2023年12月2日发(作者：)

Windows XP下实现高效安全的VPN连接

现在，一般有一定规模的企业，基本都在其他地区有一些分公司、分厂或者办事处等机构，如何高效、安全、低投入地将这些分支机构的网络与总部的网络相互连接，成为企业信息化的一个障碍……

现在，一般有一定规模的企业，基本都在其他地区有一些分公司、分厂或者办事处等机构，如何高效、安全、低投入地将这些分支机构的网络与总部的网络相互连接，成为企业信息化的一个障碍。本文介绍了一种操作简单，实现容易的VPN连接技术来帮助企业解决这一难题。

一、案例

某大型企业分布于全球各地，现要把各个分支机构的局域网相互连接，使企业内的计算机通过这一连接可以高效、安全的访问内部资源，甚至任意两台计算机都可互相访问。

二、解决

SoftEther是一个免费的虚拟网卡软件，能够模拟以太网卡的工作顺序，并能模拟HUB功能;在Windows XP 和Windows 2003的网络连接中有一项桥接功能，可以通过两块网卡把物理上分开的两个网段桥接为一个局域网。 据此，设计了如图1所示的VPN连接方式。

图1中E1、E2、E4、E5为以太网卡，其中E1、E5连接内部局域网,E2,E4连接外部因特网,且E2在因特网上有固定IP地址;E3、E6为SoftEther虚拟出来的网卡，均连接到SoftEther虚拟出来的HUB下。按照图1的连接，只需将E1、E3桥接，E5、E6桥接就可把所有分支机构的局域网连接到一起。具体配置参考如下：

1、总部服务器A配置：

必须安装为Windows XP或Windows2003操作系统。其中，E1连接内部局域网，其设置为：

IP：192.168.0.2

Mask：255.255.0.0

Gateway：192.168.0.1

E2连接因特网，最好为其申请固定IP。如果是用ADSL连接外网，最好是包月的，这台服务器从不关机的话，那么其从ISP获得的IP地址也相当于固定IP。在此假设E2固定IP为：202.98.168.10，网关为：202.98.168.1。

E3是用SoftEther虚拟出来的网卡。在此详细介绍一下虚拟HUB和虚拟网卡的安装及设置。

Step1、双击从网上下载来的SoftEther安装文件，出现如图2所示窗口，一直单击下一步。

Setp2、在图3中选择简体中文。

Step3、在图4中复选第一项，如果是总部服务器必须复选第二项，其他分支机构服务器没有必要安装第二项。单击“安装”。

Step4、图5为提示将要安装虚拟网卡，单击“仍然继续”。

Step5、出现图6窗口表明虚拟网卡已经安装成功，在“控制面板”下的“网络连接”已多出一个断开的名为“SoftEther Virtual LAN Connection”的连接。单击“SoftEther虚拟网卡核心服务”中的“开始”按钮启动虚拟网卡核心服务。如果是总部服务器，还要再启动“SoftEther 虚拟HUB服务”。单击“退出Soft ether设置”。(此步也可以在以后重新设置)。

Step6、SoftEher安装完成之后要进行“虚拟HUB”的设置(仅总部服务器需要)。单击桌面“开始”—“所有程序”—“SoftEther”—“SoftEther虚拟HUB管理器”，出现如图7所示窗口。此处默认连接到本地计算机Localhost，当然，也可输入远程IP地址如：202.98.168.10。单击“连接”。

Step7、出现图8，要求输入密码进入。

Step8、之后进入“1—用户管理”中，执行“2—创建新用户”，输入用户名：user和密码：user之后一路狂敲回车键，如图9。

Step9、退出虚拟HUB设置，双击桌面上“SOFTETHER连接管理器”图标，打开虚拟网卡连接配置窗口。单击“帐号”下的“新帐号”，弹出图10。复选“连接虚拟HUB需要使用身份验证”选项，在“用户名”和“密码”中分别输入前面虚拟HUB配置中所创建的用户名和密码。

Setp10、在“连接到虚拟HUB的通讯协议”中选择“直接TCP/IP连接”，单击“配置”，打开图11对话框，在IP地址中输入总部服务器连接外网网卡的IP地址：202.98.168.10。

Step11、新帐号设置好之后，在“SoftEther连接管理器”窗口中多出一个名为“New

Connect”的图标，双击该图标，虚拟网卡即开始与虚拟HUB连接，如图12。

Step12、虚拟网卡连接成功后，设置参数如下：

IP：192.168.1.1

Mask：255.255.0.0

Gateway：192.168.1.1

至此，虚拟HUB和虚拟网卡设置完成。现在最后一步工作便是桥接E1,E3两块网卡。打开“网络连接”，如图13，同时选中“SoftEther Virtual LAN Connection”(E3)和“本地连接”(E1)图标，单击鼠标右键，选择“桥接”，这样就把总部局域网连接到了虚拟HUB之下。

2、分支机构服务器设置

如图14中所示，E4网卡连接外网。E5连接到内部局域网，其设置为：

IP：192.168.2.2

Mask：255.255.0.0

Gateway：192.168.2.1

E6为虚拟网卡，其安装和连接如前所述，连接成功后设置参数为

IP：192.168.1.2(其余分支机构相应为3，4，5…)

Mask：255.255.0.0

Gateway：192.168.1.1

同样，只要把E5和E6桥接，就可把分支机构的局域网连接到虚拟HUB下。

三.总结

使用此方法进行VPN连接简单、经济、安全，容易维护，可以使整个企业的计算机连为一个局域网，使用统一的代理服务器作为出口访问外部资源，减少网管人员等等。在具体设置过程中需要特别注意，一台计算机如果有两个以上的出口，就要为其指配路由，否则会导致网络中断或堵塞，大家可以在DOS方式下用 route print命令查看本机的路由状况，如图14。此时就要用route delete 0.0.0.0把目标为0.0.0.0的网段路由删除，用routa add命令为其重新选择出口,如route add 0.0.0.0 mask 0.0.0.0 202.203.136.1或route add 0.0.0.0

mask 0.0.0.0 202.203.229.1。关于这一点,在使用ADSL上网的用户中也经常出现，其拨号软件在虚拟网卡时往往会出现此种现象，造成上网速度奇慢或中断。 Windows Server 2003搭建VPN服务器

虚拟专用网(VPN，Virtual Private Network)是一种利用公共网络来构建的私人专用网络技术，不是真的专用网络，但却能够实现专用网络的功能。虚拟专用网指的是依靠ISP(Internet服务提供商)和其它NSP(网络服务提供商)，在公用网络中建立专用的数据通信网络的技术……

近来，随着中国经济的腾飞、各种工业企业投资增加，中国已经成为世界的制造中心。大型生产型、经营型企业的生产、调度早已经就严重依赖于网络。

随着企业规模的不断扩大，异地分支机构、办事处、连锁超市、经营部门、生产部门，以及投资管理机构，甚至出差人员对中心的数据越来越敏感，因此，这些企业大都已经或者正准备安装大型网络型ERP/财务软件用以满足以上各类需求。然而企业在付出高昂的软件安装部署实施费用后，大都为如何减少软件的运行费用而忧心重重。互联网的方便、高速和覆盖并没有被企业网充分利用，因为任何企业的IT经理都不会将企业内部网直接连接到互联网，企业内部网与互联网之间都会设置防火墙，只允许内部网络结点向互联网发起请求，进行互联网的访问，但不允许通过互联网结点访问企业内部的信息。因此公司老总很晚才下班，要在公司处理完所有的数据、邮件，尽管家中有宽带，但那是互联网接入，不能接到公司内部网络;出差在外的员工必须拔打昂贵的800号码或长途电话才能访问公司内部信息，以大约28.8Kbps的速率连接到公司内部网络，酒店的宽带接口却放在一边不能用。有什么好办法既能保证数据传输的安全性，又能降低运行成本呢?DDN专线吗，肯定不行，相关设备的安装难度，路由器等网络设备的大笔投入不说，光是每月昂贵的租用费用，随着分支机构的增加，这种负担正成为企业支出费用的大笔开销!利用传统的拨号线路吗?缓慢的速度，设备安装调试、管理、维护的问题更是让企业信息负责人望而却步。有没有一种更好的解决方案呢?怎样才能利用高速、便利的互联网接入安全地实现移动办公，在家办公呢?答案是远程接入VPN。

一、什么是VPN?

虚拟专用网(VPN，Virtual Private Network)是一种利用公共网络来构建的私人专用网络技术，不是真的专用网络，但却能够实现专用网络的功能。虚拟专用网指的是依靠ISP(Internet服务提供商)和其它NSP(网络服务提供商)，在公用网络中建立专用的数据通信网络的技术。 在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。IETF草案理解基于IP的VPN为："使用IP机制仿真出一个私有的广域网"是通过私有的隧道技术在公共数据网络上仿真一条点到点的专线技术。所谓虚拟，是指用户不再需要拥有实际的长途数据线路，而是使用Internet公众数据网络的长途数据线路。所谓专用网络，是指用户可以为自己制定一个最符合自己需求的网络。

二、VPN的安全性

目前VPN主要采用四项技术来保证安全，这四项技术分别是隧道技术(Tunneling)、加解密技术(Encryption & Decryption)、密钥管理技术(Key Management)、使用者与设备身份认证技术(Authentication)。 1、隧道技术

隧道技术是VPN的基本技术类似于点对点连接技术，它在公用网建立一条数据通道(隧道)，让数据包通过这条隧道传输。隧道是由隧道协议形成的，分为第二、三层隧道协议。第二层隧道协议是先把各种网络协议封装到PPP中，再把整个数据包装入隧道协议中。这种双层封装方法形成的数据包靠第二层协议进行传输。第二层隧道协议有L2F、PPTP、L2TP等。L2TP协议是目前IETF的标准，由IETF融合PPTP与L2F而形成。 第三层隧道协议是把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输。第三层隧道协议有VTP、IPSec等。IPSec(IP Security)是由一组RFC文档组成，定义了一个系统来提供安全协议选择、安全算法，确定服务所使用密钥等服务，从而在IP层提供安全保障。

2、加解密技术

加解密技术是数据通信中一项较成熟的技术，VPN可直接利用现有技术。

3、密钥管理技术

密钥管理技术的主要任务是如何在公用数据网上安全地传递密钥而不被窃取。现行密钥管理技术又分为SKIP与ISAKMP/OAKLEY两种。SKIP主要是利用Diffie-Hellman的演算法则，在网络上传输密钥;在ISAKMP中，双方都有两把密钥，分别用于公用、私用。

4、使用者与设备身份认证技术

使用者与设备身份认证技术最常用的是使用者名称与密码或卡片式认证等方式，目前这方面做的比较成熟的有国内的深信福科技的VPN解决方案。

三、VPN网络的可用性

通过VPN，企业可以以更低的成本连接远程办事机构、出差人员以及业务合作伙伴关键业务。虚拟网组成之后，远程用户只需拥有本地ISP的上网权限，就可以访问企业内部资源，这对于流动性大、分布广泛的企业来说很有意义，特别是当企业将VPN服务延伸到合作伙伴方时，便能极大地降低网络的复杂性和维护费用。

VPN技术的出现及成熟为企业实施ERP、财务软件、移动办公提供了最佳的解决方案。

一方面，VPN利用现有互联网，在互联网上开拓隧道，充分利用企业现有的上网条件，无需申请昂贵的DDN专线，运营成本低。

另一方面，VPN利用IPSEC等加密技术，使在通道内传输的数据，有着高达168位的加密措施，充分保证了数据在VPN通道内传输的安全性。

四、VPN网络的可管理性

随着技术的进步，各种VPN软硬件解决方案都包含了路由、防火墙、VPN网关等三方面的功能，企业或政府通过购买VPN设备，达到一物多用的功效，既满足了远程互联的要求，而且还能在相当程度上防止黑客的攻击、并能根据时间、IP、内容、Mac地址、服务内容、访问内容等多种服务来限制企业公司内部员工上网时的行为，一举多得。 VPN设备的安装调试、管理、维护都极为简单，而且都支持远程管理，大多数VPN硬件设备甚至可通过中央管理器进行集中式的管理维护。出差人员也可以通过客户端软件与中心的VPN设备建立VPN通道，从而达到访问中心数据等资源的目的。让互联无处不在，极大地方便了企业及政府的数据、语音、视频等方面的应用。

五、windows 2003实现NAT地址转换和VPN服务器

下面我们介绍一下通过Windows Server操作系统自带的路由和远程访问功能来实现NAT共享上网和VPN网关的功能。网络拓扑图如下。我们要实现在异地通过VPN客户端访问总部局域网各种服务器资源。

第一步：系统前期准备工作

服务器硬件：双网卡，一块接外网，一块接局域网。在windows2003中VPN服务称之为“路由和远程访问”，默认状态已经安装。只需对此服务进行必要的配置使其生效即可。

首先确定是否开启了Windows Firewall/Internet Connection Sharing (ICS)服务，如果开启了Windows Firewall/Internet Connection Sharing (ICS)服务的话，在配置“路由和远程访问”时系统会弹出如下对话框。

我们只要去“开始”-“程序”-“管理工具”-“服务”里面把Windows Firewall/Internet

Connection Sharing (ICS)停止，并设置启动类型为禁用，如下图所示：

第二步：开启VPN和NAT服务

然后再依次选择“开始”-“程序”-“管理工具”-“路由和远程访问”，打开“路由和远程访问”服务窗口;再在窗口左边右击本地计算机名，选择“配置并启用路由和远程访问”，如下图所示：

在弹出的“路由和远程访问服务器安装向导”中点下一步，出现如下对话框。

由于我们要实现NAT共享上网和VPN拨入服务器的功能，所以我们选择“自定义配置”选项，点下一步;

在这里我们选择“VPN访问”和“NAT和基本防火墙”选项，点下一步，在弹出的对话框中点“完成”，系统会提示是否启动服务，点“是”，系统会按刚才的配置启动路由和远程访问服务，最后如下图所示;

第三步：配置NAT服务

右击“NAT/基本防火墙”选项，选择“新增接口”，弹出如下对话框;

在这里我们根据自己的网络环境选择连接Internet的接口，选择“wan”接口，点“确定”，弹出“网络地址转换-wan属性”对话框，进行如下图所示配置;

由于我们这个网卡是连接外网的所以选择“公用接口连接到Internet”和“在此接口上启用NAT”选项并选择“在此接口上启用基本防火墙”选项，这对服务器的安全是非常重要的。

下面我们点“服务和端口”设置服务器允许对外提供PPTP VPN服务，在“服务和端口”界面里点“VPN网关(PPTP)”，在弹出的“编辑服务”对话框中进行如下图设置;

点“确定”，回到“服务和端口”选项卡，确保选中“VPN网关(PPTP)”，如下图;

第四步：根据需要设置VPN服务

设置连接数：右击右边树形目录里的端口选项，选择属性，弹出如下对话框;

Windows Server 2003 企业版VPN服务默认支持128个PPTP连接和128个L2TP连接，因为我们这里使用PPTP协议，所以我们双击“WAN微型端口(PPTP)选项，在弹出的对话框里根据自己的需要设置所需的连接数;Windows Server 2003企业版最多支持30000个L2TP端口，16384个PPTP端口。

设置IP地址：右击右边树形目录里的本地服务器名，选择“属性”并切换到IP选项卡(如下图所示)。

这里我们选择“静态地址池”点“添加”，根据需要接入数量任意添加一个地址范围，但是不要和本地IP地址冲突，如下图所示;

点“确定”回到“IP”选项卡，点“确定”应用设置;

第五步：设置远程访问策略，允许指定用户拨入

新建用户和组：点“开始”-“程序”-“管理工具”-“计算机管理”，弹出“计算机管理”对话框，如下图;

选择“本地用户和组”，右击“用户”-“新用户”进行如下图所示设置;

点击“创建”新增一个用户;

在右边的树形目录中右击“组”-“新建组”，添入“组名”，点“添加”在弹出的“选择用户”对话框中，点“高级”-“立即查找”，选择刚才建立的“TEST”用户，把用户加入刚才建立的组，如下图;

设置远程访问策略：在“路由和远程访问”窗口，右击右面树形目录中的“远程访问策略”，选择“新建远程访问策略”，在弹出的对话框中点“下一步”，填入方便记忆的“策略名”，点“下一步”，选择“VPN”选项，点“下一步”，点“添加”把刚才新建的组加入到这里，点“下一步”， “下一步”， “下一步”，“完成”，就完成了远程策略的设置，后面如果需要新的用户需要VPN服务，只要为该用户新建一个帐号，并加入刚才新建的“TEST”组就可以了。

第六步：设置动态域名

我们把动态域名放在这里来说。因为一般企业接入互联网应该有固定IP，这样客户机便可随时随地对服务端进行访问;而如果你是家庭用户采用的 ADSL宽带接入的话，那一般都是每次上网地址都不一样的动态IP，所以需在VPN服务器上安装动态域名解析软件，才能让客户端在网络中找到服务端并随时可以拨入。笔者常用的动态域名解析软件为：花生壳，可以在下载，其安装及注意事项请参阅相关资料，这里不再详述

六、VPN客户端配置

这一端配置相对简单得多，只需建立一个到VPN服务端的专用连接即可。首先肯定客户端也要接入internet网络，接着笔者同样以windows 2003客户端为例说明，其它的win2K操作系统设置都大同小异：

第一步：在桌面“网上邻居”图标点右键选属性，之后双击“新建连接向导”打开向导窗口后点下一步;接着在“网络连接类型”窗口里点选第二项“连接到我的工作场所的网络”，继续下一步，在如下图所示网络连接方式窗口里选择第二项“虚拟专用网络连接”;接着为此连接命名后点下一步。

第二步：在“VPN服务器选择”窗口里，等待我们输入的是VPN服务端的固定内容，可以是固定IP，也可以是由花生壳软件解析出来的动态域名(此域名需要在提供花生壳软件的网站下载);接着出现的“可用连接”窗口保持“只是我使用”的默认选项;最后，为方便操作，可以勾选“在桌面上建立快捷方式”选项，单击完成即会先出现如下图所示的VPN连接窗口。输入访问VPN服务端合法帐户后的操作就跟XP下“远程桌面”功能一样了。连接成功后在右下角状态栏会有图标显示。

第三步：连接后的共享操作，只要有过一些局域网使用经验的朋友应该知道怎么做了吧?一种办法是通过“网上邻居”查找VPN服务端共享目录;另一种办法是在浏览器里输入VPN服务端固定IP地址或动态域名也可打开共享目录资源。这其实已经跟在同一个局域网内的操作没什么区别了，自然也就可以直接点击某个视频节目播放，省去下载文件这一步所花时间了。

七、总结

到这里我们已经实现了用一台Windows Server 2003操作系统做一台NAT和VPN远程接入服务器，实现公司或家庭共享上网和VPN远程接入访问本地局域网，实现移动办公。但是这台服务器在安全性和功能上还有一定缺陷，我将在后面的文章中陆续介绍搭建基于L2TP OVER IPSEC的VPN服务器，以增强数据在网络传输中的安全性。介绍搭建基于Microsoft Internet Security and Acceleration (ISA) Server 2006防火墙的远程接入服务器，介绍基于Microsoft Internet Security and Acceleration (ISA) Server 2006的站点到站点的虚拟专用网络。

Windows中建立VPN链接 实现远程互联

VPN，全称是虚拟专用网。它是通过在Internet中建立一个临时的，安全的通道，将处于不同城市中的电脑连接起来，就像组成了一个局域网，操作非常方便。许多企业需要建立这种链接来建立不同城市之间的网络连接。

现在，我们就来看一下VPN的建立和连接方法。

1、建立VPN服务器端

在充当服务器的电脑中依次打开：开始→程序→管理工具→路由和远程访问，在出现的窗口左侧选中主机，在其上单击右键，在出现的右键菜单中选中“配置并启用路由和远程访问”。(如图1)

图1

在出现的“路由和远程访问服务器安装向导”对话框中单击“下一步”按钮，然后勾选“虚拟专用网络(VPN)服务器”，并完成配置。(如图2)

图2

2、建立连接账户

为了能使用户进行VPN连接，必须使用户具有一定的权限。依次打开：开始→程序→管理工具→计算机管理。在出现的对话框中，展开“本地用户和组”，选择“用户”，然后给其新添加一个用户。

图3

此时，在右侧窗口中就能看到这个用户名了，但还要对其进行相应的设置，才能使客户端能够连接到服务器。具体的设置方法是：在用户属性对话框中，单击“拨入”选项卡，勾选“允许访问”复选框，最后确定即可。(如图3)

3、建立VPN客户端

VPN的服务器端已经建立好了，下面要做的就是建立客户端，然后进行连接了。当客户端为Windows XP系统时，依次打开：开始→控制面板→网络和Internet连接→网络连接→建立新的连接向导。

在出现的对话框中选择“连接到我的工作场所的网络”，单击“下一步”，然后勾选“虚拟专用网络连接“复选框，在“VPN服务器选择”中输入刚才建立VPN服务器端的IP地址(通常为公网IP)，这样客户端就建立好了。

当客户端为Windows 2000系统时，则是在“网络连接向导”中选择“通过Internet连接到专用网络”，(如图4)其它的设置与Windows XP是一样的。

图4

4、连接VPN

在客户端双击刚才建立的连接，输入在服务器端所设置的用户名