Windows 2008實(shí)戰(zhàn)之SSTP VPN構(gòu)建攻略

　　一、 新的協(xié)議SSTP的支持及介紹

　　SSTP是微軟提供的新一代的虛擬專(zhuān)用網(wǎng)(VPN)技術(shù)，它的全稱(chēng)是安全套接層隧道協(xié)議(Secure Socket Tunneling Protocol;sstp)，和PPTP L2TP OVER IPsec一樣，也是微軟所提供的VPN技術(shù)。在擁有最大彈性發(fā)揮的同時(shí)，又確保信息安全達(dá)到了一定程度。

　　目前，支持SSTP技術(shù)的僅限于如下OS：Windows XP Sp3(偶在生產(chǎn)環(huán)境中并沒(méi)有去驗(yàn)證)、Windows Vista Sp1(windows 7也在支持之列)以及Windows 2008。且Windows Server 2008僅支持客戶(hù)端與服務(wù)器之間的SSTP VPN，并不支持站點(diǎn)到站點(diǎn)間的SSTP VPN。通使用此項(xiàng)新技術(shù)，可以使防火墻管理員能更容易的配置策略使SSTP流量通過(guò)其防火墻。它提供了一種機(jī)制，將PPP數(shù)據(jù)包封裝在HTTPS的SSL通訊中，從而使PPP支持更加安全身份驗(yàn)方法，如EAP-TLS等。

　　二、PPTP及L2TP OVER IPSEC在使用過(guò)程中的不足

　　新的SSTP協(xié)議的支持，并沒(méi)有完全否決PPTP及L2TP OVER IPSEC在微軟產(chǎn)品所組成的解決方案中的作用，當(dāng)企業(yè)使用基于WINDOWS 平臺(tái)的VPN解決方案時(shí)，這種協(xié)議仍是被常用來(lái)解決或是提升企業(yè)網(wǎng)絡(luò)安全性。但兩者的數(shù)據(jù)包通過(guò)防火墻、NAT、WEB PROXY時(shí)卻都有可能發(fā)生一些連線方面的問(wèn)題。

　　PPTP數(shù)據(jù)包通過(guò)防火墻時(shí)，防火墻需被設(shè)定成同時(shí)充許TCP連接以及GRE封裝的數(shù)據(jù)通過(guò)，但大部分ISP都會(huì)阻止這種封包，從而造成連線的問(wèn)題;而當(dāng)你的機(jī)器位于NAT之后，NAT亦必需被設(shè)定成能轉(zhuǎn)發(fā)GRE協(xié)議封裝的數(shù)據(jù)包。否則就會(huì)造成只能建立PPTP的TCP連接，而無(wú)法接收GRE協(xié)議封裝的數(shù)據(jù)包;WEB PROXY是不支持PPTP 協(xié)議的。

　　L2TP OVER IPSEC的情況和此類(lèi)似，需要在防火墻上充許IKE 數(shù)據(jù)和ESP封裝的數(shù)據(jù)同時(shí)通過(guò)，否則也會(huì)出現(xiàn)連接問(wèn)題。且WEB PROXY也是不支持L2TP OVER IPSEC協(xié)議的。

　　三、SSTP的執(zhí)行過(guò)程

　　上面簡(jiǎn)要介紹了SSTP協(xié)議的優(yōu)勢(shì)以及PPTP等之前兩種協(xié)議的不足，下面就來(lái)說(shuō)下XP WITH SP3 或是VISTA WITH SP1(Windows 7)等客戶(hù)端是如何連接到WINDOWS 2008 SSL(SSTP)VPN服務(wù)器的：

　　1、SSTP VPN客戶(hù)端以隨機(jī)的TCP端口建立TCP連接至SSTP VPN服務(wù)器(常常是SSTP VPN 網(wǎng)關(guān)服務(wù)器)上的TCP 443端口。

　　2、SSTP VPN客戶(hù)端發(fā)送一個(gè)SSL "Client-Hello"消息給SSTP VPN服務(wù)器，表明想與此建立一個(gè)SSL會(huì)話(huà)。

　　3、SSTP VPN服務(wù)器發(fā)送"其機(jī)器證書(shū)"至SSTP VPN客戶(hù)端。

　　4、SSTP VPN客戶(hù)端驗(yàn)證機(jī)器證書(shū)，決定SSL會(huì)話(huà)的加密方法，并產(chǎn)生一個(gè)以SSTP VPN服務(wù)器公鑰加密的SSL會(huì)話(huà)密鑰，然后發(fā)送給SSTP VPN服務(wù)器。

　　5、SSTP VPN服務(wù)器使用此機(jī)器證書(shū)私鑰來(lái)解密收到的加密的SSL會(huì)話(huà)，之后兩者之間所有的通訊都以協(xié)商的加密方法和SSL 會(huì)話(huà)密鑰進(jìn)行加密。

　　6、SSTP VPN客戶(hù)端發(fā)送一個(gè)基于SSL的HTTP(HTTPS)請(qǐng)求至SSTP VPN服務(wù)器。

　　7、SSTP VPN客戶(hù)端與SSTP VPN服務(wù)器協(xié)商SSTP隧道。

　　8、SSTP VPN客戶(hù)端與SSTP VPN服務(wù)器協(xié)商包含"使用PPP驗(yàn)證方法驗(yàn)(或EAP驗(yàn)證方法)證使用者證書(shū)以及進(jìn)行IPV4或IPV6通訊"的PPP連接。

　　9、SSTP VPN客戶(hù)端開(kāi)始發(fā)送基于PPP連接的IPV4或IPV6通訊流量(數(shù)據(jù))。

　　四、SSTP VPN服務(wù)器環(huán)境搭建及說(shuō)明

　　測(cè)試環(huán)境較為簡(jiǎn)單，三臺(tái)機(jī)器完成全部操作，其中兩臺(tái)是WINDOWS SERVER 2008企業(yè)版，一臺(tái)是帶有SP1的VISTA。注意，這其中會(huì)涉及到公有DNS解析問(wèn)題，在本試驗(yàn)中，以HOSTS文件中寫(xiě)入相關(guān)信息代替。網(wǎng)絡(luò)拓樸及詳細(xì)說(shuō)明如下：

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]