Windows Server網(wǎng)絡(luò)管理項(xiàng)目教程（Windows Server 2022）（微課版）課件 易月娥 項(xiàng)目9、10 VPN服務(wù)器的配置與管理、NAT服務(wù)器的配置與管理

Windows網(wǎng)絡(luò)管理主講人：易月娥知識(shí)引入-VPN案例場景ABC公司經(jīng)常要派員工到外地出差，為了公司業(yè)務(wù)需求，出差在外的員工經(jīng)常要訪問公司內(nèi)部服務(wù)器的數(shù)據(jù)，為了保證員工出差期間能夠和公司內(nèi)部網(wǎng)絡(luò)實(shí)現(xiàn)安全的數(shù)據(jù)傳輸。請(qǐng)你給出一個(gè)合適的解決方案。遠(yuǎn)程訪問的基礎(chǔ)結(jié)構(gòu)遠(yuǎn)程訪問服務(wù)器遠(yuǎn)程訪問客戶端驗(yàn)證服務(wù)器活動(dòng)目錄（不是必須的）遠(yuǎn)程訪問服務(wù)器DHCP服務(wù)器

域控制器

撥號(hào)用戶無線接入點(diǎn)無線客戶端VPN客戶端VPN連接域控制器rVPN客戶端VPN服務(wù)器3VPN服務(wù)器完成客戶端身份驗(yàn)證2VPN服務(wù)器響應(yīng)客戶端的連接4VPN服務(wù)器傳輸數(shù)據(jù)VPN客戶端向

VPN服務(wù)器發(fā)起連接1VPN連接的組件VPN隧道隧道協(xié)議隧道中的數(shù)據(jù)VPN客戶端VPN服務(wù)器DNS服務(wù)器DHCP服務(wù)器域控制器

身份驗(yàn)證服務(wù)公共網(wǎng)絡(luò)VPN的優(yōu)點(diǎn)成本優(yōu)勢VPN不使用電話線路，需要硬件較少。增強(qiáng)的安全性敏感的數(shù)據(jù)相對(duì)于未授權(quán)的用戶隱藏起來，但是可以被授權(quán)的用戶正常訪問。VPN的優(yōu)點(diǎn)網(wǎng)絡(luò)協(xié)議支持可以遠(yuǎn)程運(yùn)行任何基于最常用網(wǎng)絡(luò)協(xié)議（如TCP/IP）的應(yīng)用程序。IP地址安全由于通過VPN傳輸?shù)臄?shù)據(jù)被加密，用戶的地址信息也被保護(hù)起來，因此通過Internet傳輸?shù)臄?shù)據(jù)中只有外部的IP地址才是可見的。什么是網(wǎng)絡(luò)訪問驗(yàn)證和授權(quán)VPN服務(wù)器VPN客戶端Radius服務(wù)器

驗(yàn)證用來驗(yàn)證某個(gè)用戶是否具有訪問系統(tǒng)的權(quán)限121授權(quán)通過驗(yàn)證之后的用戶享有的訪問權(quán)限2遠(yuǎn)程訪問VPN主講人：易月娥THANKSWindows網(wǎng)絡(luò)管理主講人：易月娥安裝VPN服務(wù)器任務(wù)說明管理員需要在總部內(nèi)網(wǎng)的某臺(tái)WindowsServer2022服務(wù)器上安裝雙網(wǎng)卡，并部署VPN服務(wù)，以滿足員工在出差期間與總公司之間安全的數(shù)據(jù)傳輸。任務(wù)說明下面我們將選擇一臺(tái)空閑的WindowsServer2022服務(wù)器來進(jìn)行VPN安裝部署的實(shí)施過程。主講人：易月娥THANKSWindows網(wǎng)絡(luò)管理主講人：易月娥創(chuàng)建具有遠(yuǎn)程訪問權(quán)限的用戶身份驗(yàn)證機(jī)制CHAPPAPSPAPMS-CHAPMS-CHAPv2EAP-TLSPEAPMD-5Challenge遠(yuǎn)程訪問身份驗(yàn)證協(xié)議包括我們使用路由和遠(yuǎn)程訪問來對(duì)連接請(qǐng)求進(jìn)行身份驗(yàn)證，默認(rèn)情況下，VPN客戶端到VPN服務(wù)器的連接使用的是“需要有安全措施的密碼”，所以我們要在VPN服務(wù)器上創(chuàng)建一個(gè)用戶，為此用戶設(shè)置一個(gè)安全的密碼，并賦予此用戶遠(yuǎn)程訪問的權(quán)限。使用上述安全協(xié)議來完成VPN客戶端和VPN服務(wù)器之間的通信。用戶帳號(hào)的撥入權(quán)限主講人：易月娥THANKSWindows網(wǎng)絡(luò)管理主講人：易月娥創(chuàng)建VPN客戶端連接在VPN客戶端（假設(shè)操作系統(tǒng)是Windows10）打開“網(wǎng)絡(luò)和共享中心”，如圖所示，單擊“設(shè)置新的連接或網(wǎng)絡(luò)”。主講人：易月娥THANKSWindows網(wǎng)絡(luò)管理主講人：易月娥站點(diǎn)間VPN連接《中華人民共和國網(wǎng)絡(luò)安全法》于2017年6月1日起施行第四十二條規(guī)定：網(wǎng)絡(luò)運(yùn)營者不得泄露、篡改、毀損其收集的個(gè)人信息；未經(jīng)被收集者同意，不得向他人提供個(gè)人信息。第四十四條規(guī)定：任何個(gè)人和組織不得竊取或者以其他非法方式獲取個(gè)人信息，不得非法出售或者非法向他人提供個(gè)人信息。《中華人民共和國網(wǎng)絡(luò)安全法》于2017年6月1日起施行第四十五條規(guī)定：依法負(fù)有網(wǎng)絡(luò)安全監(jiān)督管理職責(zé)的部門及其工作人員，必須對(duì)在履行職責(zé)中知悉的個(gè)人信息、隱私和商業(yè)秘密嚴(yán)格保密，不得泄露、出售或者非法向他人提供。站點(diǎn)間VPN連接用于連接專用網(wǎng)絡(luò)的兩個(gè)部分VPN服務(wù)提供與VPN服務(wù)器連接到網(wǎng)絡(luò)的路由連接。呼叫路由器（VPN客戶端）向應(yīng)答路由器（VPN服務(wù)器）進(jìn)行自我身份驗(yàn)證。案例場景ABC公司位于兩個(gè)城市，公司總部位于長沙，分公司位于武漢?？偣竞头止緝蓚€(gè)網(wǎng)絡(luò)都能訪問Internet。現(xiàn)在要求通過Internet將長沙總部和武漢分公司網(wǎng)絡(luò)連接起來，請(qǐng)你給出一個(gè)合適的解決方案。主講人：易月娥THANKSWindows網(wǎng)絡(luò)管理主講人：易月娥PPTPVPN協(xié)議PPTP是一種點(diǎn)到點(diǎn)隧道協(xié)議，它使用的加密算法主要有PAP、CHAP、MPPE等。L2TP/IPSecL2TP是第二層隧道協(xié)議，它可以針對(duì)不同的服務(wù)質(zhì)量創(chuàng)建不同的隧道。L2TP可以提供隧道驗(yàn)證。L2TPVPN需要證書服務(wù)器的支持。SSTP（SSL）案例場景CA服務(wù)器位于公司內(nèi)網(wǎng)，VPN客戶端需要使用L2TP/IPSec連接到VPN服務(wù)器，網(wǎng)絡(luò)拓?fù)淙鐖D所所示，請(qǐng)給出實(shí)現(xiàn)方案。主講人：易月娥THANKSWindows網(wǎng)絡(luò)管理主講人：易月娥NAT網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)案例場景ABC公司內(nèi)部網(wǎng)絡(luò)有多臺(tái)計(jì)算機(jī)，該公司只向當(dāng)?shù)豂SP申請(qǐng)了一個(gè)publicIP地址，現(xiàn)公司希望通過一個(gè)publicIP地址使公司內(nèi)部網(wǎng)絡(luò)的計(jì)算機(jī)可以同時(shí)連接Internet、瀏覽網(wǎng)頁與收發(fā)電子郵件，請(qǐng)你給出一個(gè)合適的解決方案。網(wǎng)絡(luò)拓?fù)鋱DNAT的概念WindowsServer2022操作系統(tǒng)的NAT可以使位于內(nèi)部網(wǎng)絡(luò)的所有計(jì)算機(jī)都共享一個(gè)公網(wǎng)IP地址，就可以同時(shí)連接Internet、瀏覽網(wǎng)頁與收發(fā)電子郵件。NAT屬接入WAN技術(shù)，是一種將私有地址轉(zhuǎn)化為公網(wǎng)IP地址的轉(zhuǎn)化技術(shù)，它被廣泛應(yīng)用于各種類型Internet接入方式和各種類型的網(wǎng)絡(luò)中。

NAT的工作過程Web服務(wù)器

客戶端NAT服務(wù)器IP:IP:IP:IP:54IP:IP:8

NAT的工作過程Web服務(wù)器

客戶端NAT服務(wù)器IP:IP:IP:IP:54IP:IP:8（1）（2）（3）（4）NAT的三種實(shí)現(xiàn)方式靜態(tài)轉(zhuǎn)換動(dòng)態(tài)轉(zhuǎn)換端口轉(zhuǎn)換主講人：易月娥THANKSWindows網(wǎng)絡(luò)管理主講人：易月娥安裝NAT服務(wù)器安裝RDS準(zhǔn)備工作在服務(wù)器版操作系統(tǒng)上安裝準(zhǔn)備雙網(wǎng)卡

服務(wù)器設(shè)置靜態(tài)IP地址安裝“遠(yuǎn)程訪問”服務(wù)器角色演示安裝NAT服務(wù)主講人：易月娥THANKSWindows網(wǎng)絡(luò)管理主講人：易月娥安裝NAT服務(wù)器DNS中繼代理

一臺(tái)運(yùn)行NAT功能的服務(wù)器，配置DNS中繼代理的功能，能夠?yàn)榭蛻魴C(jī)進(jìn)行域名解析；

DNS流量使用的端口號(hào)為UDP的53；主講人：易月娥THANKSWindows網(wǎng)絡(luò)管理主講人：易月娥拓展案例1如果想要外網(wǎng)用戶可以連接公司內(nèi)部的網(wǎng)絡(luò)服務(wù)器，如Web或FTP服務(wù)器。NAT服務(wù)進(jìn)行轉(zhuǎn)發(fā)通過TCP/UDP端口對(duì)應(yīng)功能，可以讓Internet用戶連接使用私有IP地址的內(nèi)部服務(wù)器。

NAT的工作過程終端用戶NAT服務(wù)器IP:IP:IP:54IP:（1）（2）（3）（4）Web服務(wù)器FTP服務(wù)器案例場景ABC公司通過NAT將LAN接入Internet，公司內(nèi)部有1臺(tái)Web服務(wù)器和1臺(tái)FTP服務(wù)器，Web服務(wù)器IP地址為，F(xiàn)TP服務(wù)器IP地址為，公司希望Internet用戶能夠連接訪問公司內(nèi)部的Web