在ISA Server配置VPN服务器和用户管理设置

在ISA Server配置VPN服务器和用户管理设置如果将ISA Server配置成VPN服务器，可以将分步在多个地方的分公司或办事处通过VPN服务器“组”成虚拟局域网。在通常情况下VPN服务器与其他服务不能“共存”于同一台服务器上，因为在启用VPN服务之后，系统默认的路由表发生了改变，不能使用其他的网络通讯。而有了ISA Server 2006，这一切就变的非常简单了。

11.7.1 在ISA Server中启用VPN服务器

要在ISA Server服务器上“启用”VPN服务器，主要步骤如下：

第1步，在“路由和远程访问”中，停止服务。

第2步，在ISA Server中“启用”VPN并进行配置。

第3步，重新启动计算机。

第4步，检查“路由和远程访问”是否已经自动配置，如果没有配置，请手动配置。

第5步，在ISA Server中创建访问规则。

第6步，配置用户。

1 检查“路由和远程访问”服务未被启用

在安装了ISA Server 2006的计算机上配置VPN服务器之前，需要运行“管理工具→路由和远程访问服务”，打开“路由和远程访问”管理控制台，确认路由和远程访问服务未被配置，如图11-114所示。

图11-114 未配置路由和远程访问服务

如果已经启用了“路由和远程访问服务”，则需要“禁用”这项服务。

2 在ISA Server 2006中启用VPN服务

在ISA Server 2006中启用VPN服务的步骤如下：

第1步，进入ISA Server 2006管理器，进入“虚拟专用网络”，从“查看”菜单中复选“任务窗格”，然后从“任务”选项卡下面单击“配置VPN客户端访问”，如图11-115所示。

第2步，在“VPN客户端属性”页中，在“常规”选项卡，先不要选择“启用VPN客户端访问”，如图11-116所示。

图11-115 启用VPN客户端访问 图11-116 设置并发连接数目

第3步，在“协议”选项卡中，设置远程连接要使用的隧道协议，默认为“PPTP”，如果使用L2TP时，还需要在客户端和服务器配置证书，通常选择“PPTP”，如图11-117所示。设置之后单击“确定”按钮。

第4步，在图11-115中单击“选择访问网络”，在“访问网络”选项卡中，选择客户端初始化时连接到的VPN服务器的网络，对于“VPN客户端连接(即只作为VPN服务器对外提供VPN接入服务)”来说，默认为“外部”；对于站点到站点的连接，请选择“内部”，如图11-118所示。

图11-117 选择协议 图11-118 访问网络

第5步，在“地址分配”选项卡中，定义给VPN客户端分配IP地址的方式。如果网络中存在DHCP服务器(此DHCP服务器与VPN服务器不能在同一主机)，可以使用DHCP服务器分配。在本示例中，只有一台服务器的情况下，是不能使用DHCP服务器为VPN客户端分配IP地址的。管理员需要给VPN客户端指定IP地址。选择“静态地址池”，然后单击“添加”按钮添加VPN客户端可用地址范围，注意，此地址范围要不要与本地主机、外网的子网重复，也不能与路由表中已有的地址冲突，换句话说，就是在此定义一个与本地主机内部网卡不相关联的地址段，如图11-119所示。

图11-119 为VPN客户端定义可用的地址范围

第6步，在图11-115中，单击“启用VPN客户端访问”。

第7步，在“防火墙策略”中新建访问规则，规则名称为“允许VPN客户端访问内网和外网”，规则操作为“允许”，协议为“所有出站协议”，访问规则源为“VPN客户端”，如图11-120所示，访问规则目标为“内部(或本地主机、外网、任何地点，这可以根据需要进行设置)”，如图11-121所示。

图11-120 从访问规则源添加“VPN客户端” 图11-121 在访问规则目标中添加“外部”

第8步，单击“应用”按钮，保存ISA Server 2006设置。

第9步，然后关闭ISA Server 2006，重新启动计算机。

11.7.2 检查与配置VPN服务器

从“管理工具”中运行“路由和远程访问”，如果“路由和远程访问”已经启动，则表示这台ISA Server 2006上的VPN服务器配置完成，关闭“路由和远程访问”，请跳过本节下面的内容。

如果“路由和远程访问”未启动，则需要按照如下的步骤进行配置：

第1步，运行“路由和远程访问”，用鼠标右键单击服务器的计算机名，从弹出的菜单中选择“配置并启用路由和远程访问”，如图11-122所示，在弹出的“欢迎使用路由和远程访问服务器安装向导”页中单击“下一步”按钮继续，如图11-123所示。

图11-122 启用路由和远程访问 图11-123 路由和远程访问服务向导

第2步，在“配置”页中，选择“自定义配置”(一定要选择这一项)，如图11-124所示，在下一页选择“VPN访问”，如图11-125所示。

图11-124 选择“自定义配置” 图11-125 启用VPN访问

第3步，在“正在完成路由和远程访问服务器安装向导”页中，单击“完成”按钮，在弹出的“路由和远程访问”页中单击“是”按钮。

第4步，“路由和远程访问服务器”启动后，用鼠标右键单击“服务器计算机名”，从弹出的菜单中选择“属性”，如图11-126所示。

图11-126 修改“路由和远程访问服务”的属性 图11-127 远程访问服务器

第5步，然后单击“IP”选项卡，在“IP地址指派”字段下面选中“静态地址池”，然后单击“添加”按钮，在弹出的“新建地址范围”页中，添加IP地址范围，设置完成后，单击“确定”按钮之后返回，如图11-128所示。

图11-128 设置VPN客户端地址

第6步，在弹出的“您己改变路由器配置，需要重新启动路由器。要继续吗？”页中，单击“是”按钮，路由和远程访问服务将会重新启动。

11.7.3 用户管理与设置

当“路由和远程访问服务器”重新启动完成后，关闭“路由和远程访问服务”窗口，VPN服务器配置完成。接下来的任务是创建用户并为用户启动远程访问功能。接下来的操作步骤是：

第1步，用鼠标右键单击“我的电脑”，在弹出的菜单中选择“管理”，依次单击“计算机管理→系统工具→本地用户和组→用户”，在右侧空白窗格中用鼠标右键单击，从弹出的菜单中选择“新用户”，如图11-129所示，在弹出的“新用户”页中键入“用户名”、“密码”，并取消“用户下次登录时须更改密码”项，然后单击“创建”按钮。创建用户完成后，可以继续创建用户，也可以单击“关闭”按钮，退出用户创建，如图11-130所示。

图11-129 新建一个用户 图11-130 创建用户

第2步，然后，双击新创建的用户，在“拨入”选项卡中，选择“允许访问”，如图11-131所示，然后单击“确定”按钮即可。此时，所有的远程VPN客户机可以使用此用户名拨入并可自动获取地址，获取的地址为图11-128中设置的地址范围。如果想给每一个VPN接入用户创建一个用户名，并且想给接入的VPN用户分配固定的IP地址，则可以在“拨入”选项中选中“分配静态IP地址”，并为用户指定固定的IP地址，如图11-132所示。

图11-131 允许远程访问权限 图11-132 为VPN用户指定固定地址

第3步，为VPN用户分配了固定IP地址后，当此用户拨入，系统会为该用户分配图11-132中“分配静态地址”后指定的地址，如果该地址已经被使用，则系统会为用户分配一个可用的地址。

第4步，设置之后，单击“确定”按钮返回。