldési módja más hitelesítési protokollok esetén eltérhet.

Biztonság a kapcsolatfelvétel után

Az engedélyezési és hitelesítési eljárásokon túljutva és a helyi hálózathoz csatlakozva a VPN-ügyfél csak azokat a hálózati erőforrásokat érheti el, amelyekhez engedélye van. A távelérésű VPN-ügyfelek ugyanúgy a Windows 2000 adatvédelme alá esnek, mintha az irodában lennének. Vagyis a távelérésű VPN-ügyfelek nem tehetnek olyat, amihez nincs elegendő jogosultságuk, és nem érhetnek el olyan erőforrásokat, amelyekhez nincs engedélyük.

A VPN-ügyfelek csak akkor tudnak a hálózati forgalomhoz hozzáférni, illetve hálózati forgalmat létrehozni, ha a távelérési kiszolgáló már hitelesítette őket. Ez a hitelesítési eljárás nem azonos a Windows 2000 rendszerbe való bejelentkezéssel.

A távelérésű VPN-ügyfelek hozzáférése csak a VPN-kiszolgáló megosztott erőforrásaira korlátozható, arra a hálózatra nem, amelyhez a VPN-kiszolgáló kapcsolódik. A rendszergazda így szigorúan ellenőrzése alatt tarthatja a távelérésű VPN-ügyfelek információhoz való hozzáférését, és korlátozhatja az ügyfelek adatainak felfedését arra az esetre, ha valaki feltörné a biztonsági rendszert.

Ezenkívül az IP-adatforgalom intranetes erőforrásokhoz való hozzáférése is korlátozható a távelérési házirend profilján alapuló csomagszűrők használatával. A profil alapú csomagszűrők segítségével beállíthatja a megengedett kimenő és bejövő IP-adatforgalmat (a kimeneti és bemeneti szűrőkön), a kivételek megadásával: vagy minden forgalom engedélyezett, kivéve a szűrők által meghatározott forgalmat, vagy semmilyen forgalom nem engedélyezett, kivéve a szűrők által meghatározott forgalmat. A távelérés házirendjének profilján alapuló szűrés minden olyan kapcsolatra érvényes, amelyet a távelérés házirendje érint.

További tudnivalók A távelérési házirend elemei című témakörben találhatók.


Hitelesítés

A VPN-ügyfél hitelesítése a VPN-kiszolgálón alapvető fontosságú a biztonság szempontjából. A hitelesítés két szinten történik:

  1. Számítógépszintű hitelesítés

    2. Ha az L2TP IPSec-en típusú VPN-kapcsolathoz Internet-protokoll biztonságot (IPSec) alkalmaznak, a számítógépszintű hitelesítés a számítógép-bizonyítványok cseréjével történik az IPSec biztonsági hozzárendelés során. További tudnivalók Az IPSec biztonsági egyeztetési folyamata című témakörben találhatók.

  2. Felhasználói szintű hitelesítés

    3. A PPTP- vagy L2TP-alagúton történő adatküldés előtt hitelesíteni kell a VPN-kapcsolatot igénylő felhasználót, illetve igény szerint tárcsázó útválasztót. A felhasználói szintű hitelesítés a Point-to-Point protokoll (PPP) hitelesítési módszerének alkalmazásával történik. További tudnivalók a Hitelesítési módszerek című témakörben találhatók.


Adattitkosítás

A VPN-ügyfél és a VPN-kiszolgáló, illetve a megosztott és a nyilvános hálózat között küldött adatokat titkosítással kell védeni, mert mindig fennáll az illetéktelen hozzáférés veszélye. A VPN-kiszolgálót úgy is beállíthatja, hogy az kényszerítse a kommunikáció titkosítását. Az ilyen kiszolgálókhoz csatlakozó felhasználóknak titkosítaniuk kell az adataikat, különben a kiszolgáló nem engedélyezi a kapcsolatfelvételt. VPN-kapcsolat létesítésekor a Windows 2000 a Point-to-Point Tunneling protokollhoz (PPTP) pont-pont típusú titkosítást (MPPE), a Layer Two Tunneling protokollhoz (L2TP) pedig Internet-protokoll biztonságot használ.

Mivel a VPN-ügyfél és a VPN-kiszolgáló között már titkosítva vannak az adatok, a telefonos ügyfél és az Internet-szolgáltató (ISP) közötti kommunikációs kapcsolat során már nincs szükség titkosításra. Ilyen eset például az, amikor egy mobil felhasználó telefonos kapcsolat útján csatlakozik egy helyi Internet-szolgáltatóhoz. Amint az Internet-kapcsolat létrejött, a felhasználó VPN-kapcsolatot hoz létre a vállalati VPN-kiszolgálóval. Ha a VPN-kapcsolat titkosított, a felhasználó és az Internet-szolgáltató közötti telefonos kapcsolatban nem kell újabb titkosítást használni.

Megjegyzések

  • PPP- és PPTP-kapcsolathoz csak akkor használható adattitkosítás, ha a felhasználói szintű hitelesítési eljárás során alkalmazott protokoll MS-CHAP (1-es vagy 2-es verzió) vagy EAP-TLS. Az L2TP protokollt használó kapcsolatok adattitkosítása számítógépszintű IPSec-hitelesítésre épül, amely semmilyen speciális felhasználói szintű hitelesítési módszert nem igényel.
  • A VPN-kapcsolat során használt adattitkosítás nem biztosítja az adatok végpontok közötti titkosítását. A végpontok közötti titkosítás azt jelenti, hogy az adatok az ügyfélalkalmazás és az általa elérni kívánt erőforrást vagy szolgáltatást tároló kiszolgáló között titkosítva vannak. Ha végpontok közötti titkosítást szeretne, létrehozása után az IPSec segítségével teheti biztonságossá a VPN-kapcsolatot.


Csomagszűrés

Annak biztosítására, hogy a VPN-kiszolgáló az internetes összeköttetésen a VPN-forgalmon kívül más forgalmat ne bonyolítson, az Internet-kapcsolathoz alkalmazott összeköttetésen PPTP vagy L2TP IPSec-en típusú bemeneti és kimeneti szűrőket kell konfigurálni. Két útválasztó közötti VPN-kapcsolat esetén a hívó útválasztót (a VPN-ügyfelet) is PPTP vagy L2TP IPSec-en típusú csomagszűrőkkel kell konfigurálni.

Mivel az intranetes összeköttetéseken és az Internet-kapcsolathoz alkalmazott összeköttetésen alapértelmezés szerint engedélyezve van az IP-útválasztás, a Windows 2000 rendszert futtató számítógép továbbítja az IP-csomagokat az Internet és az intranet között. Így közvetlen, útválasztásos kapcsolat jön létre az intranet és a potenciális rosszindulatú internetes felhasználók között. Ha a biztonság érdekében az intranetre csak a biztonságos VPN-kapcsolaton keresztül küldött és fogadott forgalom továbbítását kívánja engedélyezi, az internetes összeköttetésen PPTP vagy L2TP IPSec-en típusú szűrőket kell konfigurálnia.

A PPTP-szűrőkről további tudnivalók a PPTP-szűrők hozzáadása című témakörben találhatók. Az L2TP IPSec-en típusú szűrőkkel kapcsolatban az L2TP IPSec-en típusú szűrők hozzáadása című témakörben olvashat további információkat.


A virtuális magánhálózatok használata

A rész tartalma:

  • A Windows 2000 távelérés-útválasztójának telepítése
  • Virtuális magánhálózatok kialakítása
  • Virtuális magánhálózati forgatókönyvek


A Windows 2000 távelérés-útválasztójának telepítése

A Windows 2000 Server rendszert futtató, VPN-kiszolgálóként konfigurált számítógép egy távelérés-útválasztó, amely a VPN-ügyfeleknek távelérési és útválasztási szolgáltatásokat nyújt. A Windows 2000 távelérés-útválasztó telepítéséhez és konfigurálásához a Rendszergazdák csoport tagjaként kell bejelentkeznie.

Hardverkövetelmények

A Windows 2000 távelérés-útválasztó telepítése előtt az összes szükséges hardvernek telepítve kell lennie, és működnie kell. A hálózattól és az igényektől függően a következő hardverekre lehet szüksége:

  • Hitelesített Network Driver Interface Specification (NDIS) illesztőprogrammal rendelkező LAN- vagy WAN-csatoló
  • Egy vagy több ezzel kompatibilis modem és egy szabad COM port
  • Több távelérésű kapcsolat esetén a megfelelő teljesítmény érdekében egy többportos csatoló
  • X.25 intelligens kártya (X.25 hálózat esetén)
  • ISDN-csatoló (ISDN-vonal esetén)

Ha ellenőrizni szeretné, hogy a Windows 2000 Server rendszert futtató számítógép alkatrészei kompatibilisek-e egymással, tekintse meg a Microsoft Windows hardverkompatibilitási listát tartalmazó Microsoft webhelyet. (http://www.microsoft.com/)

Telepítés

A Windows 2000 Server rendszer telepítésekor az Útválasztás és távelérés szolgáltatás automatikusan kerül telepítésre. A telepítést követően az Útválasztás és távelérés szolgáltatás azonban letiltott módban lesz. További információ Az Útválasztás és távelérés szolgáltatás engedélyezése című témakörben található.


Virtuális magánhálózatok kialakítása

A rész tartalma:

  • Távelérésű virtuális magánhálózatok beállítása
  • Két útválasztó közötti virtuális magánhálózatok beállítása
  • Bizonyítványon alapuló hitelesítés beállítása VPN-kapcsolatokhoz


Távelérésű virtuális magánhálózatok beállítása

A rész tartalma:

  • A távelérésű virtuális magánhálózatok tervezési szempontjai
  • A távelérésű virtuális magánhálózatok adatvédelme
  • Távelérésű virtuális magánhálózatok kialakítása


A távelérésű virtuális magánhálózatok tervezési szempontjai

A problémák megelőzése érdekében a távelérésű VPN-kapcsolatok kialakítása előtt vegye figyelembe az alábbi tervezési szempontokat.

Bizonyítványok telepítése

Az L2TP IPSec-en típusú távelérésű VPN-kapcsolatok létesítéséhez telepítsen számítógép-bizonyítványokat a VPN-ügyfélre és a VPN-kiszolgálóra. További tudnivalók a Számítógép-bizonyítványok L2TP IPSec-en típusú VPN-kapcsolatokhoz című témakörben találhatók.

A PPTP- és az L2TP-portok számának növelése

A PPTP- és L2TP-portok száma alapértelmezés szerint öt. Több távelérésű VPN-ügyfélhez öt port nem mindig elég. A PPTP-portok számának növeléséről további tudnivalók a PPTP- vagy L2TP-portok hozzáadása című témakörben találhatók.

Távelérési házirend létrehozása távelérésű VPN-kapcsolatokhoz

A távelérési házirendek használatával olyan házirendet hozhat létre, amely a távelérésű VPN-kapcsolatoktól megköveteli egy adott hitelesítési módszer és titkosítási szint használatát.

Hozzon létre például egy VPN-felhasználók nevű Windows 2000 csoportot, melynek tagjai legyenek azon felhasználók felhasználói fiókjai, akik távelérésű VPN-kapcsolatokat hoznak létre az Interneten keresztül. Ezután hozzon létre egy házirendet a következő két feltétellel: az NAS-Port-Type attribútumot állítsa Virtuális (VPN), a Windows-Group attribútumot pedig VPN-felhasználók értékűre. Végül konfigurálja a házirend profilját a megadott hitelesítési módszerre és titkosítási szintre.

További tudnivalók a Bevezetés a távelérési házirendek használatába című témakörben találhatók.

Az IAS-kiszolgáló használata

Ha több, Windows 2000 rendszert futtató VPN-kiszolgálóval rendelkezik, mindegyiken konfigurálnia kell a távelérés házirendjeit és a naplózást. Ha ki szeretné használni a központosított, távelérési házirendeket és naplózást, a VPN-kiszolgálókat konfigurálja egy Internetes hitelesítési szolgáltatással (IAS) ellátott Windows 2000 rendszert futtató számítógép (RADIUS-kiszolgáló – Remote Authentication Dial-In User Service) RADIUS-ügyfeleiként.

Akkor is érdemes IAS-kiszolgálót használnia, ha a VPN-kiszolgálókon Útválasztás és távelérés szolgáltatással (RRAS) ellátott Windows NT 4.0 operációs rendszer fut, és ki szeretné használni a Windows 2000 rendszer távelérési házirendjeinek az előnyeit. A Windows NT 4.0 operációs rendszert futtató VPN-kiszolgálók nem konfigurálhatók RADIUS-ügyfelekként. A Windows NT 4.0 rendszert futtató VPN-kiszolgálót RRAS szolgáltatással ellátott Windows NT 4.0 rendszert futtató VPN-kiszolgálóvá kell továbbfejleszteni.

További tudnivalók A RADIUS használata több távelérési kiszolgálóhoz című témakörben találhatók.

A Csatlakozáskezelő használata

Nagyobb, távelérésű virtuális magánhálózat telepítéséhez használja a Csatlakozáskezelőt és a Csatlakozáskezelő felügyeleti csomagot, így a szervezet összes távelérésű ügyfeléhez előre konfigurált VPN-kapcsolatokkal ellátott egyéni tárcsázót hozhat létre.

A Csatlakozáskezelőről további tudnivalók a Csatlakozáskezelő felügyeleti csomag című témakörben találhatók. A VPN-támogatás Csatlakozáskezelő felügyeleti csomaggal történő megvalósításáról további információ A VPN-támogatás megvalósítása című témakörben található.


A távelérésű virtuális magánhálózatok adatvédelme

A távelérésű virtuális magánhálózatok biztonságát a következő módszerekkel növelheti:

  • Erős hitelesítés
  • Adattitkosítás
  • PPTP vagy L2TP IPSec-en típusú csomagszűrés
  • A távelérési házirend profilján alapuló csomagszűrés

Erős hitelesítés

A hitelesítéshez használja a távelérésű VPN-konfiguráción elérhető legerősebb hitelesítési módot. A legerősebb hitelesítési mód az EAP-TLS bizonyítványokkal történő alkalmazása. További tudnivalók a Bizonyítványon alapuló hitelesítés beállítása VPN-kapcsolatokhoz című témakörben találhatók.

Egyéb esetben használjon MS-CHAP 2 hitelesítést, és tegye kötelezővé az erős jelszavak használatát a hálózaton. További tudnivalók az MS-CHAP 2-es verzió című témakörben találhatók.

Adattitkosítás

Titkosításként kapcsolattitkosítást vagy végpontok közötti titkosítást használhat.

  • A kapcsolattitkosítás csak a VPN-ügyfél és a VPN-kiszolgáló között éppen úton lévő adatokat titkosítja. Erős titkosítást akkor használhat, ha a telephelyei Észak-Amerikában vannak. A PPTP-kapcsolatokhoz Microsoft pont-pont típusú titkosítást (MPPE) kell használnia MS-CHAP vagy EAP-TLS hitelesítéssel. Az L2TP IPSec-en típusú kapcsolatok esetén a VPN-ügyfél és a VPN-kiszolgáló közötti kapcsolat titkosítását az IPSec biztosítja.
  • A végpontok közötti titkosítás a forrásállomás és a végcél között titkosítja az adatokat. A VPN-kapcsolat létrejötte után is használhatja az IPSec biztonságot, ha az adatokat a forrásállomástól a célállomásig titkosítani kívánja.

Ha titkosítást kér, törölje a jelet a Nincs titkosítás jelölőnégyzetből a VPN-ügyfelek által használt távelérési házirend profiljának Titkosítás lapján, majd válassza ki a megfelelő titkosítási szinteket. További tudnivalók a Titkosítás konfigurálása című témakörben találhatók.

PPTP vagy L2TP IPSec-en típusú szűrés

Annak biztosítására, hogy a VPN-kiszolgáló az internetes összeköttetésen a VPN-forgalmon kívül más forgalmat ne bonyolítson, az Internet-kapcsolathoz alkalmazott összeköttetésen PPTP vagy L2TP IPSec-en típusú bemeneti és kimeneti szűrőket kell konfigurálni. A PPTP-szűrőkről további tudnivalók a PPTP-szűrők hozzáadása című témakörben találhatók. Az L2TP IPSec-en típusú szűrőkről bővebb információ az L2TP IPSec-en típusú szűrők hozzáadása című témakörben olvasható.

Mivel az IP-útválasztás engedélyezve van az internetes összeköttetésen, ha a vállalati útválasztó internetes összeköttetésén nincsenek beállítva PPTP vagy L2TP IPSec-en típusú szűrők, akkor az azon keresztül érkező összes üzenet át lesz irányítva, ami nemkívánatos internetes forgalmat továbbíthat a vállalati intranetbe.

A távelérési házirend profilján alapuló csomagszűrés

Az IP-forgalom azon speciális típusainak meghatározásához, amelyek a VPN-kapcsolaton keresztül be- és kijuthatnak, a távelérésű VPN-kapcsolatokhoz használt, távelérési házirend profilján IP-csomagszűrőket kell konfigurálni. A profil alapú csomagszűrők segítségével beállíthatja a megengedett kimenő és bejövő IP-adatforgalmat (a kimeneti és bemeneti szűrőkön), a kivételek megadásával: vagy minden forgalom engedélyezett, kivéve a szűrők által meghatározott forgalmat, vagy semmilyen forgalom nem engedélyezett, kivéve a szűrők által meghatározott forgalmat. A távelérés házirendjének profilján alapuló szűrés minden olyan kapcsolatra érvényes, amelyet a távelérés házirendje érint. További információ az IP-beállítások konfigurálása című témakörben található.


Távelérésű virtuális magánhálózatok kialakítása

A rész tartalma:

  • PPTP alapú távelérésű virtuális magánhálózat
  • L2TP alapú távelérésű virtuális magánhálózat


Bizonyítványon alapuló hitelesítés beállítása VPN-kapcsolatokhoz

A Windows 2000 rendszerben a VPN-kapcsolatok hitelesítésének legerősebb formája a bizonyítványok használata. Az L2TP IPSec-en típusú VPN-kapcsolatoknál bizonyítványon alapuló hitelesítést kell alkalmazni intelligens kártyával. Intelligens kártyáknál az Extensible Authentication protokollt (EAP) kell használni az Intelligens kártya vagy egyéb bizonyítvány EAP-típussal. Ez a megoldás EAP-TLS (EAP-Transport Level Security) néven is ismert.

A rész tartalma:

  • Számítógép-bizonyítványok L2TP IPSec-en típusú VPN-kapcsolatokhoz
  • Intelligens kártyák és távelérésű VPN-kapcsolatok
  • Igény szerint tárcsázó útválasztás bizonyítványon alapuló hitelesítésének kialakítása


Számítógép-bizonyítványok L2TP IPSec-en típusú VPN-kapcsolatokhoz

L2TP IPSec-en alapú VPN-kapcsolatoknál a VPN-ügyfelek és a VPN-kiszolgáló számítógépszintű hitelesítéséhez számítógép-bizonyítvány szükséges.

L2TP IPSec-en típusú kapcsolat létrehozásához a VPN-ügyfélre és a VPN-kiszolgálóra számítógép-bizonyítványt - más néven gépbizonyítványt - kell telepítenie. Számítógép-bizonyítvány telepítéséhez szükség van egy hitelesítő szervezetre, amely kiadja a bizonyítványokat. Ha a hitelesítő szervezet már konfigurálva van, kétféleképpen telepíthet bizonyítványt:

  • A számítógép-bizonyítványoknak valamely Windows 2000 tartomány számítógépei számára történő automatikus igénylésének a konfigurálásával.
  • A számítógép-bizonyítványok Bizonyítványkezelő segítségével történő igénylésével.

A szervezet bizonyítvány-irányelveitől függően hajtsa végre a két igénylés valamelyikét.

Hitelesítő szervezet konfigurálásához és számítógép-bizonyítvány telepítéséhez hajtsa végre az alábbi lépéseket:

  1. Telepítse a Windows 2000 Bizonyítványszolgáltatások összetevőt legfelső szintű vállalati hitelesítő szervezetként (CA). Erre a lépésre csak akkor van szükség, ha nincs még legfelső szintű vállalati hitelesítő szervezete.
    1. Ha szükséges, konfigurálja tartományvezérlőként (DC) azt a számítógépet, amely hitelesítő szervezetként fog működni. További tudnivalók a következő témakörben találhatók: Tartományvezérlő telepítése.
    2. Telepítse a Windows 2000 Bizonyítványszolgáltatások összetevőt legfelső szintű vállalati hitelesítő szervezetként. További tudnivalók a következő témakörben találhatók: Legfelső szintű vállalati hitelesítő szervezet telepítése.
  2. Számítógép-bizonyítványok automatikus igényléséhez konfigurálja a Windows 2000 tartományt. További tudnivalók a következő témakörben találhatók: Tartomány beállítása vállalati hitelesítő szervezettől történő automatikus bizonyítványigénylésre.

    3. Ha olyan tartomány VPN-kiszolgálója számára kíván számítógép-bizonyítványt kíván létrehozni, amelyen (a tartomány többi tagjához hasonlóan) be van állítva az automatikus igénylés, indítsa újra a számítógépet vagy gépelje be a Windows 2000 parancssorba a secedit /refreshpolicy machine_policy parancsot.

  3. A számítógép-bizonyítványok kézzel való igényléséhez a Bizonyítványkezelő segítségével telepítse a hitelesítő szervezet gyökérbizonyítványát. További tudnivalók a következő témakörökben találhatók: Számítógép bizonyítványainak kezelése és Bizonyítvány igénylése.


Intelligens kártyák és távelérésű VPN-kapcsolatok

A felhasználók intelligens kártyákkal történő hitelesítése a Windows 2000 legerősebb hitelesítési formája. Távelérésű VPN-kapcsolatok esetén használja az Extensible Authentication protokollt (EAP) az Intelligens kártya vagy egyéb bizonyítvány EAP-típussal. Ez a megoldás EAP-TLS (EAP-Transport Level Security) néven is ismert.

Megjegyzés

  • A Windows 2000 Server rendszert és az Útválasztás és távelérés szolgáltatást futtató számítógépet Windows 2000 távelérés-útválasztónak nevezik.

Ha intelligens kártyát szeretne használni a távelérésű virtuális magánhálózat hitelesítésére, a következőket kell végrehajtania:

  • Konfigurálja a távelérést a távelérés-útválasztón.
  • Telepítsen számítógép-bizonyítványt a távelérés-útválasztóra.
  • Engedélyezze az intelligenskártyás bejelentkezést a tartományon.
  • A távelérés-útválasztón engedélyezze a Extensible Authentication protokollt (EAP) és állítsa be az Intelligens kártya vagy egyéb bizonyítvány EAP-típust.
  • Engedélyezze az intelligenskártyás hitelesítést a távelérésű ügyfél VPN-kapcsolatán.

A távelérés-útválasztó konfigurálása távelérésű virtuális magánhálózati szolgáltatások biztosítására

Konfigurálja a Windows 2000 távelérés-útválasztóját a Távelérésű virtuális magánhálózatok kialakítása című részben leírtak szerint.

Számítógép-bizonyítvány telepítése a távelérés-útválasztóra

EAP-TLS hitelesítés konfigurálásához a távelérés-útválasztón telepítsen számítógép-bizonyítványt, más néven gépbizonyítványt. A számítógép-bizonyítvány távelérés-útválasztóra történő telepítéséhez szükség van egy hitelesítő szervezetre, amely kiadja a bizonyítványokat. Ha a hitelesítő szervezet már konfigurálva van, kétféleképpen telepíthet bizonyítványt a távelérés-útválasztóra:

  • A számítógép-bizonyítványoknak valamely Windows 2000 tartomány számítógépei számára történő automatikus igénylésének a konfigurálásával.
  • A számítógép-bizonyítványok Bizonyítványkezelő segítségével történő igénylésével.

A szervezet bizonyítvány-irányelveitől függően hajtsa végre a két igénylés valamelyikét.

Hitelesítő szervezet konfigurálásához és számítógép-bizonyítvány telepítéséhez hajtsa végre az alábbi lépéseket:

  1. Telepítse a Windows 2000 Bizonyítványszolgáltatások összetevőt legfelső szintű vállalati hitelesítő szervezetként (CA). Erre a lépésre csak akkor van szükség, ha nincs még legfelső szintű vállalati hitelesítő szervezete.
    1. Ha szükséges, konfigurálja tartományvezérlőként (DC) azt a számítógépet, amely hitelesítő szervezetként fog működni. További tudnivalók a következő témakörben találhatók: Tartományvezérlő telepítése.
    2. Telepítse a Windows 2000 Bizonyítványszolgáltatások összetevőt legfelső szintű vállalati hitelesítő szervezetként. További tudnivalók a következő témakörben találhatók: Legfelső szintű vállalati hitelesítő szervezet telepítése.
  2. Számítógép-bizonyítványok automatikus igényléséhez konfigurálja a Windows 2000 tartományt. További tudnivalók a következő témakörben találhatók: Tartomány beállítása vállalati hitelesítő szervezettől történő automatikus bizonyítványigénylésre.

    3. Ha olyan tartomány távelérés-útválasztója számára kíván számítógép-bizonyítványt létrehozni, amelyen (a tartomány többi tagjához hasonlóan) be van állítva az automatikus igénylés, indítsa újra a számítógépet vagy gépelje be a Windows 2000 parancssorba a secedit /refreshpolicy machine_policy parancsot.

  3. A számítógép-bizonyítványok kézzel való igényléséhez a Bizonyítványkezelő segítségével telepítse a hitelesítő szervezet gyökérbizonyítványát. További tudnivalók a következő témakörökben találhatók: Számítógép bizonyítványainak kezelése és Bizonyítvány igénylése.

Intelligenskártyás bejelentkezés engedélyezése a tartományon

A tartományra történő intelligenskártyás bejelentkezés engedélyezéséhez hajtsa végre az alábbi lépéseket:

  1. Hitelesítő szervezet előkészítése intelligenskártya-bizonyítványok kibocsátására
  2. Intelligenskártya-bizonyítványt beiktató állomás előkészítése
  3. Intelligens kártya beállítása felhasználói bejelentkezéshez

Távelérés-útválasztó konfigurálása intelligenskártyás táveléréshez

A Windows 2000 távelérés-útválasztójának konfigurálásáról intelligenskártyás táveléréshez az Intelligenskártyás távelérés konfigurálása című témakörben tájékozódhat.

Távelérésű ügyfél konfigurálása intelligenskártyás táveléréshez

A távelérésű ügyfélszámítógépre intelligenskártya-olvasót kell telepíteni. További tudnivalók az Intelligenskártya-olvasó telepítése a számítógépre című témakörben olvashatók.

Az intelligenskártya-olvasó Windows 2000 rendszert futtató számítógépre történő telepítése után a rendszer megkérdezi, hogy kívánja-e hitelesítésre használni az intelligens kártyát telefonos vagy VPN-kapcsolat létesítésekor.

Már létező telefonos vagy VPN-kapcsolathoz az intelligenskártyás hitelesítést a kapcsolat tulajdonságlapján állíthatja be. További tudnivalók a Intelligens kártyával vagy más bizonyítvánnyal történő hitelesítés engedélyezése című témakörben található.


Virtuális magánhálózati forgatókönyvek

Ez a rész azt mutatja be, hogy a tipikus felépítésű virtuális magánhálózatok hogyan konfigurálhatók egy képzeletbeli vállalathoz a Windows 2000 rendszerrel. Ha az Ön hálózati konfigurációja el is tér a példákban szereplő hálózatokétól, az ismertetett alapelvek megegyeznek.

Megjegyzés

  • A Windows 2000 Server rendszert és az Útválasztás és távelérés szolgáltatást futtató számítógépet Windows 2000 távelérés-útválasztónak hívják.

A KRADEB Ipari Kft. egy elektronikai tervező és iparvállalat, melynek vállalati központja Pécsett van, fiókirodái és disztribúciós üzleti partnerei pedig egész Magyarországon megtalálhatók. A KRADEB Ipari Kft. a Windows 2000 rendszer segítségével egy olyan VPN hálózatot alakított ki, amely összekapcsolja a távelérésű felhasználókat, a fiókirodákat és az üzleti partnereket.

A vállalati iroda VPN-kiszolgálója biztosítja a távelérésű és két útválasztó közötti, PPTP és L2TP típusú VPN-kapcsolatokat, valamint a csomagok irányítását az intranetes és internetes helyekre. További tájékoztatás A VPN-kiszolgáló általános konfigurációja című témakörben található.

A VPN-kiszolgáló általános konfigurációjára alapozva a következő felépítésű virtuális magánhálózatokkal ismerkedhet meg:

  • Távelérés alkalmazottak számára
  • Igény szerinti összeköttetésű fiókiroda
  • Állandó összeköttetésű fiókiroda
  • Extranet üzleti partnerek számára
  • Telefonos és virtuális magánhálózatok RADIUS protokollal

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


A VPN-kiszolgáló általános konfigurációja

A KRADEB Ipari Kft. VPN-hálózatának kialakítása előtt a hálózati rendszergazda elemzést végez és döntést hoz az alábbiakról:

  • Hálózati konfiguráció
  • A távelérési házirendek beállítása
  • Tartománykonfiguráció
  • Biztonsági konfiguráció

Hálózati konfiguráció

A hálózati konfiguráció alapvető összetevői:

  • A KRADEB Ipari Kft. vállalati intranetje a 172.16.0.0 című magánhálózatot használja a 255.240.0.0 alhálózati maszkkal, illetve a 192.168.0.0 című magánhálózatot a 255.255.0.0 alhálózati maszkkal. A vállalati központ hálózati szegmensei a 172.16.0.0 című alhálózatot, a fiókirodák a 192.168.0.0 című alhálózatot használják.
  • A VPN-kiszolgáló T3 (más néven DS-3) állandó összeköttetésű WAN-kapcsolaton keresztül közvetlenül kapcsolódik az Internethez.
  • A WAN-csatoló internetes IP-címe 207.46.130.1 (ezt a KRADEB Ipari Kft. Internet-szolgáltatója adja ki). A WAN-csatoló IP-címéhez a vpn.kradeb.microsoft.com/hun tartománynév van hozzárendelve az Interneten.
  • A VPN-kiszolgáló közvetlenül csatlakozik egy intranetes hálózati szegmenshez, amely egy RADIUS-kiszolgálót, egy fájlkiszolgálót és egy webkiszolgálót tartalmaz az üzleti partnerek számára, és egy útválasztóhoz, amely a KRADEB vállalati központ intranetjének további részeihez kapcsolódik. Az intranetes hálózati szegmens IP-azonosítója 172.31.0.0, alhálózati maszkja 255.255.0.0.
  • A VPN-kiszolgáló statikus IP-címkészlettel rendelkezik, amelyet a távelérésű ügyfeleknek és a hívó útválasztóknak oszt ki.

Az alábbi illusztráció a KRADEB Ipari Kft. VPN-kiszolgálójának hálózati konfigurációját ábrázolja:

A KRADEB Ipari Kft. VPN-kiszolgálójának hálózati konfigurációja

A KRADEB vállalati központ intranetjének konfigurációja alapján a VPN-kiszolgáló az alábbiak szerint lesz beállítva.

1. A VPN-kiszolgáló hardverének üzembe helyezése

Az intranetes szegmenshez kapcsolódó hálózati csatolót és az Internethez kapcsolódó WAN-csatolót a gyártó útmutatása alapján kell üzembe helyezni. Az illesztőprogramok telepítése után mindkét csatoló helyi kapcsolatként jelenik meg a Hálózati és telefonos kapcsolatok mappában.

2. A TCP/IP beállítása a LAN- és WAN-csatolón

A LAN-csatoló a 172.31.0.1 IP-címet és a 255.255.0.0 alhálózati maszkot kapja. A WAN-csatoló a 207.46.130.1 IP-címet és a 255.255.255.255 alhálózati maszkot kapja. Egyik csatolóhoz sem kell beállítani alapértelmezett átjárót. A DNS- és WINS-kiszolgálócímeket is be kell állítani.

3. Az Útválasztás és távelérés szolgáltatás telepítése

Futtatni kell az Útválasztás és távelérés varázslót. A varázslóval engedélyezni kell a távelérési, a LAN- és a WAN-útválasztást, minden porton engedélyezni kell az útválasztás és távelérést, az L2TP-kapcsolatokhoz pedig az IPSec titkosítás is szükséges. További információ Az Útválasztás és távelérés szolgáltatás engedélyezése című témakörben található.

A varázslóval be kell állítani a 172.31.255.1 kezdőcímű és 172.31.255.254 zárócímű statikus IP-címkészletet. Ezzel egy maximum 253 VPN-ügyfél számára elegendő statikus címkészlet jön létre.

További tájékoztatás a Statikus IP-címkészlet létrehozása című témakörben található.

4. Az EAP hitelesítési metódus engedélyezése

Az intelligens kártya alapú távelérésű VPN-ügyfelek és a bizonyítvány alapú hívó útválasztók használatának lehetővé tétele érdekében a hálózati rendszergazda engedélyezi az Extensible Authentication protokollt a VPN-kiszolgálón.

További tudnivalók Az EAP engedélyezése című témakörben találhatók.

5. Statikus útvonalak beállítása az intranetes és internetes helyek elérése céljából

Az intranetes helyek elérése végett statikus útvonalat kell létrehozni az alábbi beállításokkal:

  • Összeköttetés: Az intranethez csatlakozó LAN-csatoló
  • Cél: 172.16.0.0
  • Hálózati maszk: 255.240.0.0
  • Átjáró: 172.31.0.2
  • Metrika: 1

Az internetes helyek elérése végett statikus útvonalat kell létrehozni az alábbi beállításokkal:

  • Összeköttetés: Az Internethez csatlakozó WAN-csatoló
  • Cél: 0.0.0.0
  • Hálózati maszk: 0.0.0.0
  • Átjáró: 0.0.0.0
  • Metrika: 1

Megjegyzés

  • Mivel a WAN-csatoló pont-pont típusú kapcsolatot hoz létre az Internet-szolgáltatóval, az átjárónak bármilyen címet meg lehet adni. Egy lehetséges átjárócím a 0.0.0.0. A 0.0.0.0 a meghatározatlan IP-cím.

6. A PPTP- és az L2TP-portok számának növelése

Alapértelmezés szerint öt PPTP- és öt L2TP-port engedélyezett a VPN-kapcsolatok számára. A PPTP-portok számának növeléséről további tudnivalók a PPTP- vagy L2TP-portok hozzáadása című témakörben találhatók.

7. A PPTP és az L2TP IPSec-en csomagszűrők beállítása

A PPTP és az L2TP IPSec-en csomagszűrőket az Internethez csatlakozó WAN-csatolón kell beállítani. További tájékoztatás a PPTP-szűrők hozzáadása és az „L2TP IPSec-en”-csomagszűrők hozzáadása című témakörökben található.

A távelérési házirendek beállítása

Annak érdekében, hogy a Windows NT 4.0 rendszerről történő átállást megkönnyítse, a KRADEB Ipari Kft. hálózati rendszergazdája a felhasználónként szabályozott hozzáférés felügyeleti modellje mellett dönt. A távelérést az egyes felhasználói fiókok behívási engedélyének Hozzáférés engedélyezése vagy Hozzáférés tiltása értékre történő állításával szabályozza. A VPN-kapcsolatok különféle beállításait a csoporttagságon alapuló, távelérési házirendek határozzák meg, az alapértelmezett, Hozzáférés engedélyezése, ha van behívási engedélye nevű házirend pedig törölve lesz.

További tudnivalók A távelérés házirenddel történő szabályzásának felügyeleti modelljei című témakörben találhatók.

Tartománykonfiguráció

Annak érdekében, hogy ki lehessen használni azon lehetőség előnyeit, hogy a különféle VPN-kapcsolattípusokhoz különféle kapcsolati beállításokat lehet rendelni, az alábbi Windows 2000 csoportokat kell létrehozni:

  • VPN_Felhasznalok

    A távelérésű VPN-kapcsolatokhoz.

  • VPN_Utvalasztok

    A KRADEB Ipari Kft. fiókirodáiból kezdeményezett, két útválasztó közötti VPN-kapcsolatokhoz.

  • VPN_Partnerek

    A KRADEB Ipari Kft. üzleti partnereitől kezdeményezett, két útválasztó közötti VPN-kapcsolatokhoz.

A KRADEB Ipari Kft. vegyes módú tartománnyal rendelkezik. További tájékoztatás a Frissítés Active Directory szolgáltatásra című témakörben található.

Biztonsági konfiguráció

Az L2TP IPSec-en kapcsolatok használatának, a távelérésű ügyfelek intelligenskártya-használatának, illetve az útválasztók EAP-TLS-használatának engedélyezéséhez a KRADEB tartománya úgy van beállítva, hogy a számítógép-bizonyítványokat automatikusan beiktassa a tartomány minden tagjánál.

További tudnivalók a Hitelességi bizonyítvány alapján való hitelesítés telepítése VPN-kapcsolatokhoz című témakörben találhatók.

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


Távelérés alkalmazottak számára

A KRADEB Ipari Kft. alkalmazottai részére a távelérést Interneten keresztüli távelérésű VPN-kapcsolatok biztosítják A VPN-kiszolgáló általános konfigurációja című részben konfigurált beállítások és az alábbiakban közölt további beállítások alapján.

Az alábbi ábrán a KRADEB Ipari Kft. VPN-kiszolgálója látható, ami a távelérésű VPN-kapcsolatokat biztosítja.

Távelérés a KRADEB Ipari Kft. alkalmazottai részére

A tartomány beállítása

Minden VPN-eléréssel rendelkező dolgozó esetén:

  • A felhasználói fiók betárcsázási tulajdonságaira vonatkozó távelérési engedélyek Hozzáférés engedélyezése értékre vannak állítva.
  • A felhasználói fiók fel van véve a VPN_felhasználók nevű Windows 2000-csoportba.

A távelérési házirendek beállítása

A távelérésű VPN-ügyfelek hitelesítési és titkosítási beállításainak megadásához a következő távelérési házirendet kell létrehozni:

  • Házirend neve: Távelérésű VPN-ügyfelek
  • Feltételek:
    • A NAS-Port-Type attribútum értéke: Virtuális (VPN)
    • A Windows-Groups értéke: VPN_felhasználók
    • A Called-Station-ID értéke: 207.46.130.1
  • Az engedély értéke: Kapjon távelérési engedélyt
  • Profilbeállítások:
    • Hitelesítés lap: Jelölje be a Kibővíthető hitelesítési protokoll (EAP) jelölőnégyzetet, az Intelligens kártya vagy egyéb bizonyítvány protokoll beállításait pedig konfigurálja úgy, hogy az a gép telepített bizonyítványát használja. Engedélyezze a Microsoft Encrypted Authentication 2. verzió (MS-CHAP 2) és a Microsoft Encrypted Authentication (MS-CHAP) protokollt is.
    • Titkosítás lap: Jelölje be a Legerősebb jelölőnégyzetet, a többit pedig hagyja üresen.

Megjegyzések

  • A Called-Station-ID a VPN-kiszolgálón található internetes összeköttetés IP-címére van állítva. Csak az Internet által kezdeményezett bújtatási alagutak engedélyezhetők. a KRADEB Ipari Kft. intranetje által kezdeményezettek nincsenek engedélyezve. A KRADEB Ipari Kft. azon felhasználói, akik a cég intranetjéről kérnek Internet-hozzáférést, a KRADEB Ipari Kft. proxykiszolgálóján keresztül tudnak az Internetre kapcsolódni. A proxykiszolgáló az Internet-elérést szabályozza és figyeli.
  • A „felhasználónként szabályzott hozzáférés” felügyeleti modellben, a távelérési házirendben beállított távelérési engedély nincs hatással a távelérési engedély megadására. Mivel azonban a KRADEB Kft. hálózati rendszergazdája a házirendben a távelérés engedélyezésének értékét Kapjon távelérési engedélyt értékűre állította, nem kell az összes, már konfigurált távelérési házirendben megváltoztatni a távelérés engedélyezésének beállításait, ha később áttérnek a „házirenddel szabályzott hozzáférés natív módú tartományban” felügyeleti modellre.

PPTP alapú távelérésű ügyfelek beállítása

Az Új kapcsolat létrehozása varázslóval VPN-kapcsolatot kell létrehozni az alábbi beállítással:

  • Állomásnév vagy IP-cím: vpn.kradeb.microsoft.com/hun

L2TP alapú távelérésű ügyfelek beállítása

A távelérésű számítógép bejelentkezik a KRADEB Ipari Kft. tartományába és automatikus beiktatás segítségével kap bizonyítványt. Ezután az Új kapcsolat létrehozása varázslóval VPN-kapcsolatot kell létrehozni az alábbi beállítással:

  • Állomásnév vagy IP-cím: vpn.kradeb.microsoft.com/hun

A VPN-kapcsolat beállításait a következőképp módosítsa:

  • A Hálózat lapon A hívandó kiszolgáló típusa: beállítást állítsa Layer-2 Tunneling protokoll (L2TP) értékre.

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


Igény szerinti összeköttetésű fiókiroda

A KRADEB Ipari Kft. szombathelyi és keszthelyi fiókirodája igény szerinti, két útválasztó közötti VPN-kapcsolattal csatlakozik a vállalati irodához. Mind a szombathelyi, mind a keszthelyi iroda kevés dolgozóval működik, akiknek csak alkalmanként kell a vállalati irodához csatlakozniuk. A szombathelyi és a keszthelyi irodában lévő Windows 2000 útválasztói ISDN-csatolóval vannak felszerelve, amely a helyi Internet-szolgáltatót hívja az Internethez való hozzáférés érdekében, majd két útválasztó közötti VPN-kapcsolat jön létre az Interneten keresztül. Ha a VPN-kapcsolat öt percig nincs használatban, a fiókiroda útválasztói megszakítják a VPN-kapcsolatot.

A keszthelyi fiókiroda IP-hálózati azonosítója 192.168.28.0, alhálózati maszkja pedig 255.255.255.0. A szombathelyi fiókiroda IP-hálózati azonosítója 192.168.4.0, alhálózati maszkja pedig: 255.255.255.0.

A konfiguráció egyszerűsítése érdekében a VPN-kapcsolat egyirányúan kezdeményezett kapcsolat, amit mindig a fiókiroda útválasztója kezdeményez. További információ az Egyirányúan kezdeményezett igény szerint tárcsázó kapcsolatok című témakörben található.

Az alábbi ábra a KRADEB Ipari Kft. VPN-kiszolgálóját mutatja be, amely a fiókirodákkal való igény szerinti kapcsolatot biztosítja.

A KRADEB Ipari Kft. fiókirodáinak igény szerinti VPN-kapcsolatai

Ha az szombathelyi és a keszthelyi fiókirodát két útválasztó közötti, igény szerinti VPN-kapcsolattal, A VPN-kiszolgáló általános konfigurációja című témakörben megadott beállítások alapján kívánja összekötni a vállalati irodával, a következő kiegészítő beállításokat kell megadnia.

A tartomány beállítása

A keszthelyi iroda VPN-kapcsolatához hozza létre a VPN_Keszthely felhasználói fiókot az alábbi beállításokkal:

  • Jelszó: nY7W{q8~=z3.
  • A VPN_Keszthely fiók behívási tulajdonságainál a távelérés engedélyezését Hozzáférés engedélyezése értékre kell állítani, és hozzá kell adni a 192.168.28.0 IP-című statikus útvonalat a 255.255.255.0 alhálózati maszkkal.
  • A VPN_Keszthely fiókot adja hozzá a VPN_Útválasztók csoporthoz.

A szombathelyi iroda VPN-kapcsolatához hozza létre a VPN_Szombathely felhasználói fiókot az alábbi beállításokkal:

  • Jelszó: P*4s=wq!Gx1.
  • A VPN_Szombathely fiók behívási tulajdonságainál a távelérés engedélyezését Hozzáférés engedélyezése értékre kell állítani, és hozzá kell adni a 192.168.4.0 IP-című statikus útvonalat a 255.255.255.0 alhálózati maszkkal.
  • A VPN_Szombathely fiókot adja hozzá a VPN_Útválasztók csoporthoz.

A távelérési házirendek beállítása

A VPN-útválasztók hitelesítési és titkosítási beállításainak megadásához a következő távelérési házirendet kell létrehozni:

  • Házirend neve: VPN-útválasztók
  • Feltételek:
    • A NAS-Port-Type attribútum értéke: Virtuális (VPN)
    • A Windows-Groups attribútum értéke: VPN_Útválasztók
    • A Called-Station-ID értéke: 207.46.130.1
  • Az engedély értéke: Kapjon távelérési engedélyt
  • Profilbeállítások:
    • Hitelesítés lap: Jelölje be a Kibővíthető hitelesítési protokoll (EAP) jelölőnégyzetet, az Intelligens kártya vagy egyéb bizonyítvány protokoll beállításait pedig konfigurálja úgy, hogy az a gép telepített bizonyítványát használja. Engedélyezze a Microsoft Encrypted Authentication 2. verzió (MS-CHAP 2) protokollt is.
    • Titkosítás lap: Jelölje be a Legerősebb jelölőnégyzetet, a többit pedig hagyja üresen.

Megjegyzések

  • A Called-Station-ID a VPN-kiszolgálón található internetes összeköttetés IP-címére van állítva. Csak az Internet által kezdeményezett bújtatási alagutak engedélyezhetők. a KRADEB Ipari Kft. intranetje által kezdeményezettek nincsenek engedélyezve. A KRADEB Ipari Kft. azon felhasználói, akik a cég intranetjéről kérnek Internet-hozzáférést, a KRADEB Ipari Kft. proxykiszolgálóján keresztül tudnak az Internetre kapcsolódni. A proxykiszolgáló az Internet-elérést szabályozza és figyeli.
  • A „felhasználónként szabályzott hozzáférés” felügyeleti modellben, a távelérési házirendben beállított távelérési engedély nincs hatással a távelérési engedély megadására. Mivel azonban a KRADEB Kft. hálózati rendszergazdája a házirendben a távelérés engedélyezésének értékét Kapjon távelérési engedélyt értékűre állította, nem kell az összes, már konfigurált távelérési házirendben megváltoztatni a távelérés engedélyezésének beállításait, ha később áttérnek a „házirenddel szabályzott hozzáférés natív módú tartományban” felügyeleti modellre.

A fiókiroda útválasztó-beállításairól további tájékoztatás az alábbi témakörökben található:

  • Keszthelyi iroda: PPTP alapú, igény szerinti összeköttetésű fiókiroda
  • Szombathelyi iroda: L2TP alapú, igény szerinti összeköttetésű fiókiroda

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


PPTP alapú, igény szerinti összeköttetésű fiókiroda

A keszthelyi fiókiroda egy olyan, PPTP alapú összeköttetéssel rendelkező fiókiroda, amely egy Windows 2000 útválasztón keresztül igény szerinti, két útválasztó közötti VPN-kapcsolatot tart fenn a pécsi vállalati iroda útválasztójával. Ha a kapcsolat létrejön és öt percen keresztül tétlen, akkor megszakad.

PPTP alapú, egyirányúan kezdeményezett, igény szerinti, két útválasztó közötti, vállalati irodához csatlakozó VPN-kapcsolat kialakításához adja meg az alábbi beállításokat a keszthelyi útválasztón a VPN-kiszolgáló általános konfigurációja és az Igény szerint csatlakozó fiókiroda témakörben konfigurált beállítások alapján.

Igény szerint tárcsázó összeköttetés az Internet-szolgáltatóhoz való csatlakozáshoz

Annak érdekében, hogy a keszthelyi iroda útválasztója a helyi Internet-szolgáltatón keresztül csatlakozzon az Internetre, hozzon létre igény szerint tárcsázó összeköttetést az Igény szerint tárcsázó összeköttetés varázsló segítségével az alábbi beállításokkal:

  • Illesztő neve

    Az Internet-szolgáltató

  • Kapcsolat típusa

    Válassza a Csatlakozás modem, ISDN-adapter vagy más fizikai eszköz használatával parancsot.

  • Válasszon eszközt

    Válassza ki a megfelelő ISDN-eszközt.

  • Telefonszám vagy cím

    A keszthelyi iroda Internet-szolgáltatójának telefonszáma.

  • Protokollok és biztonság

    Jelölje be az IP-csomagok ezen az illesztőn jelölőnégyzetet.

  • Kitárcsázási hitelesítési adatok
    • Felhasználónév: A keszthelyi iroda Internet-szolgáltatójának (ISP) fiókneve.
    • Tartomány: A keszthelyi iroda Internet-szolgáltatójának tartományneve.
    • Jelszó: A keszthelyi iroda Internet-szolgáltatójának jelszava.
    • Jelszó megerősítése: A keszthelyi iroda Internet-szolgáltatójának jelszava.

Igény szerint tárcsázó összeköttetés két útválasztó közötti VPN-kapcsolathoz

Annak érdekében, hogy a keszthelyi iroda útválasztója két útválasztó közötti VPN-kapcsolat segítségével csatlakozzon a vállalati útválasztóhoz az Interneten keresztül, hozzon létre igény szerint tárcsázó összeköttetést az Igény szerint tárcsázó összeköttetés varázsló segítségével az alábbi beállításokkal:

  • Illesztő neve

    VallKozpont

  • Kapcsolat típusa

    Válassza a Csatlakozás virtuális magánhálózat (VPN) használatával beállítást.

  • Virtuális magánhálózat típusa

    Jelölje ki a Point-to-point Tunneling protokoll (PPTP) beállítást.

  • Cél címe

    207.46.130.1

  • Protokollok és biztonság

    Jelölje be az IP-csomagok ezen az illesztőn jelölőnégyzetet.

  • Kitárcsázási hitelesítési adatok
    • Felhasználónév: VPN_Keszthely
    • Tartomány: kradeb.microsoft.com/hun
    • Jelszó: nY7W{q8~=z3
    • Jelszó megerősítése: nY7W{q8~=z3

Statikus útvonal a vállalat központja részére

Annak érdekében, hogy a vállalati intranet összes helye elérhető legyen, az alábbi statikus útvonalat kell beállítani:

  • Összeköttetés: VallKozpont
  • Cél: 172.16.0.0
  • Hálózati maszk: 255.240.0.0
  • Metrika: 1

Statikus útvonal a KRADEB Ipari Kft. VPN-kiszolgálója részére

Ha a keszthelyi Internet-szolgáltatóhoz kíván csatlakozni, amikor a két útválasztó közötti VPN-kapcsolatot létre kell hozni, akkor az alábbi statikus útvonalat kell beállítani:

  • Összeköttetés: Az Internet-szolgáltató
  • Cél: 207.46.130.1
  • Hálózati maszk: 255.255.255.255
  • Metrika: 1

PPTP-csomagszűrők az Internet-szolgáltatóhoz csatlakozó, igény szerint tárcsázó összeköttetésen

Annak érdekében, hogy csak PPTP alapú forgalom kerülhessen az Internet-kapcsolatra, állítson be PPTP-csomagszűrőket az Internet-szolgáltató igény szerint tárcsázó összeköttetésén. További tudnivalók a PPTP-szűrők hozzáadása című témakörben találhatók.

Az igény szerinti tárcsázás szűrői PPTP alapú, igény szerint tárcsázó összeköttetésen

Annak érdekében, hogy csak a KRADEB Ipari Kft. vállalati irodájába szánt forgalom hozzon létre VPN-kapcsolatot, állítsa be az igény szerinti tárcsázás szűrőit a PPTP alapú, igény szerint tárcsázó összeköttetésen. Az alábbi szűrőbeállításokat adja meg:

  • Szűrőművelet: Jelölje ki a Csak az alábbi típusú forgalom számára beállítást.
  • 1. szűrő: Cél IP-címe: 172.16.0.0, alhálózati maszk: 255.240.0.0

További tudnivalók a következő témakörben találhatók: Az igény szerinti tárcsázás szűrőinek konfigurálása.

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


L2TP-alapú, igény szerint csatlakozó fiókiroda

A szombathelyi L2TP alapú fiókiroda egy Windows 2000 útválasztó segítségével hoz létre szükség szerint igény szerinti, két útválasztó közötti VPN-kapcsolatot a pécsi vállalati iroda útválasztójával. Ha a kapcsolat létrejön és öt percen keresztül tétlen, akkor megszakad.

L2TP alapú, egyirányúan kezdeményezett, igény szerinti, két útválasztó közötti, vállalati irodához csatlakozó VPN-kapcsolat kialakításához adja meg az alábbi beállításokat a szombathelyi útválasztón a VPN-kiszolgáló általános konfigurációja és az Igény szerint csatlakozó fiókiroda témakörben konfigurált beállítások alapján.

Igény szerint tárcsázó összeköttetés az Internet-szolgáltatóhoz való csatlakozáshoz

Annak érdekében, hogy a szombathelyi iroda útválasztója a helyi Internet-szolgáltatón keresztül csatlakozzon az Internetre, hozzon létre igény szerint tárcsázó összeköttetést az Igény szerint tárcsázó összeköttetés varázsló segítségével az alábbi beállításokkal:

  • Illesztő neve

    Az Internet-szolgáltató

  • Kapcsolat típusa

    Válassza a Csatlakozás modem, ISDN-adapter vagy más fizikai eszköz használatával parancsot.

  • Válasszon eszközt

    Válassza ki a megfelelő ISDN-eszközt.

  • Telefonszám vagy cím

    A szombathelyi iroda Internet-szolgáltatójának telefonszáma.

  • Protokollok és biztonság

    Jelölje be az IP-csomagok ezen az összeköttetésen jelölőnégyzetet.

  • Kitárcsázási hitelesítési adatok
    • Felhasználónév: A szombathelyi iroda Internet-szolgáltatójának fiókneve.
    • Tartomány: A szombathelyi iroda Internet-szolgáltatójának tartományneve.
    • Jelszó: A szombathelyi iroda Internet-szolgáltatójának jelszava.
    • Jelszó megerősítése: A szombathelyi iroda Internet-szolgáltatójának jelszava.

Igény szerint tárcsázó összeköttetés két útválasztó közötti VPN-kapcsolathoz

Annak érdekében, hogy a szombathelyi iroda útválasztója két útválasztó közötti VPN-kapcsolat segítségével csatlakozzon a vállalati útválasztóhoz az Interneten keresztül, hozzon létre igény szerint tárcsázó összeköttetést az Igény szerint tárcsázó összeköttetés varázsló segítségével az alábbi beállításokkal:

  • Illesztő neve

    VallKozpont

  • Kapcsolat típusa

    Válassza a Csatlakozás virtuális magánhálózat (VPN) használatával beállítást.

  • Virtuális magánhálózat típusa

    Jelölje ki a Layer-2 Tunneling protokoll (L2TP) beállítást.

  • Cél címe

    207.46.130.1

  • Protokollok és biztonság

    Jelölje be az IP-csomagok ezen az illesztőn jelölőnégyzetet.

  • Kitárcsázási hitelesítési adatok
    • Felhasználónév: VPN_Szombathely
    • Tartomány: kradeb.microsoft.com/hun
    • Jelszó: P*4s=wq!Gx1
    • Jelszó megerősítése: P*4s=wq!Gx1

Statikus útvonal a vállalat központja részére

Annak érdekében, hogy a vállalati intranet összes helye elérhető legyen, az alábbi statikus útvonalat kell beállítani:

  • Összeköttetés: VallKozpont
  • Cél: 172.16.0.0
  • Hálózati maszk: 255.240.0.0
  • Metrika: 1

Statikus útvonal a KRADEB Ipari Kft. VPN-kiszolgálója részére

Ha a szombathelyi Internet-szolgáltatóhoz kíván csatlakozni, amikor a két útválasztó közötti VPN-kapcsolatot létre kell hozni, akkor az alábbi statikus útvonalat kell beállítani:

  • Összeköttetés: Az Internet-szolgáltató
  • Cél: 207.46.130.1
  • Hálózati maszk: 255.255.255.255
  • Metrika: 1

„L2TP IPSec-en”-csomagszűrők az Internet-szolgáltatóhoz csatlakozó, igény szerint tárcsázó összeköttetésen

Annak érdekében, hogy csak „L2TP IPSec-en” alapú forgalom kerülhessen az Internet-kapcsolatra, állítson be „L2TP IPSec-en”-csomagszűrőket az Internet-szolgáltató igény szerint tárcsázó összeköttetésén. További információ az „L2TP IPSec-en”-csomagszűrők hozzáadása című témakörben található.

Az igény szerinti tárcsázás szűrői L2TP alapú, igény szerint tárcsázó összeköttetésen

Annak érdekében, hogy csak a KRADEB Ipari Kft. vállalati irodájába szánt forgalom hozzon létre VPN-kapcsolatot, állítsa be az igény szerinti tárcsázás szűrőit az L2TP alapú, igény szerint tárcsázó összeköttetésen. Az alábbi szűrőbeállításokat adja meg:

  • Szűrőművelet: Jelölje ki a Csak az alábbi típusú forgalom számára beállítást.
  • 1. szűrő: Cél IP-címe: 172.16.0.0, alhálózati maszk: 255.240.0.0

További tudnivalók a következő témakörben találhatók: Az igény szerinti tárcsázás szűrőinek konfigurálása.

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


Állandó összeköttetésű fiókiroda

A KRADEB Ipari Kft. esztergomi és székesfehérvári fiókirodáját a vállalati irodával állandó (napi 24 órás elérést biztosító), két útválasztó közötti VPN-kapcsolat köti össze. Az esztergomi és a székesfehérvári iroda Windows 2000 útválasztói T1 típusú WAN-csatolóval rendelkeznek, amelyek állandó kapcsolatot biztosítanak az Internethez a helyi Internet-szolgáltatón keresztül.

Az esztergomi fiókiroda IP-hálózati azonosítója 192.168.9.0, alhálózati maszkja pedig 255.255.255.0. Az esztergomi fiókiroda útválasztója a 131.107.0.1 nyilvános IP-címet használja internetes összeköttetéséhez. A székesfehérvári fiókiroda IP-hálózati azonosítója 192.168.14.0, alhálózati maszkja pedig 255.255.255.0. A székesfehérvári fiókiroda útválasztója a 131.107.128.1 nyilvános IP-címet használja internetes összeköttetéséhez.

A VPN-kapcsolat kétirányúan kezdeményezett kapcsolat. A kapcsolatot vagy a fiókiroda vagy a vállalati iroda útválasztója kezdeményezi. Kétirányúan kezdeményezett kapcsolathoz mindkét oldalon létre kell hozni az útválasztókon az igény szerint tárcsázó összeköttetéseket, a távelérési házirendeket, az IP-címkészleteket és a csomagszűrőket.

Az alábbi ábra a KRADEB Ipari Kft. VPN-kiszolgálóját mutatja be, amely a fiókirodákkal való állandó kapcsolatot biztosítja.

A KRADEB Ipari Kft. fiókirodáinak állandó VPN-kapcsolatai

Ha az esztergomi és a székesfehérvári fiókirodát két útválasztó közötti, állandó VPN-kapcsolattal, A VPN-kiszolgáló általános konfigurációja című témakörben megadott beállítások alapján kívánja összekötni a vállalati irodával, a következő kiegészítő beállításokat kell megadnia.

A tartomány beállítása

Az esztergomi iroda saját útválasztója által kezdeményezett VPN-kapcsolatához hozzon létre egy VPN_Esztergom nevű felhasználói fiókot a következő beállításokkal:

  • Jelszó: U9!j5dP(%q1.
  • A VPN_Esztergom fiók betárcsázási tulajdonságaiban, a Távelérés engedélyezése területen jelölje be az Elérés engedélyezése választógombot.
  • A VPN_Esztergom fiókot adja hozzá a VPN_Utvalasztok csoporthoz.

A székesfehérvári iroda saját útválasztója által kezdeményezett VPN-kapcsolatához hozzon létre egy VPN_Szekesfehervar nevű felhasználói fiókot a következő beállításokkal:

  • Jelszó: z2F%s)bW$4f.
  • A VPN_Szekesfehervar felhasználói fiók betárcsázási tulajdonságaiban, a Távelérés engedélyezése területen jelölje be az Elérés engedélyezése választógombot.
  • A VPN_Szekesfehervar fiókot adja hozzá a VPN_Utvalasztok csoporthoz.

Az esztergomi és a székesfehérvári iroda azon VPN-kapcsolatához, amelyet a vállalati központ útválasztója kezdeményezett, hozzon létre egy VPN_VallKozpont nevű felhasználói fiókot a következő beállításokkal:

  • Jelszó: o3\Dn6@`-J4.
  • A VPN_VallKozpont fiók betárcsázási tulajdonságaiban, a Távelérés engedélyezése területen jelölje be az Elérés engedélyezése választógombot.
  • A VPN_VallKozpont fiókot adja hozzá a VPN_Utvalasztok csoporthoz.

A távelérési házirendek beállítása

A távelérési házirendeket a vállalati, az esztergomi és a székesfehérvári útválasztón is be kell állítani.

A távelérési házirend beállítása a vállalati útválasztón

A távelérés házirendjének beállítása a vállalati útválasztón az Igény szerinti összeköttetésű fiókiroda című témakörben leírtak szerint történik.

A távelérési házirend beállítása az esztergomi útválasztón

A VPN-kapcsolatok hitelesítési és titkosítási beállításainak megadásához törölje az alapértelmezett Hozzáférés engedélyezése, ha van betárcsázási engedélye házirendet, és hozza lére a következő, távelérési házirendet:

  • Házirend neve: VPN-útválasztók
  • Feltételek:
    • A NAS-Port-Type attribútum értéke: Virtuális (VPN)
    • A Windows-Groups attribútum értéke: VPN_Utvalasztok
    • A Called-Station-ID attribútum értéke: 131.107.0.1
  • Az engedély értéke: Kapjon távelérési engedélyt
  • Profilbeállítások:
    • Hitelesítés lap: Jelölje be a Kibővíthető hitelesítési protokoll (EAP) jelölőnégyzetet, az Intelligens kártya vagy egyéb bizonyítvány protokoll beállításait pedig konfigurálja úgy, hogy az a gép telepített bizonyítványát használja. Jelölje be a Microsoft titkosított hitelesítés 2. verzió (MS-CHAP v2) jelölőnégyzetet is.
    • Titkosítás lap: Jelölje be a Legerősebb jelölőnégyzetet, a többit pedig hagyja üresen.

Megjegyzések

  • A Called-Station-ID attribútumot állítsa be a fiókiroda útválasztóján található internetes összeköttetés IP-címére. Csak az Internet által kezdeményezett bújtatási alagutak engedélyezhetők. A KRADEB Ipari Kft. fiókirodai hálózata által kezdeményezett bújtatási alagutakat le kell tiltani.
  • A „felhasználónként szabályzott hozzáférés” felügyeleti modellben, a távelérési házirendben beállított távelérési engedély nincs hatással a távelérési engedély megadására. Mivel azonban a KRADEB Kft. hálózati rendszergazdája a házirendben a távelérés engedélyezésének értékét Kapjon távelérési engedélyt értékűre állította, nem kell az összes, már konfigurált távelérési házirendben megváltoztatni a távelérés engedélyezésének beállításait, ha később áttérnek a „házirenddel szabályzott hozzáférés natív módú tartományban” felügyeleti modellre.

A távelérési házirend beállítása a székesfehérvári útválasztón

A VPN-kapcsolatok hitelesítési és titkosítási beállításainak megadásához törölje az alapértelmezett Hozzáférés engedélyezése, ha van betárcsázási engedélye házirendet, és hozza lére a következő, távelérési házirendet:

  • Házirend neve: VPN-útválasztók
  • Feltételek:
    • A NAS-Port-Type attribútum értéke: Virtuális (VPN)
    • A Windows-Groups attribútum értéke: VPN_Utvalasztok
    • A Called-Station-ID értéke: 131.107.128.1.1
  • Az engedély értéke: Kapjon távelérési engedélyt
  • Profilbeállítások:
    • Hitelesítés lap: Jelölje be a Kibővíthető hitelesítési protokoll (EAP) jelölőnégyzetet, az Intelligens kártya vagy egyéb bizonyítvány protokoll beállításait pedig konfigurálja úgy, hogy az a gép telepített bizonyítványát használja. Jelölje be a Microsoft titkosított hitelesítés 2. verzió (MS-CHAP v2) jelölőnégyzetet is.
    • Titkosítás lap: Jelölje be a Legerősebb jelölőnégyzetet, a többit pedig hagyja üresen.

Megjegyzések

  • A Called-Station-ID attribútumot állítsa be a fiókiroda útválasztóján található internetes összeköttetés IP-címére. Csak az Internet által kezdeményezett bújtatási alagutak engedélyezhetők. A KRADEB Ipari Kft. fiókirodai hálózata által kezdeményezett bújtatási alagutakat le kell tiltani.
  • A „felhasználónként szabályzott hozzáférés” felügyeleti modellben, a távelérési házirendben beállított távelérési engedély nincs hatással a távelérési engedély megadására. Mivel azonban a KRADEB Kft. hálózati rendszergazdája a házirendben a távelérés engedélyezésének értékét Kapjon távelérési engedélyt értékűre állította, nem kell az összes, már konfigurált távelérési házirendben megváltoztatni a távelérés engedélyezésének beállításait, ha később áttérnek a „házirenddel szabályzott hozzáférés saját módú tartományban” felügyeleti modellre.

Az IP-címkészlet beállítása

Az IP-címkészletet a vállalati, az esztergomi és a székesfehérvári útválasztón is be kell állítani.

Az IP-címkészlet beállítása a vállalati útválasztón

Az IP-címkészlet beállítása a vállalati útválasztón A VPN-kiszolgáló általános konfigurációja című témakörben leírtak szerint történik.

Az IP-címkészlet beállítása a székesfehérvári útválasztón

Állítson be egy statikus IP-címkészletet, amelynek IP-címe 192.168.9.248, hálózati maszkja pedig 192.168.9.253. Ez a statikus címkészlet öt VPN-ügyfél számára elegendő.

További tudnivalók a Statikus IP-címkészlet létrehozása című témakörben találhatók.

Az IP-címkészlet beállítása a székesfehérvári útválasztón

Állítson be egy statikus IP-címkészletet, melynek kezdő IP-címe 192.168.14.248, záró IP-címe pedig 192.168.14.253. Ez a statikus címkészlet öt VPN-ügyfél számára elegendő.

További tudnivalók a Statikus IP-címkészlet létrehozása című témakörben találhatók.

A vállalati és a fiókirodai útválasztók beállításáról további tájékoztatást a következő témakörökben olvashat:

  • Az esztergomi iroda esetén: PPTP alapú állandó összeköttetésű fiókiroda
  • A székesfehérvári iroda esetén: L2TP alapú állandó összeköttetésű fiókiroda

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


PPTP alapú állandó összeköttetésű fiókiroda

Az esztergomi fiókiroda egy olyan, PPTP alapú összeköttetéssel rendelkező fiókiroda, amely egy Windows 2000 útválasztón keresztül állandó, két útválasztó közötti VPN-kapcsolatot tart fenn a pécsi vállalati iroda útválasztójával. A kapcsolat üresjárati idő esetén sem szakad meg.

Ha a vállalati iroda felé PPTP alapú, kétirányúan kezdeményezett, állandó, két útválasztó közötti VPN-kapcsolatot kíván létrehozni A VPN-kiszolgáló általános konfigurációja és az Állandó összeköttetésű fiókiroda című témakörökben megadott beállítások alapján, a vállalati és az esztergomi útválasztón az alábbi beállításokat kell megadnia.

A vállalati útválasztó beállítása

A vállalati útválasztót igény szerint tárcsázó összeköttetéssel és statikus útvonallal kell konfigurálni.

Igény szerint tárcsázó összeköttetés a két útválasztó közötti VPN-kapcsolathoz

Ahhoz, hogy a vállalati iroda útválasztója két útválasztó közötti VPN-kapcsolattal csatlakozzon az Interneten keresztül az esztergomi útválasztóhoz, az Igény szerinti összeköttetést beállító varázslóval létre kell hozni egy igény szerint tárcsázó összeköttetést az alábbi beállításokkal:

  • Összeköttetés neve

    VPN_Esztergom

  • Kapcsolat típusa

    Jelölje be a Csatlakozás virtuális magánhálózat (VPN) használatával választógombot.

  • Virtuális magánhálózat típusa

    Jelölje be a Point-to-Point Tunneling protokoll (PPTP) választógombot.

  • Cél címe

    131.107.0.1

  • Protokollok és adatvédelem

    Jelölje be az IP-csomagok ezen az összeköttetésen jelölőnégyzetet.

  • Kitárcsázási hitelesítő adatok
    • Felhasználónév: VPN_VallKozpont
    • Tartomány: kradeb.microsoft.com
    • Jelszó: o3\Dn6@`-J4
    • Jelszó megerősítése: o3\Dn6@`-J4

Létrehozása után az igény szerint tárcsázó összeköttetésen hajtsa végre a következő változtatást:

  • Az igény szerint tárcsázó összeköttetés tulajdonságlapján kattintson a Beállítások fülre, majd a Kapcsolat típusa területen jelölje be az Állandó kapcsolat választógombot.

Statikus útvonal az esztergomi iroda hálózatához

Ahhoz, hogy az esztergomi hálózat összes helye elérhető legyen, az alábbi statikus útvonalat kell beállítani:

  • Összeköttetés: VPN_Esztergom
  • Cél: 192.168.9.0
  • Hálózati maszk: 255.255.255.0
  • Metrika: 1

Az esztergomi útválasztó beállítása

Az esztergomi útválasztót igény szerint tárcsázó összeköttetéssel és statikus útvonallal kell konfigurálni.

Igény szerint tárcsázó összeköttetés a két útválasztó közötti VPN-kapcsolathoz

Ahhoz, hogy az esztergomi iroda útválasztója két útválasztó közötti VPN-kapcsolattal kapcsolódjon az Interneten keresztül a vállalati iroda útválasztójához, az Igény szerinti összeköttetést beállító varázslóval létre kell hozni egy igény szerint tárcsázó összeköttetést az alábbi beállításokkal:

  • Összeköttetés neve

    VPN_VallKozpont

  • Kapcsolat típusa

    Jelölje be a Csatlakozás virtuális magánhálózat (VPN) használatával választógombot.

  • Virtuális magánhálózat típusa

    Jelölje be a Point-to-Point Tunneling protokoll (PPTP) választógombot.

  • Cél címe

    207.46.130.1

  • Protokollok és adatvédelem

    Jelölje be az IP-csomagok ezen az összeköttetésen jelölőnégyzetet.

  • Kitárcsázási hitelesítő adatok
    • Felhasználónév: VPN_Esztergom
    • Tartomány: kradeb.microsoft.com
    • Jelszó: U9!j5dP(%q1
    • Jelszó megerősítése: U9!j5dP(%q1

Létrehozása után az igény szerint tárcsázó összeköttetésen hajtsa végre a következő változtatást:

  • Az igény szerint tárcsázó összeköttetés tulajdonságlapján kattintson a Beállítások fülre, majd a Kapcsolat típusa területen jelölje be az Állandó kapcsolat választógombot.

Statikus útvonal az Internethez

Ahhoz, hogy az Internet összes helye elérhető legyen, az alábbi statikus útvonalat kell beállítani:

  • Összeköttetés: Az Internethez csatlakozó WAN-csatoló
  • Cél: 0.0.0.0
  • Hálózati maszk: 0.0.0.0
  • Átjáró: 0.0.0.0
  • Metrika: 1

Megjegyzés

  • Mivel a WAN-csatoló pont-pont típusú kapcsolatot hoz létre az Internet-szolgáltatóval, az átjárónak bármilyen címet adhat. A 0.0.0.0 átjárócím csak egy példa. A 0.0.0.0 az ismeretlen IP-cím.

Statikus útvonal a vállalati intranethez

Ahhoz, hogy a vállalati intranet összes helye elérhető legyen, az alábbi statikus útvonalat kell beállítani:

  • Összeköttetés: VPN_VallKozpont
  • Cél: 172.16.0.0
  • Hálózati maszk: 255.240.0.0
  • Metrika: 1

PPTP-csomagszűrők az internetes összeköttetésen

Ahhoz, hogy az Internet-kapcsolaton keresztül csak PPTP alapú forgalom bonyolódhasson, PPTP-csomagszűrőket kell beállítani az internetes összeköttetésen. További tudnivalók a PPTP-szűrők hozzáadása című témakörben találhatók.

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


L2TP alapú állandó összeköttetésű fiókiroda

A székesfehérvári fiókiroda egy olyan, L2TP alapú összeköttetéssel rendelkező iroda, amely egy Windows 2000 útválasztón keresztül állandó, két útválasztó közötti VPN-kapcsolatot tart fenn a pécsi vállalati iroda útválasztójával. A kapcsolat üresjárati idő esetén sem szakad meg.

Ha a vállalati iroda felé L2TP alapú, kétirányúan kezdeményezett, állandó, két útválasztó közötti VPN-kapcsolatot kíván létrehozni A VPN-kiszolgáló általános konfigurációja és az Állandó összeköttetésű fiókiroda című témakörökben megadott beállítások alapján, a vállalati és a székesfehérvári útválasztón az alábbi beállításokat kell megadnia.

A vállalati útválasztó beállítása

A vállalati útválasztót igény szerint tárcsázó összeköttetéssel és statikus útvonallal kell konfigurálni.

Igény szerint tárcsázó összeköttetés a két útválasztó közötti VPN-kapcsolathoz

Ahhoz, hogy a vállalati iroda útválasztója két útválasztó közötti VPN-kapcsolattal kapcsolódjon az Interneten keresztül a székesfehérvári útválasztóhoz, az Igény szerinti összeköttetést beállító varázslóval létre kell hozni egy igény szerint tárcsázó összeköttetést az alábbi beállításokkal:

  • Összeköttetés neve

    VPN_Szekesfehervar

  • Kapcsolat típusa

    Jelölje be a Csatlakozás virtuális magánhálózat (VPN) használatával választógombot.

  • Virtuális magánhálózat típusa

    Jelölje be a Layer-2 Tunneling protokoll (L2TP) választógombot.

  • Cél címe

    131.107.128.1

  • Protokollok és adatvédelem

    Jelölje be az IP-csomagok ezen az összeköttetésen jelölőnégyzetet.

  • Kitárcsázási hitelesítő adatok
    • Felhasználónév: VPN_VallKozpont
    • Tartomány: kradeb.microsoft.com
    • Jelszó: o3\Dn6@`-J4
    • Jelszó megerősítése: o3\Dn6@`-J4

Létrehozása után az igény szerint tárcsázó összeköttetésen hajtsa végre a következő változtatást:

  • Az igény szerint tárcsázó összeköttetés tulajdonságlapján kattintson a Beállítások fülre, majd a Kapcsolat típusa területen jelölje be az Állandó kapcsolat választógombot.

Statikus útvonal a székesfehérvári iroda hálózatához

Ahhoz, hogy a székesfehérvári hálózat összes helye elérhető legyen, az alábbi statikus útvonalat kell beállítani:

  • Összeköttetés: VPN_Szekesfehervar
  • Cél: 192.168.14.0
  • Hálózati maszk: 255.255.255.0
  • Metrika: 1

A székesfehérvári útválasztó beállítása

A székesfehérvári útválasztót igény szerint tárcsázó összeköttetéssel és statikus útvonallal kell konfigurálni.

Igény szerint tárcsázó összeköttetés a két útválasztó közötti VPN-kapcsolathoz

Ahhoz, hogy a székesfehérvári iroda útválasztója két útválasztó közötti VPN-kapcsolattal kapcsolódjon az Interneten keresztül a vállalati iroda útválasztójához, az Igény szerinti összeköttetést beállító varázslóval létre kell hozni egy igény szerint tárcsázó összeköttetést az alábbi beállításokkal:

  • Összeköttetés neve

    VPN_VallKozpont

  • Kapcsolat típusa

    Jelölje be a Csatlakozás virtuális magánhálózat (VPN) használatával választógombot.

  • Virtuális magánhálózat típusa

    Jelölje be a Layer-2 Tunneling protokoll (L2TP) választógombot.

  • Cél címe

    207.46.130.1

  • Protokollok és adatvédelem

    Jelölje be az IP-csomagok ezen az összeköttetésen jelölőnégyzetet.

  • Kitárcsázási hitelesítő adatok
    • Felhasználónév: VPN_Szekesfehervar
    • Tartomány: kradeb.microsoft.com
    • Jelszó: z2F%s)bW$4f
    • Jelszó megerősítése: z2F%s)bW$4f

Létrehozása után az igény szerint tárcsázó összeköttetésen hajtsa végre a következő változtatást:

  • Az igény szerint tárcsázó összeköttetés tulajdonságlapján kattintson a Beállítások fülre, majd a Kapcsolat típusa területen jelölje be az Állandó kapcsolat választógombot.

Statikus útvonal az Internethez

Ahhoz, hogy az Internet összes helye elérhető legyen, az alábbi statikus útvonalat kell beállítani:

  • Összeköttetés: Az Internethez csatlakozó WAN-csatoló
  • Cél: 0.0.0.0
  • Hálózati maszk: 0.0.0.0
  • Átjáró: 0.0.0.0
  • Metrika: 1

Megjegyzés

  • Mivel a WAN-csatoló két pont közötti kapcsolatot hoz létre az Internet-szolgáltatóval, az átjárónak bármilyen címet adhat. A 0.0.0.0 átjárócím csak egy példa. A 0.0.0.0 az ismeretlen IP-cím.

Statikus útvonal a vállalati intranethez

Ahhoz, hogy a vállalati intranet összes helye elérhető legyen, az alábbi statikus útvonalat kell beállítani:

  • Összeköttetés: VPN_VallKozpont
  • Cél: 172.16.0.0
  • Hálózati maszk: 255.240.0.0
  • Metrika: 1

L2TP IPSec-en típusú csomagszűrők az internetes összeköttetésen

Ahhoz, hogy az Internet-kapcsolaton keresztül csak L2TP IPSec-en alapú forgalom bonyolódhasson, L2TP IPSec-en típusú csomagszűrőket kell beállítani az internetes összeköttetésen. További tudnivalók az L2TP IPSec-en típusú szűrők hozzáadása című témakörben találhatók.

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


Extranet üzleti partnerek számára

A KRADEB Ipari Kft. hálózati rendszergazdája extranetet hozott létre. Ez a KRADEB Ipari Kft. magánhálózatának azon része, amely az üzleti partnerek számára biztonságos VPN-kapcsolaton keresztül elérhető. A KRADEB Ipari Kft. extranetje a Kft. VPN-kiszolgálójához csatlakoztatott hálózat, amely egy fájlkiszolgálót és egy webkiszolgálót tartalmaz. A Tweed Import Kft. és a CDG Biztosító Rt. a KRADEB Ipari Kft. üzleti partnerei, akik a KRADEB extranetjéhez igény szerinti, két útválasztó közötti VPN-kapcsolaton keresztül kapcsolódnak. Egy további távelérési házirend felhasználásával biztosítják, hogy az üzleti partnerek csak az extranet fájlkiszolgálóját és webkiszolgálóját érjék el.

A KRADEB extranetjének fájlkiszolgálója a 172.31.0.10 IP-címet kapta, a webkiszolgáló IP-címe pedig 172.31.0.11. A Tweed Import Kft. publikus hálózati azonosítója 131.107.254.0, az alhálózati maszk pedig 255.255.255.0. A CDG Biztosító Rt. publikus hálózati azonosítója 131.107.250.0, az alhálózati maszk pedig 255.255.255.0. Annak érdekében, hogy a webkiszolgáló és a fájlkiszolgáló elérje az üzleti partnereket, a fájlkiszolgálón és a webkiszolgálón az üzleti partnerek hálózatai számára statikus útvonalakat kell létrehozni, amelyek a 172.31.0.1 átjárócímet használják.

A konfiguráció egyszerűsítése végett a VPN-kapcsolat egyirányúan kezdeményezett kapcsolat. A kapcsolatot mindig az üzleti partnerek kezdeményezik. További információ az Egyirányúan kezdeményezett igény szerint tárcsázó kapcsolatok című témakörben található.

Az alábbi ábra bemutatja a KRADEB Ipari Kft. VPN-kiszolgálóját, amely az üzleti partnereknek extranetes kapcsolatot biztosít.

A KRADEB Ipari Kft. üzleti partnereinek extranetes kapcsolatai

Az üzleti partnereket a KRADEB Ipari Kft. extranetjével összekötő, igény szerinti, egyirányúan kezdeményezett, két útválasztó közötti VPN-kapcsolatok A VPN-kiszolgáló általános konfigurációja című témakörben ismertetett beállítások alapján történő létrehozásához a következő további beállításokat kell használni.

A tartomány beállítása

A Tweed Import Kft. VPN-kapcsolata számára létre kell hozni a PTR_Tweed felhasználói fiókot az alábbi beállításokkal:

  • Jelszó: Y8#-vR7?]fI.
  • A PTR_Tweed fiók behívási tulajdonságainál a távelérés engedélyezését Hozzáférés engedélyezése értékre kell állítani, és hozzá kell adni a 131.107.254.0 IP-című statikus útvonalat a 255.255.255.0 alhálózati maszkkal.
  • A PTR_Tweed fiókot hozzá kell adni a VPN_Partnerek csoporthoz.

A CDG Biztosító Rt. VPN-kapcsolata számára létre kell hozni a PTR_CDG felhasználói fiókot az alábbi beállításokkal:

  • Jelszó: W@8c^4r-;2\.
  • A PTR_CDG fiók behívási tulajdonságainál a távelérés engedélyezését Hozzáférés engedélyezése értékre kell állítani, és hozzá kell adni a 131.107.250.0 IP-című statikus útvonalat a 255.255.255.0 alhálózati maszkkal.
  • A PTR_CDG fiókot hozzá kell adni a VPN_Partnerek csoporthoz.

Hitelesítés beállítása

Annak érdekében, hogy az üzleti partnerek útválasztói bizonyítvány alapján történő hitelesítést végezhessenek a vállalati útválasztón, bizonyítványt kell cserélni a KRADEB Ipari Kft. és az üzleti partnerek között. További információ az Igény szerint tárcsázó kapcsolat üzleti partnerrel című témakörben található.

A távelérési házirendek beállítása

Az üzleti partnerek VPN-kapcsolatai számára a hitelesítési és titkosítási beállításokat az alábbi távelérési házirend határozza meg:

  • Házirend neve: VPN-partnerek
  • Feltételek:
    • A NAS-Port-Type értéke Virtuális (VPN)
    • A Windows-Groups értéke VPN_Partnerek
    • A Called-Station-ID 207.46.130.1
  • Az engedély Kapjon távelérési engedélyt értékre van állítva
  • Profilbeállítások:
    • Az IP lapon az alábbi TCP/IP-csomagszűrők vannak beállítva:

      Az ügyféltől

      • Szűrőművelet: A felsoroltakon kívül minden forgalom tiltása
      • 1. szűrő: Cél IP-címe: 172.31.0.10, alhálózati maszk: 255.255.255.255
      • 2. szűrő: Cél IP-címe: 172.31.0.11, alhálózati maszk: 255.255.255.255

      • Az ügyfélnek

      • Szűrőművelet: A felsoroltakon kívül minden forgalom tiltása
      • 1. szűrő: Forrás IP-címe: 172.31.0.10, alhálózati maszk: 255.255.255.255
      • 2. szűrő: Forrás IP-címe: 172.31.0.11, alhálózati maszk: 255.255.255.255
    • Hitelesítés lap: Az Extensible Authentication protokoll (EAP) beállítás engedélyezett, az Intelligens kártya vagy egyéb bizonyítvány tulajdonságai pedig úgy van beállítva, hogy a gép telepített bizonyítványát használja. A Microsoft titkosított hitelesítés 2-es verzió (MS-CHAP v2) beállítás is meg van adva.
    • Titkosítás lap: Az egyetlen kijelölt beállítás a Legerősebb.

Megjegyzések

  • A Called-Station-ID beállítás a VPN-kiszolgálón található internetes összeköttetés IP-címére van állítva. Csak az Internet által kezdeményezett protokollbújtatások engedélyezettek. A KRADEB Ipari Kft. intranetje által kezdeményezett protokollbújtatások nem engedélyezettek. A KRADEB azon felhasználói, akik a KRADEB intranetről kérnek Internet-hozzáférést, a KRADEB proxykiszolgálóján keresztül juthatnak hozzá, ahol az Internet-elérés vezérlése és figyelése zajlik.
  • A felhasználónként szabályzott hozzáférés felügyeleti modelljében a távelérés-engedélyezést nem a távelérési házirendben megadott távelérés-engedélyezés határozza meg. A KRADEB Kft. hálózati rendszergazdája azonban a házirendben a távelérés engedélyezését Kapjon távelérési engedélyt értékre állította, így ha később áttérnek a házirend alapján történő hozzáférés-engedélyezésre natív módú tartományfelügyeleti modellben, a már konfigurált távelérési házirendekben nem kell megváltoztatni a távelérés engedélyezésének beállításait.

Az üzleti partnerek útválasztó-beállításairól további tájékoztatás az alábbi témakörökben található:

  • Tweed Import Kft.: PPTP alapú extranet üzleti partnerek számára
  • CDG Biztosító Rt.: L2TP alapú extranet üzleti partnerek számára

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


PPTP alapú extranet üzleti partnerek számára

A Tweed Import Kft. olyan üzleti partner, amely szükség esetén Windows 2000 útválasztóval hozza létre igény szerinti, PPTP alapú, két útválasztó közötti VPN-kapcsolatát a KRADEB Ipari Kft. pécsi vállalati kiszolgálójával. Ha a kapcsolat létrejön és öt percen keresztül tétlen, akkor megszakad. A Tweed Import Kft. útválasztója állandó WAN-kapcsolattal kapcsolódik az Internethez.

A vállalati iroda felé irányuló PPTP alapú, egyirányúan kezdeményezett, igény szerinti, két útválasztó közötti, A VPN-kiszolgáló általános konfigurációja és az Extranet üzleti partnerek számára című témakörökben megadott beállításokon alapuló VPN-kapcsolat létrehozásához a Tweed Import Kft. útválasztóján az alábbi beállítások lesznek megadva:

Igény szerint tárcsázó összeköttetés a két útválasztó közötti VPN-kapcsolathoz

Ahhoz, hogy a Tweed Import Kft. útválasztója két útválasztó közötti VPN-kapcsolattal kapcsolódjon az Internethez, az Igény szerinti összeköttetést beállító varázslóval létre kell hozni egy igény szerint tárcsázó összeköttetést az alábbi beállításokkal:

  • Összeköttetés neve

    KRADEB

  • Kapcsolat típusa

    A Csatlakozás virtuális magánhálózat (VPN) használatával beállítás van megadva.

  • Virtuális magánhálózat típusa

    A Point-to-Point Tunneling protokoll (PPTP) van megadva.

  • Cél címe

    207.46.130.1

  • Protokollok és adatvédelem

    Az IP-csomagok ezen az összeköttetésen jelölőnégyzet van bejelölve.

  • Kitárcsázási hitelesítési adatok
    • Felhasználónév: PTR_Tweed
    • Tartomány: kradeb.microsoft.com/hun
    • Jelszó: Y8#-vR7?]fI
    • Jelszó megerősítése: Y8#-vR7?]fI

Statikus útvonal a KRADEB Ipari Kft. extranetje számára

Annak érdekében, hogy a KRADEB Ipari Kft. extranetjének összes helye elérhető legyen, be kell állítani az alábbi statikus útvonalat:

  • Összeköttetés: KRADEB
  • Cél: 172.31.0.0
  • Hálózati maszk: 255.255.0.0
  • Metrika: 1

PPTP-csomagszűrők az internetes összeköttetésen

Annak biztosítására, hogy az Internet-kapcsolaton keresztül csak PPTP alapú forgalom bonyolódjon, PPTP-csomagszűrőket kell beállítani az internetes összeköttetésen. További tudnivalók a PPTP-szűrők hozzáadása című témakörben találhatók.

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


L2TP alapú extranet üzleti partnerek számára

A CDG Biztosítási Rt. olyan üzleti partner, amely szükség esetén Windows 2000 útválasztóval hozza létre igény szerinti, L2TP alapú, két útválasztó közötti VPN-kapcsolatát a KRADEB Ipari Kft. pécsi vállalati kiszolgálójával. Ha a kapcsolat létrejön és öt percen keresztül tétlen, akkor megszakad. A CDG Biztosító Rt. útválasztója állandó WAN-kapcsolattal kapcsolódik az Internethez.

A vállalati iroda felé irányuló L2TP alapú, egyirányúan kezdeményezett, igény szerinti, két útválasztó közötti, A VPN-kiszolgáló általános konfigurációja és az Extranet üzleti partnerek számára című témakörökben megadott beállításokon alapuló VPN-kapcsolat létrehozásához a CDG Biztosító Rt. útválasztóján az alábbi beállítások lesznek megadva:

Igény szerint tárcsázó összeköttetés a két útválasztó közötti VPN-kapcsolathoz

Ahhoz, hogy a CDG Biztosító Rt. útválasztója két útválasztó közötti VPN-kapcsolattal kapcsolódjon az Internethez, az Igény szerinti összeköttetést biztosító varázslóval létre kell hozni egy igény szerint tárcsázó összeköttetést az alábbi beállításokkal:

  • Összeköttetés neve

    KRADEB

  • Kapcsolat típusa

    A Csatlakozás virtuális magánhálózat (VPN) használatával beállítás van megadva.

  • Virtuális magánhálózat típusa

    A Layer-2 Tunneling protokoll (L2TP) választógomb van kijelölve.

  • Cél címe

    207.46.130.1

  • Protokollok és adatvédelem

    Az IP-csomagok ezen az összeköttetésen jelölőnégyzet van bejelölve.

  • Kitárcsázási hitelesítési adatok
    • Felhasználónév: PTR_CDG
    • Tartomány: kradeb.microsoft.com/hun
    • Jelszó: W@8c^4r-;2\
    • Jelszó megerősítése: W@8c^4r-;2\

Statikus útvonal a KRADEB Ipari Kft. extranetje számára

Annak érdekében, hogy a KRADEB Ipari Kft. extranetjének összes helye elérhető legyen, be kell állítani az alábbi statikus útvonalat:

  • Összeköttetés: kradeb
  • Cél: 172.31.0.0
  • Hálózati maszk: 255.255.0.0
  • Metrika: 1

IPSec által biztosított L2TP-csomagszűrők az internetes összeköttetésen

Biztosítandó, hogy az Internet-kapcsolaton keresztül csak L2TP IPSec-en alapú forgalom bonyolódjon, L2TP IPSec-en típusú csomagszűrőket kell beállítani az internetes összeköttetésen. További tudnivalók az „L2TP IPSec-en”-csomagszűrők hozzáadása című témakörben találhatók.

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


Telefonos és virtuális magánhálózatok RADIUS protokollal

A VPN alapú távelérés mellett a KRADEB Ipari Kft. hálózati rendszergazdája modem alapú telefonos távelérést szeretne nyújtani a pécsi iroda dolgozói számára. A pécsi iroda minden dolgozója a Pecsi_Dolgozok nevű Windows 2000 csoporthoz tartozik. Egy Windows 2000 rendszert futtató külön távelérési kiszolgáló nyújtja a telefonos távelérést az 555-0111-es telefonszámon. Ahelyett, hogy a VPN-kiszolgáló és a távelérési kiszolgáló távelérési házirendjeit külön kezelné, a hálózati rendszergazda RADIUS-kiszolgálóként egy Internet-hitelesítési szolgáltatással (Internet Authentication Service – IAS) ellátott Windows 2000 távelérési kiszolgálót használ. Az IAS-kiszolgáló IP-címe 172.31.0.9 a KRADEB extranetjén. Ez a kiszolgáló nyújt távelérés-hitelesítési, engedélyezési és számlázási szolgáltatásokat a távelérési kiszolgálónak és a VPN-kiszolgálónak egyaránt.

Az alábbi illusztráció a KRADEB Ipari Kft. RADIUS-kiszolgálóját mutatja, amely hitelesítési és számlázási szolgáltatásokat nyújt a VPN-kiszolgálónak és a távelérési kiszolgálónak.

RADIUS-hitelesítés és számlázás

A tartomány beállítása

Minden olyan pécsi dolgozó számára, akiknek engedélyezve van a telefonos elérés, Hozzáférés engedélyezése értékre kell állítani a távelérési engedélyt a felhasználói fiók behívási tulajdonságainál.

A távelérési házirendek beállítása

A távelérési házirendeket kétféleképpen kell módosítani:

  1. A meglévő, a Windows 2000 rendszert futtató VPN-kiszolgálón beállított távelérési házirendeket át kell másolni az IAS-kiszolgálóra.
  2. Az IAS-kiszolgálón új távelérési házirendet kell létrehozni a telefonos távelérésű ügyfelek számára.

A távelérési házirendek másolása

Ha a Windows 2000 rendszert futtató VPN-kiszolgáló RADIUS-hitelesítés használatára lett konfigurálva, a rajta tárolt, távelérési házirendek használaton kívül kerülnek. Ehelyett a Windows 2000 rendszert futtató IAS-kiszolgálón található, távelérési házirendeket használja a program. Ezért a távelérési házirendeket az IAS-kiszolgálóra kell másolni.

További tudnivalók Az IAS-beállítások átmásolása másik kiszolgálóra című témakörben találhatók.

Új távelérési házirend létrehozása a telefonos távelérésű ügyfelek számára

Annak érdekében, hogy a pécsi iroda dolgozóinak telefonos kapcsolataihoz definiálják a hitelesítési és titkosítási beállításokat, a RADIUS-kiszolgálón az alábbi, távelérési házirendet kell létrehozni:

  • Házirend neve: Telefonos kapcsolat a pécsi dolgozók számára
  • Feltételek:
    • A NAS-Port Type értéke: a Virtuális (VPN) kivételével mindegyik.
    • A Windows-Groups értéke Pecsi_Dolgozok
  • Az engedély Kapjon távoli elérés engedélyt értékre van állítva
  • Profilbeállítások:
    • Hitelesítés lap: Az Extensible Authentication protokoll (EAP) beállítás engedélyezett, az Intelligens kártya vagy egyéb bizonyítvány tulajdonságai pedig úgy van beállítva, hogy a gép telepített bizonyítványát használja. Alapértelmezés szerint a Microsoft titkosított hitelesítés (MS-CHAP) és a Microsoft titkosított hitelesítés 2. verzió (MS-CHAP v2) beállítások vannak megadva.
    • Titkosítás lap: Minden lehetőség be van jelölve.

Megjegyzés

  • A felhasználónként szabályzott hozzáférés felügyeleti modelljében a távelérés-engedélyezést nem a távelérési házirendben megadott távelérés-engedélyezés határozza meg. A KRADEB Kft. hálózati rendszergazdája azonban a házirendben a távelérés engedélyezését Kapjon távelérés engedélyt értékre állította, így ha később áttérnek a házirend alapján történő hozzáférés-engedélyezésre natív módú tartományfelügyeleti modellben, a már konfigurált távelérési házirendekben nem kell megváltoztatni a távelérés engedélyezésének beállításait.

A RADIUS beállítása

A RADIUS-hitelesítés és számlázás beállításához a KRADEB Ipari Kft. hálózati rendszergazdájának az alábbi beállításokat kell megadnia:

  • A RADIUS-kiszolgáló Internet-hitelesítési szolgáltatással (Internet Authentication Service – IAS) ellátott Windows 2000 rendszert futtató számítógép. Az IAS szolgáltatás két RADIUS-ügyfélre van beállítva, ezek a távelérési kiszolgáló és a VPN-kiszolgáló. További tájékoztatás az Internet-hitelesítési szolgáltatás és a RADIUS-ügyfelek regisztrálása című témakörben található.
  • A Windows 2000 rendszert futtató távelérési kiszolgáló a RADIUS-hitelesítésnek és számlázásnak a 172.31.0.9 IP-címen történő használatára, illetve egy megosztott titok használatára van beállítva. További tudnivalók a RADIUS-hitelesítés használata és a RADIUS-számlázás használata című témakörben találhatók.
  • A Windows 2000 rendszert futtató VPN-kiszolgáló a RADIUS-hitelesítésnek és számlázásnak a 172.31.0.9 IP-címen történő használatára, illetve egy megosztott titok használatára van beállítva. További tudnivalók a RADIUS-hitelesítés használata és a RADIUS-számlázás használata című témakörben találhatók.

Telefonos távelérésű ügyfelek beállítása

Az Új kapcsolat létrehozása varázslóval telefonos kapcsolatot kell létrehozni az alábbi beállításokkal:

  • Telefonszám: 555-0111

Megjegyzés

  • Az itt példaként szereplő cégek, szervezetek, termékek, személyek és események nem valóságosak. Bármely létező céggel, szervezettel, termékkel, személlyel vagy eseménnyel való esetleges egyezés csak véletlenül fordulhat elő, a szándékosság nem feltételezhető.


Forrásmunkák

A rész tartalma:

  • Segédkönyvek
  • Virtuális magánhálózattal kapcsolatos RFC-dokumentumok
  • Hibaelhárítási eszközök


Virtuális magánhálózattal kapcsolatos RFC-dokumentumok

Az RFC-dokumentumok (Requests for Comments) az internetes közösség által használt, folyamatosan fejlesztett technikai beszámolók, protokolljavaslatok és protokollszabványok összességét jelentik. A szabványok az Internet Engineering Task Force (IETF) és más munkacsoportok által kiadott RFC-dokumentumokban vannak meghatározva.

Virtuális magánhálózattal kapcsolatos RFC-dokumentumok

RFC-szám | Cím
2637 | Point-to-Point Tunneling Protocol, PPTP (Point-to-Point Tunneling protokoll, PPTP)
2661 | Layer Two Tunneling Protocol, L2TP (Layer Two Tunneling protokoll, L2TP)

Virtuális magánhálózattal kapcsolatos internetes dokumentumok

Dokumentumnév | Cím
draft-ietf-pppext-l2tp-security-x.txt | Securing L2TP using IPSEC (Az L2TP biztosítása IPSEC-kel)

Az RFC-dokumentumok beszerzése

Az RFC-dokumentumok a Request for Comments webhelyen szerezhetők be. (http://www.rfc-editor.org/) Ezt a webhelyet jelenleg az Information Sciences Institute (ISI) intézet tagjai tartják karban, és ők teszik közzé azt a rendszerezett listát, amely az összes RFC-dokumentumot tartalmazza. Az RFC-dokumentumok a következő csoportok szerint vannak rendszerezve: elfogadott Internet-szabványok, javasolt Internet-szabványok (dokumentum formájában áttekintésre közzétéve), gyakorlati tanácsok az Internet használatához és FYI (For Your Information) tájékoztató jellegű dokumentumok.

Az internetes dokumentumokat az Internet Drafts webhelyen tekintheti meg. (ftp://ftp.ietf.org/internet-drafts/)

Megjegyzés


Hibaelhárítás

A rész tartalma:

  • Hibaelhárítás – Távelérésű virtuális magánhálózatok
  • Hibaelhárítás – Két útválasztó közötti virtuális magánhálózatok


Hibaelhárítás – Távelérésű virtuális magánhálózatok

Mi a probléma?

Nem hozható létre távelérésű VPN-kapcsolat.

Ok: Az Útválasztás és távelérés szolgáltatás nem indult el a VPN-kiszolgálón.

Megoldás: Ellenőrizze az Útválasztás és távelérés szolgáltatás állapotát a VPN-kiszolgálón.

Lásd még: Az Útválasztás és távelérés szolgáltatás figyelése; Az Útválasztás és távelérés szolgáltatás elindítása és leállítása

Ok: A távelérés nincs engedélyezve a VPN-kiszolgálón.

Megoldás: Engedélyezze a távelérést a VPN-kiszolgálón.

Lásd még: A ávelérési kiszolgáló engedélyezése

Ok: A PPTP- vagy az L2TP-port nincs engedélyezve bejövő távelérési kérések fogadására.

Megoldás: Engedélyezze a PPTP-, az L2TP- vagy mindkét portot bejövő távelérési kérések fogadására.

Lásd még: Portok konfigurálása táveléréshez

Ok: A VPN-ügyfelek által használt LAN-protokollok nincsenek távelérésre engedélyezve a VPN-kiszolgálón.

Megoldás: Engedélyezze távelérésre a VPN-ügyfelek által használt LAN-protokollokat a VPN-kiszolgálón.

Lásd még: A távelérési kiszolgáló tulajdonságainak megtekintése

Ok: A jelenleg csatlakozott távelérésű ügyfelek vagy igény szerint tárcsázó útválasztók már a VPN-kiszolgáló összes PPTP- vagy L2TP-portját lefoglalják.

Megoldás: Ellenőrizze, hogy a VPN-kiszolgálón lévő összes PPTP- vagy L2TP-port használatban van-e. Ehhez kattintson az Útválasztás és távelérés konzolfa Portok elemére. Amennyiben szükséges, több egyidejű kapcsolat biztosítása érdekében módosítsa a PPTP- vagy az L2TP-portok számát.

Lásd még: PPTP- vagy L2TP-portok hozzáadása

Ok: A VPN-kiszolgáló nem támogatja a VPN-ügyfél bújtatóprotokollját.

A Windows 2000 távelérésű VPN-ügyfelei alapértelmezés szerint az Automatikus kiszolgálótípus-beállítást használják, ami azt jelenti, hogy először L2TP IPSec-en alapú virtuális magánhálózati kapcsolatot kísérelnek meg létrehozni, utána pedig PPTP alapú virtuális magánhálózati kapcsolatot. Ha a VPN-ügyfelek a Point-to-Point Tunneling protokoll (PPTP) vagy a Layer-2 Tunneling protokoll (L2TP) kiszolgálótípus-beállítást használják, ellenőrizze, hogy a VPN-kiszolgáló támogatja-e a kijelölt bújtatóprotokollt.

Az a számítógép, amelyen a Windows 2000 Server operációs rendszer, valamint az Útválasztás és távelérés szolgáltatás fut, alapértelmezés szerint egy PPTP és L2TP protokollt használó kiszolgáló öt L2TP- és öt PPTP-porttal ellátva. Ha csak PPTP protokollt használó kiszolgálót szeretne létrehozni, állítsa az L2TP-portok számát nullára. Ha csak L2TP protokollt használó kiszolgálót szeretne létrehozni, állítsa az PPTP-portok számát nullára.

Megoldás: Ellenőrizze, hogy megfelelő számú PPTP- vagy L2TP-port van-e konfigurálva.

Lásd még: PPTP- vagy L2TP-portok hozzáadása

Ok: A VPN-ügyfél és a VPN-kiszolgáló valamely távelérési házirendben úgy van beállítva, hogy nincs olyan hitelesítési módszer, amelyet mindketten használnak.

Megoldás: Állítsa be a VPN-ügyfelet és a VPN-kiszolgálót a távelérési házirendben úgy, hogy legyen legalább egy közös hitelesítési módszer, amit mindketten használnak.

Lásd még: Hitelesítés konfigurálása

Ok: A VPN-ügyfél és a VPN-kiszolgáló a távelérési házirendben úgy van beállítva, hogy nincs olyan titkosítási módszer, amelyet mindketten használnak.

Megoldás: Állítsa be a VPN-ügyfelet és a VPN-kiszolgálót a távelérési házirendben úgy, hogy legyen legalább egy közös titkosítási módszer, amit mindketten használnak.

Lásd még: Titkosítás konfigurálása

Ok: A VPN-kapcsolathoz nincsenek beállítva a megfelelő engedélyek a távelérési házirendben és a felhasználói fiók behívási tulajdonságaiban.

Megoldás: Ellenőrizze, hogy a VPN-kapcsolathoz be vannak-e állítva a megfelelő engedélyek a távelérési házirendben és a felhasználói fiók behívási tulajdonságaiban.

A kapcsolat létrehozása érdekében a csatlakozási kísérletnek az alábbi beállításokkal kell rendelkeznie:

  • Lennie kell legalább egy olyan távelérési házirendnek, amelynek az összes feltételét teljesíti.
  • Az Elérés engedélyezése beállítással megadott hozzáférési engedéllyel kell rendelkeznie a felhasználói fióknál, illetve az Elérés vezérlése a RAS-házirend alapján beállítással megadott hozzáférési engedéllyel a felhasználói fióknál és a Kapjon távelérési engedélyt beállítással megadott távelérési engedéllyel a megfelelő távelérési házirendben.
  • A profil minden beállításával egyeznie kell.
  • A felhasználói fiók behívási tulajdonságaiban megadott összes beállítással egyeznie kell.

Lásd még: Bevezetés a távelérési házirendek használatába; Csatlakozási kísérlet elfogadása

Ok: A távelérési házirend profiljának beállításai ütköznek a VPN-kiszolgáló tulajdonságaival.

A távelérési házirend profiljának beállításai és a VPN-kiszolgáló tulajdonságai egyaránt tartalmaznak beállításokat a következőkkel kapcsolatban:

  • Multilink
  • Sávszélesség-kijelölő protokoll
  • Hitelesítési protokollok

Ha a VPN-kiszolgáló beállításai ütköznek a megfelelő távelérési házirend profiljának beállításaival, a csatlakozási kísérletet a rendszer nem fogadja el. Ha például a távelérési házirend profilja úgy van beállítva hogy a rendszer az EAP-TLS hitelesítési protokollt használja, az EAP viszont nincs engedélyezve a VPN-kiszolgálón, a rendszer a csatlakozási kísérletet nem fogadja el.

Megoldás: Ellenőrizze, hogy a távelérési házirend profiljának beállításai nem ütköznek-e a VPN-kiszolgáló tulajdonságaival.

Lásd még: Hitelesítési protokollok engedélyezése; Hitelesítés konfigurálása

Ok: A VPN-ügyfél hitelesítő adatai (felhasználónév, jelszó, tartománynév) hibásak, ezért a VPN-kiszolgáló nem tudja azokat érvényesíteni.

Megoldás: Ellenőrizze, hogy a VPN-ügyfél hitelesítő adatai (felhasználónév, jelszó, tartománynév) helyesek-e, és a VPN-kiszolgáló tudja-e azokat érvényesíteni.

Ok: Nincs elegendő cím a statikus IP-címkészletben.

Megoldás: Ha a VPN-kiszolgálóhoz statikus IP-címkészlet van konfigurálva, ellenőrizze, hogy elegendő cím van-e a címkészletben. Ha a csatlakozott VPN-ügyfelek a statikus címkészletben található összes címet lefoglalják, a VPN-kiszolgáló nem tud IP-címet lefoglalni, és a rendszer a csatlakozási kísérletet visszautasítja. Szükség esetén módosítsa a statikus IP-címkészletet.

Lásd még: A TCP/IP és a távelérés; Statikus IP-címkészlet létrehozása

Ok: A VPN-ügyfél úgy van beállítva, hogy lekérje saját IPX-csomópontszámát, a VPN-kiszolgáló beállítása viszont nem teszi lehetővé, hogy az IPX-ügyfelek lekérjék saját IPX-csomópontszámukat.

Megoldás: Állítsa be a VPN-kiszolgálót úgy, hogy az IPX-ügyfelek lekérhessék saját IPX-csomópontszámukat.

Lásd még: Az IPX és a távelérés

Ok: A VPN-kiszolgálóhoz olyan IPX-hálózati számok vannak konfigurálva, amelyeket az összetett IPX-hálózat más részén már használ a rendszer.

Megoldás: A VPN-kiszolgálóhoz konfiguráljon olyan IPX-hálózati számokat, amelyek az összetett IPX-hálózatban még nem szerepelnek.

Lásd még: Az IPX és a távelérés

Ok: A VPN-kiszolgáló hitelesítési szolgáltatója nincs megfelelően konfigurálva.

Megoldás: Ellenőrizze a hitelesítési szolgáltató konfigurációját. A VPN-kiszolgálót beállíthatja úgy, hogy az a VPN-ügyfél hitelesítő adatainak hitelesítéséhez a Windows 2000 operációs rendszert vagy a RADIUS hitelesítési protokollt használja.

Lásd még: Hitelesítési és számlázási szolgáltatók; RADIUS-hitelesítés használata

Ok: A VPN-kiszolgáló nem éri el az Active Directory szolgáltatást.

Megoldás: Ha a VPN-kiszolgáló olyan vegyes üzemmódú vagy natív üzemmódú Windows 2000 tartomány tagja, amely Windows 2000 hitelesítésre van konfigurálva, ellenőrizze az alábbiakat:

  • Létezik-e a RAS- és IAS-kiszolgálók biztonsági csoport. Ha a csoport nem létezik, hozza létre, a típusát állítsa Biztonsági típusra, hatókörét pedig Tartományon belüli hatókörre.
  • Rendelkezik-e olvasási jogokkal a RAS- és IAS-kiszolgálók biztonsági csoport a RAS- és IAS-kiszolgálók hozzáférése objektumon.
  • Tagja-e a VPN-kiszolgáló számítógépfiókja a RAS- és IAS-kiszolgálók biztonsági csoportnak. Az aktuális regisztrációt a netsh ras show registeredserver paranccsal jelenítheti meg. Ha a kiszolgálót adott tartományban szeretné regisztrálni, használja a netsh ras add registeredserver parancsot.

    • A VPN-kiszolgáló RAS- és IAS-kiszolgálók biztonsági csoporthoz történő hozzáadásakor (eltávolításakor) a módosítás nem lép azonnal életbe (az Active Directory adatainak gyorsítótárban történő tárolási módja miatt). Ahhoz, hogy a módosítás azonnal életbe lépjen, újra kell indítania a VPN-kiszolgálót.

  • Natív üzemmódú tartomány esetén csatlakozott-e a VPN-kiszolgáló a tartományhoz.

Lásd még: Csoport hozzáadása; A RAS és IAS biztonsági csoport engedélyeinek ellenőrzése; NetShell parancsok táveléréshez

Ok: A Windows NT 4.0 rendszert használó VPN-kiszolgáló nem tudja érvényesíteni a csatlakozási kéréseket.

Megoldás: Ha a VPN-ügyfelek olyan Windows NT 4.0 rendszert futtató VPN-kiszolgálót hívnak be, ami tagja a Windows 2000 vegyes üzemmódú tartománynak, a net localgroup „Hozzáférés korábbi Windows-verziókkal” parancs segítségével ellenőrizze, hogy a Hozzáférés korábbi Windows-verziókkal csoporthoz hozzá van-e adva a Mindenki csoport. Ha nincs, írja be a tartományvezérlő parancssorába a net localgroup „Hozzáférés korábbi Windows-verziókkal” Mindenki/add parancsot, majd indítsa újra a tartományvezérlőt.

Lásd még: Windows NT 4.0 távelérési kiszolgáló Windows 2000 tartományban

Ok: A VPN-kiszolgáló nem tud kommunikálni a beállított RADIUS-kiszolgálóval.

Megoldás: Ha a RADIUS-kiszolgáló csak az internetes összeköttetésen keresztül érhető el, a RADIUS-hitelesítés megvalósítása érdekében a 2138. számú RFC-dokumentum alapján, melynek címe: Remote Authentication Dial-In User Service, RADIUS (Távoli hitelesítési szolgáltatás telefonos felhasználók számára, RADIUS) az internetes összeköttetésen adjon hozzá egy bemeneti és egy kimeneti szűrőt az 1812 UDP-porthoz vagy az 1645 UDP-porthoz (régebbi RADIUS-kiszolgálók számára). A RADIUS-számlázás érdekében az 2139. számú RFC-dokumentum alapján, melynek címe: RADIUS Accounting (RADIUS-számlázás) a szűrőket az 1813 UDP-porthoz vagy az 1646 UDP-porthoz (régebbi RADIUS-kiszolgálók számára) adja hozzá.

Lásd még: Csomagszűrők hozzáadása

Ok: A VPN-kiszolgáló nem érhető el ping paranccsal az Internetről.

Megoldás: Az PPTP és L2TP IPSec-en típusú csomagszűrés, ami a VPN-kiszolgáló internetes összeköttetésén van konfigurálva, kiszűri a ping parancs által használt Internet Control Message protokoll (ICMP) típusú csomagokat. Ahhoz, hogy ping paranccsal el lehessen érni a VPN-kiszolgálót, olyan bemeneti és kimeneti szűrőt kell a kiszolgálóhoz hozzáadni, amelyik átengedi az 1-es IP protokoll forgalmát (ICMP-forgalmat).

Lásd még: Csomagszűrők hozzáadása

A VPN-ügyfelek nem érik el a VPN-kiszolgálón túli erőforrásokat.

Ok: A távelérésű VPN-ügyfelek által használt LAN-protokollok nem engedélyezik a hozzáférést ahhoz a hálózathoz, amelyhez a VPN-kiszolgáló csatlakozik.

Megoldás: Állítsa be a távelérésű VPN-ügyfelek által használt LAN-protokollokat úgy, hogy engedélyezzék a hozzáférést ahhoz a hálózathoz, amelyhez a VPN-kiszolgáló csatlakozik.

Lásd még: A távelérési kiszolgáló tulajdonságainak megtekintése

Ok: A VPN-ügyfelekhez statikus IP-címkészlet van konfigurálva, de nem léteznek az ügyfelekhez visszavezető útvonalak.

Megoldás: Ha a VPN-kiszolgáló úgy van beállítva, hogy statikus IP-címkészletet használjon, ellenőrizze, hogy az intranetes állomások és útválasztók elérik-e azokat az útvonalakat, amelyek a statikus IP-címkészlet által meghatározott címtartományokhoz vezetnek. Ha nem, akkor az intranetes útválasztókhoz hozzá kell adni az egyes tartományok IP-címe és maszkja által meghatározott azon IP-útvonalakat, amelyek tartalmazzák a statikus IP-címkészlet címtartományait. A másik lehetőség, hogy engedélyezni kell a VPN-kiszolgálón lévő útválasztásos infrastruktúra útválasztási protokollját. Ha nincsenek útvonalak a távelérésű VPN-ügyfelek alhálózataihoz, az ügyfelek nem tudják fogadni az intranetes helyekről érkező forgalmat. Hálózathoz vezető útvonalat statikus útválasztási bejegyzések segítségével vagy egy útválasztási protokoll (például az Open Shortest Path First – OSPF vagy a Routing Information protokoll – RIP) segítségével lehet létrehozni.

Ha a VPN-kiszolgáló IP-cím lefoglalásához DHCP protokoll használatára van beállítva , de nincs elérhető DHCP-kiszolgáló, akkor a VPN-kiszolgáló a Privát IP-címek automatikus hozzárendelése (APIPA) szolgáltatás címtartományából foglal le címeket a 169.254.0.1 és 169.254.255.254 közötti tartományban. APIPA-címek lefoglalása a távelérésű ügyfelek számára csak akkor lehetséges, ha a hálózat, amihez a VPN-kiszolgáló csatlakozik, ugyancsak APIPA-címeket használ.

Ha a VPN-kiszolgáló APIPA-címeket használ és van elérhető DHCP-kiszolgáló, ellenőrizze, hogy megfelelő-e a kiválasztott csatoló, ahonnan a DHCP által kiosztott IP-címek beszerezhetők. Alapértelmezés szerint, a VPN-kiszolgáló véletlenszerűen választja ki azt a csatolót, amely segítségével IP-címeket szerez be a DHCP protokollon keresztül. Ha egynél több LAN-csatoló van a kiszolgálón, az Útválasztás és távelérés szolgáltatás olyan LAN-csatolót is választhat, amelyikhez nincs elérhető DHCP-kiszolgáló.

Ha a statikus IP-címkészlet olyan IP-címtartományokból áll, amelyek azon hálózat IP-címtartományának részhalmazai, melyhez a VPN-kiszolgáló csatlakozik, ellenőrizze, hogy a statikus IP-címkészlet IP-címtartományai nincsenek-e már kiosztva más TCP/IP-csomópontokhoz statikus konfiguráció vagy DHCP révén.

Lásd még: A TCP/IP és a távelérés; Statikus IP-címkészlet létrehozása

Ok: A távelérési házirend profilján beállított csomagszűrők megakadályozzák az IP-forgalom áramlását.

Megoldás: Ellenőrizze, hogy nincsenek-e olyan TCP/IP-csomagszűrők beállítva a távelérési házirend profiljának tulajdonságai között a VPN-kiszolgálón (vagy a RADIUS-kiszolgálón, ha Internetes hitelesítési szolgáltatás van használatban), amelyek megakadályozzák a TCP/IP-forgalom küldését vagy fogadását.

A távelérési házirend segítségével olyan bemeneti és kimeneti TCP/IP-csomagszűrőket konfigurálhat, amelyek teljesen megszabják a VPN-kapcsolaton megengedett TCP/IP-forgalom jellemzőit. Ellenőrizze, hogy a profil alapú TCP/IP-csomagszűrők nem akadályozzák-e a szükséges forgalom áramlását.

Lásd még: IP-beállítások konfigurálása


Hibaelhárítás – Két útválasztó közötti virtuális magánhálózatok

A két útválasztó közötti VPN-kapcsolat létrehozása sikertelen.

Ok: Az Útválasztás és távelérés szolgáltatás nincs elindítva a VPN-ügyfélen (hívó útválasztó) és a VPN-kiszolgálón (fogadó útválasztó).

Megoldás: Ellenőrizze az Útválasztás és távelérés szolgáltatás állapotát a VPN-ügyfélen és a VPN-kiszolgálón.

Lásd még: Az Útválasztás és távelérés szolgáltatás figyelése; Az Útválasztás és távelérés szolgáltatás elindítása és leállítása

Ok: A hívó és a fogadó útválasztón nincs engedélyezve a LAN- és a WAN-útválasztás.

Megoldás: Engedélyezze a helyi és távoli (LAN és WAN) útválasztást a hívó és a fogadó útválasztón.

Lásd még: LAN- és WAN-útválasztás engedélyezése

Ok: A PPTP-porton vagy az L2TP-porton nincsenek engedélyezve a bejövő és kimenő igény szerinti útválasztású kapcsolatok.

Megoldás: Engedélyezze a bejövő és kimenő igény szerinti útválasztású kapcsolatokat a PPTP-porton, az L2TP-porton, vagy mindkettőn.

Lásd még: Útválasztás engedélyezése a portokon

Ok: A pillanatnyilag csatlakozott távelérésű ügyfelek vagy igény szerint tárcsázó útválasztók a hívó és a fogadó útválasztó összes PPTP- és L2TP-portját használják.

Megoldás: Az Útválasztás és távelérés ablakban látható konzolfán a Portok elemre kattintva ellenőrizheti, hogy foglalt-e a távelérési kiszolgáló összes PPTP- vagy L2TP-portja. Több egyidejű kapcsolat biztosítása érdekében szükség esetén módosítsa a PPTP- vagy az L2TP-portok számát.

Lásd még: PPTP- vagy L2TP-portok hozzáadása

Ok: A fogadó útválasztó nem támogatja a hívó útválasztó által használt bújtatóprotokollt.

A Windows 2000 igény szerint tárcsázó összeköttetései alapértelmezés szerint az Automatikus kiszolgálótípus-beállítást használják, amely azt jelenti, hogy az összeköttetések először az L2TP IPSec-en alapú VPN-kapcsolatot kísérlik meg létrehozni, és csak utána próbálkoznak a PPTP alapú VPN-kapcsolat létrehozásával. Ha a hívó útválasztók a Point to Point Tunneling protokoll (PPTP) vagy a Layer-2 Tunneling protokoll (L2TP) kiszolgálótípus-beállítást használják, ellenőrizze, hogy fogadó útválasztó támogatja-e a kijelölt bújtatóprotokollt.

Az a számítógép, amelyen a Windows 2000 Server rendszer és az Útválasztás és távelérés szolgáltatás fut, alapértelmezés szerint olyan igény szerint tárcsázó útválasztó, amely képes alkalmazni a PPTP és az L2TP protokollt, valamint öt L2TP- és öt PPTP-porttal rendelkezik. Ha csak PPTP protokollt használó útválasztót szeretne létrehozni, állítsa az L2TP-portok számát 0 értékre. Ha csak L2TP protokollt használó útválasztót szeretne létrehozni, állítsa az PPTP-portok számát 0 értékre.

Megoldás: Ellenőrizze, hogy megfelelő számú PPTP-port és L2TP-port van-e beállítva a hívó és a fogadó útválasztón.

Lásd még: PPTP- vagy L2TP-portok hozzáadása

Ok: A hívó útválasztó és a fogadó útválasztó a távelérés házirendjével összhangban nem úgy van beállítva, hogy legalább egy közös hitelesítési módszert használjon.

Megoldás: Állítsa be a hívó útválasztót és a fogadó útválasztót a távelérés házirendjével összhangban úgy, hogy legalább egy közös hitelesítési módszert használjanak.

Lásd még: Hitelesítési beállítások

Ok: A hívó útválasztó és a fogadó útválasztó a távelérés házirendjével összhangban nem úgy van beállítva, hogy legalább egy közös titkosítási metódust használjon.

Megoldás: Állítsa be a hívó útválasztót és a fogadó útválasztót a távelérés házirendjével összhangban úgy, hogy legalább egy közös titkosítási metódust használjanak.

Lásd még: Titkosítás konfigurálása

Ok: A VPN-kapcsolathoz a felhasználói fiók és a távelérési házirendek behívási tulajdonságainál nem lettek beállítva a szükséges engedélyek.

Megoldás: Ellenőrizze, hogy a VPN-kapcsolathoz a felhasználói fiók és a távelérési házirendek betárcsázási tulajdonságainál be vannak-e állítva a szükséges engedélyek.

A kapcsolat létrehozása érdekében a kapcsolatfelvételi kísérletet az alábbi beállításokkal kell végrehajtani:

  • Legalább egy távelérési házirend összes feltételének egyeznie kell.
  • Távelérési engedéllyel kell rendelkeznie a felhasználói fiókban a Hozzáférés engedélyezése beállítás megadásával, vagy meg kell adni az Elérés vezérlése a RAS-házirend alapján beállítást a felhasználói fiókban, és a távelérés megfelelő házirendjében a Kapjon távelérési engedélyt beállításnak kell szerepelnie.
  • A profil összes beállításának egyeznie kell.
  • A felhasználói fiók összes betárcsázási tulajdonságának egyeznie kell.

Lásd még: Bevezetés a távelérés házirendjének használatába; Csatlakozási kísérlet elfogadása

Ok: A távelérés házirendjének profilbeállításai ütköznek a fogadó útválasztó tulajdonságaival.

A távelérés házirendjének profilbeállításai és a fogadó útválasztó tulajdonságai is tartalmaznak beállításokat az alábbiakkal kapcsolatban:

  • Multilink
  • Sávszélesség-kijelölő protokoll
  • Hitelesítési protokollok

Ha a fogadó útválasztó beállításai ütköznek a távelérés megfelelő házirendjének profilbeállításaival, a csatlakozási kísérletet a rendszer nem fogadja el. Ha például a távelérés megfelelő házirendjének profilbeállítása azt határozza meg, hogy a rendszernek az EAP-TLS hitelesítési protokollt kell használnia, viszont az EAP nincs engedélyezve a fogadó útválasztón, a rendszer a csatlakozási kísérletet nem fogadja el.

Megoldás: Ellenőrizze, hogy a távelérési házirend profilbeállításai nem ütköznek-e a távelérésű útválasztó tulajdonságaival.

Lásd még: Hitelesítési protokollok engedélyezése; Hitelesítési beállítások

Ok: A hívó útválasztó hitelesítő adatai (felhasználónév, jelszó, tartománynév) hibásak, ezért a fogadó útválasztó ezeket nem tudja érvényesíteni.

Megoldás: Ellenőrizze, hogy a hívó útválasztó hitelesítő adatai (felhasználónév, jelszó, tartománynév) helyesek-e, és a fogadó útválasztó tudja-e ezeket érvényesíteni.

Ok: Nincs elegendő cím a statikus IP-címkészletben.

Megoldás: Ha a fogadó útválasztón statikus IP-címkészlet van beállítva, ellenőrizze, hogy elegendő cím van-e a címkészletben. Ha a csatlakozott távelérésű ügyfelek vagy az igény szerint tárcsázó útválasztók a statikus címkészletben található összes címet lefoglalták, a fogadó útválasztó nem tud IP-címet lefoglalni, és a rendszer a csatlakozási kísérletet visszautasítja. Szükség esetén módosítsa a statikus IP-címkészletet.

Lásd még: A TCP/IP és a távelérés; Statikus IP-címkészlet létrehozása

Ok: A fogadó útválasztón olyan IPX-hálózati számok vannak beállítva, amelyeket az IPX alapú összetett hálózat más részén már használ a rendszer.

Megoldás: A fogadó útválasztón állítson be olyan IPX-hálózati számokat, amelyek az IPX alapú összetett hálózatban még nem szerepelnek.

Lásd még: Az IPX és a távelérés

Ok: A fogadó útválasztó hitelesítési szolgáltatója nincs megfelelően konfigurálva.

Megoldás: Ellenőrizze a hitelesítési szolgáltató beállításait. Beállíthatja, hogy a fogadó útválasztó a VPN-ügyfél hitelesítő adatainak hitelesítéséhez a Windows 2000 rendszert vagy a RADIUS-t használja.

Lásd még: Hitelesítési és számlázási szolgáltatók; RADIUS-hitelesítés használata

Ok: A fogadó útválasztó nem tudja elérni az Active Directory-t.

Megoldás: Ha a fogadó útválasztó olyan kiszolgáló, amely vegyes módú vagy natív módú Windows 2000 tartomány tagja, és a tartomány Windows 2000 rendszerben történő hitelesítéshez van konfigurálva, ellenőrizze az alábbiakat:

  • Létezik-e a RAS- és IAS-kiszolgálók nevű biztonsági csoport. Ha a csoport nem létezik, hozza létre, Biztonsági csoporttípust és Tartományon belüli hatókört beállítva hozzá.
  • Van-e olvasási joga a RAS és IAS kiszolgálók biztonsági csoportnak a RAS- és IAS-kiszolgálók hozzáférése objektumhoz.
  • Tagja-e a fogadó útválasztó számítógép számítógépfiókja a RAS- és IAS-kiszolgálók biztonsági csoportnak. Az aktuális regisztrációt a netsh ras show registeredserver paranccsal tekintheti meg. Ha a kiszolgálót egy adott tartományban szeretné regisztrálni, használja a netsh ras add registeredserver parancsot.

    • Ha a fogadó útválasztó számítógépet hozzáadja a RAS- és IAS-kiszolgálók biztonsági csoporthoz (vagy eltávolítja onnan), a módosítás nem lép életbe azonnal (az Active Directory adatainak a gyorsítótárban történő tárolási módja miatt). Annak érdekében, hogy a módosítás azonnal életbe lépjen, újra kell indítania a fogadó útválasztó számítógépet.

  • Natív módú tartomány esetén csatlakozott-e a fogadó útválasztó a tartományhoz.

Lásd még: Csoport hozzáadása; A RAS és IAS biztonsági csoport engedélyeinek ellenőrzése; NetShell parancsok táveléréshez

Ok: Az olyan fogadó útválasztó, amelyen Windows NT 4.0 rendszer és az Útválasztás és távelérés szolgáltatás (RRAS) fut, nem tudja érvényesíteni a csatlakozási kéréseket.

Megoldás: Ha a hívó útválasztók olyan fogadó útválasztókat hívnak, amelyeken Windows NT 4.0 rendszer és az Útválasztás és távelérés szolgáltatás fut, és tagjai a Windows 2000 vegyes módú tartománynak, ellenőrizze a net localgroup „Hozzáférés korábbi Windows-verziókkal” parancs segítségével, hogy a Hozzáférés korábbi Windows-verziókkal csoporthoz hozzá van-e adva a Mindenki csoport. Ha nincs, írja be a tartományvezérlő számítógépen a parancssorba: net localgroup „Hozzáférés korábbi Windows-verziókkal” everyone /add, majd indítsa újra a tartományvezérlő számítógépet.

Lásd még: Windows NT 4.0 távelérési kiszolgáló egy Windows 2000 tartományban

Ok: A fogadó útválasztó nem tud kommunikálni a megadott RADIUS-kiszolgálóval.

Megoldás: Ha a RADIUS-kiszolgáló csak az internetes összeköttetésen keresztül érhető el, adjon hozzá az internetes összeköttetéshez be- és kimeneti szűrőt az 1812-es UDP-porton (lásd: RFC 2138, „Remote Authentication Dial-In User Service (RADIUS)” – Távoli hitelesítési szolgáltatás telefonos felhasználók részére) vagy az 1645-ös UDP-porton (régebbi RADIUS-kiszolgáló esetén) a RADIUS-hitelesítés számára, illetve az 1813-as UDP-porton (lásd: RFC 2139, „RADIUS Accounting” – RADIUS számlázás) vagy az 1646-os UDP-porton (régebbi RADIUS-kiszolgáló esetén) a RADIUS-számlázás számára.

Lásd még: Csomagszűrők hozzáadása

Ok: Az Interneten keresztül nem érhető el a ping paranccsal a fogadó útválasztó.

Megoldás: Mivel a PPTP és az L2TP IPSec-en csomagszűrés a fogadó útválasztó internetes összeköttetésén van beállítva, a ping parancs által használt Internet Control Message protokoll (ICMP) csomagok kiszűrődnek. Ha szeretné engedélyezni a ping parancs használatát, akkor hozzon létre olyan be- és kimeneti szűrőt, amely engedélyezi az 1. IP protokollon alapuló forgalmat (az ICMP-forgalmat).

Lásd még: Csomagszűrők hozzáadása

Az adatok küldése és fogadása sikertelen.

Ok: A csatlakoztatott protokollhoz nincs hozzáadva a megfelelő igény szerint tárcsázó összeköttetés.

Megoldás: Adja hozzá a csatlakoztatott protokollhoz a megfelelő igény szerint tárcsázó összeköttetést.

Lásd még: Útválasztó összeköttetés hozzáadása

Ok: A két útválasztó közötti VPN-kapcsolat valamelyik végén nincs olyan útvonal, amely támogatja a kétirányú forgalmat.

Megoldás: A távelérésű VPN-kapcsolattal ellentétben a két útválasztó közötti VPN-kapcsolat nem hoz automatikusan létre alapértelmezett útvonalat. A két útválasztó közötti VPN-kapcsolat mindkét végén létre kell hoznia útvonalakat, hogy a forgalom a két útválasztó közötti VPN-kapcsolat másik felébe is eljuthasson.

Az útválasztási táblához kézzel, illetve az útválasztási protokollok segítségével is hozzáadhat statikus útvonalakat. Állandó VPN-kapcsolat esetén engedélyezheti az OSPF-protokollt vagy a RIP protokollt a VPN-kapcsolaton. Az igény szerinti VPN-kapcsolatoknál automatikusan frissítheti az útvonalakat az autostatikus RIP-frissítéssel.

Lásd még: IP-útválasztási protokoll hozzáadása; Statikus útvonal hozzáadása; Autostatikus frissítések végrehajtása

Ok: A fogadó útválasztó a kétirányúan kezdeményezett, két útválasztó közötti VPN-kapcsolatot távelérésű kapcsolatként értelmezi.

Megoldás: Ha a hívó útválasztó hitelesítési adatai közt a felhasználónév megjelenik az Útválasztás és távelérés ablakban a Betárcsázó ügyfelek csoportban, akkor a fogadó útválasztó a hívó útválasztót távelérésű ügyfélként értelmezte. Ellenőrizze, hogy a hívó útválasztó hitelesítési adatai között szereplő felhasználónév egyezik-e a fogadó útválasztón található igény szerint tárcsázó összeköttetések valamelyikének nevével.

Ha útválasztó a hívó fél, akkor a hívást fogadó port Aktív állapotba, a megfelelő igény szerint tárcsázó összeköttetés pedig Csatlakoztatva állapotba kerül.

Lásd még: A fogadó útválasztóhoz tartozó port állapotának ellenőrzése; Igény szerint tárcsázó összeköttetés állapotának ellenőrzése

Ok: A hívó és a fogadó útválasztó igény szerint tárcsázó összeköttetésén található csomagszűrők gátolják az átviteli forgalmat.

Megoldás: Ellenőrizze, hogy vannak-e a hívó és a fogadó útválasztó igény szerint tárcsázó összeköttetésén olyan csomagszűrők, amelyek gátolják a forgalom fogadását és küldését.

Minden egyes igény szerint tárcsázó összeköttetéshez beállíthat olyan IP és IPX kimeneti és bemeneti szűrőket, amelyek segítségével pontosan nyomon követheti az igény szerint tárcsázó összeköttetésen áthaladó kimenő és bejövő TCP/IP- és IPX-forgalmat.

Lásd még: Csomagszűrők kezelése

Ok: A távelérési házirend profiljához tartozó csomagszűrők megakadályozzák az IP-forgalmat.

Megoldás: Ellenőrizze, hogy a VPN-kiszolgáló (vagy Internetes hitelesítési szolgáltatás használata esetén a RADIUS-kiszolgáló) által használt távelérési házirendek profiltulajdonságai között vannak-e megadva olyan TCP/IP-csomagszűrők, amelyek megakadályozhatják a TCP/IP-forgalom küldését és fogadását.

A távelérési házirend használatával olyan TCP/IP kimeneti és bemeneti csomagszűrőket adhat meg, amelyek segítségével ellenőrizheti a VPN-kapcsolaton engedélyezett TCP/IP-forgalom pontos jellemzőit. Ellenőrizze, hogy a TCP/IP-csomagszűrők nem akadályozzák-e a szükséges forgalmat.

Lásd még: IP-beállítások konfigurálása

További tudnivalók a Hibaelhárítás – igény szerint tárcsázó útválasztás című témakörben olvashatók.