Win2008:远程访问SSL-VPN服务器攻略

一、新的协议SSTP的支持及介绍
! N8 T$ @& |3 ]. H. ~; \ 随着windows server 2008的发布，相信新的功能和特性让IT PRO们兴奋不已，在新的功能中，SSTP协议支持让通过WINDOWS 2008进行SSL-VPN访问成为了可能。
SSTP是微软提供的新一代的虚拟专用网（VPN）技术，它的全称是安全套接层隧道协议（Secure Socket Tunneling Protocol;sstp），和PPTP L2TP OVER IPsec一样，也是微软所提供的VPN技术。在拥有最大弹性发挥的同时，又确保信息安全达到了一定程度。
目前，支持SSTP技术的仅限于如下OS：Windows XP Sp3、Windows Vista Sp1以及Windows 2008。通使用此项新技术，可以使防火墙管理员能更容易的配置策略使SSTP流量通过其防火墙。它提供了一种机制，将PPP数据包封装在HTTPS的SSL通讯中，从而使PPP支持更加安全身份验方法，如EAP-TLS等。
二、PPTP及L2TP OVER IPSEC在使用过程中的不足
- W' b5 D& C$ z3 B. s0 ~0 ?4 N2 R 新的SSTP协议的支持，并没有完全否决PPTP及L2TP OVER IPSEC在微软产品所组成的解决方案中的作用，当企业使用基于WINDOWS 平台的VPN解决方案时，这种协议仍是被常用来解决或是提升企业网络安全性。但两者的数据包通过防火墙、NAT、WEB PROXY时却都有可能发生一些连线方面的问题。
PPTP数据包通过防火墙时，防火墙需被设定成同时充许TCP连接以及GRE封装的数据通过，但大部分ISP都会阻止这种封包，从而造成连线的问题；而当你的机器位于NAT之后，NAT亦必需被设定成能转发GRE协议封装的数据包。否则就会造成只能建立PPTP的TCP连接，而无法接收GRE协议封装的数据包；WEB PROXY是不支持PPTP 协议的。
! d/ W: i( L. z7 L5 Y- T# } L2TP OVER IPSEC的情况和此类似，需要在防火墙上充许IKE 数据和ESP封装的数据同时通过，否则也会出现连接问题。且WEB PROXY也是不支持L2TP OVER IPSEC协议的。
三、SSTP的执行过程
5 d& t. N% R) U 上面简要介绍了SSTP协议的优势以及PPTP等之前两种协议的不足，下面就来说下XP WITH SP3 或是VISTA WITH SP1等客户端是如何连接到WINDOWS 2008 SSL（SSTP）VPN服务器的：
1、SSTP VPN客户端以随机的TCP端口建立TCP连接至SSTP VPN服务器（常常是SSTP VPN 网关服务器）上的TCP 443端口。
2、SSTP VPN客户端发送一个SSL “Client-Hello”消息给SSTP VPN服务器，表明想与此建立一个SSL会话。
  J2 f, W0 [1 [8 z. e( H5 R 3、SSTP VPN服务器发送“其机器证书”至SSTP VPN客户端。
4、SSTP VPN客户端验证机器证书，决定SSL会话的加密方法，并产生一个以SSTP VPN服务器公钥加密的SSL会话密钥，然后发送给SSTP VPN服务器。
5、SSTP VPN服务器使用此机器证书私钥来解密收到的加密的SSL会话，之后两者之间所有的通讯都以协商的加密方法和SSL 会话密钥进行加密。
0 `. A$ {' A! T- S 6、SSTP VPN客户端发送一个基于SSL的HTTP（HTTPS）请求至SSTP VPN服务器。
7、SSTP VPN客户端与SSTP VPN服务器协商SSTP隧道。
8、SSTP VPN客户端与SSTP VPN服务器协商包含“使用PPP验证方法验（或EAP验证方法）证使用者证书以及进行IPV4或IPV6通讯”的PPP连接。
9、SSTP VPN客户端开始发送基于PPP连接的IPV4或IPV6通讯流量（数据）。
- ~( w# @8 Q2 p) ~ 四、SSTP VPN服务器环境搭建及说明
测试环境较为简单，三台机器完成全部操作，其中两台是WINDOWS SERVER 2008企业版，一台是带有SP1的VISTA。注意，这其中会涉及到公有DNS解析问题，在本试验中，以HOSTS文件中写入相关信息代替.

来关注一下了。。

我是个凑数的。。。

看帖回帖是美德！:lol

我是个凑数的。。。

不知该说些什么。。。。。。就是谢谢

学习了，不错，讲的太有道理了

谢谢楼主，共同发展

学习了，谢谢分享、、、