В настоящее время деловым людям необходим доступ к информации, находящейся в корпоративных сетях, в любое время и из любого места. Независимо от того, находятся ли сотрудники в пути к покупателю, или работают дома, достаточно важной становится задача по предоставлению им удаленного доступа к корпоративной сети. В этом руководстве описывается, как в ОС Windows 2000 предоставляется доступ удаленным работникам, сотрудникам и мобильным пользователям к ресурсам Вашей корпоративной сети. С помощью встроенных служб удаленного доступа и поддержки виртуальных частных сетей ОС Windows 2000 предоставляет решение в области организации удаленного доступа для сетей средних размеров.
Введение
Используя службу удаленного доступа, входящую в состав OC Windows 2000 Server, Вы можете настроить серверы удаленного доступа, предоставляющие возможность подключения к корпоративной сети авторизированным пользователям. Это подключение, прозрачное для пользователей, позволяет физически удаленным клиентам доступа получать доступ к ресурсам из удаленного расположения также как, если бы они были физически подключены к сети.
Удаленный доступ в OC Windows 2000 организуется с использованием двух различных типов удаленных подключений:
1.
Коммутируемый удаленный доступ
Для получения доступа к сети с помощью коммутируемого удаленного доступа, при создании физического подключения к порту сервера удаленного доступа, находящегося на границе частной сети, клиенты удаленного доступа используют обычные телефонные линии. Обычно подключение к вашему серверу удаленного доступа осуществляется посредством модема или ISDN-адаптера.
2.
Удаленный доступ к виртуальной частной сети (VPN)
Виртуальная частная сеть (Virtual Private Network, VPN) обеспечивает безопасный удаленный доступ через Интернет, в отличие от обычных коммутируемых подключений. VPN-клиент использует глобальную IP-сеть для создания зашифрованного виртуального подключения типа «точка-точка» с VPN-шлюзом, находящимся на границе частной сети. Для этого сначала производится подключение в Интернет, а затем создается VPN-подключение. В этом случае использование Интернета сокращает расходы на междугородние телефонные соединения и позволяет воспользоваться существующей инфраструктурой взамен создания собственной.
Примечание.Серверами удаленного доступа часто называют RAS-серверы (Remote Access Srevice). Термины «VPN-шлюзы» и «VPN-серверы» также часто используются в качестве синонимов.
В этом руководстве приведены процедуры, необходимые для настройки удаленного доступа в ОС Windows 2000, а также описывается настройка клиентов удаленного доступа. Если же Вы обновили Ваш сервер удаленного доступа, работающий под управлением ОС Windows NT 4.0 до Windows 2000, то Ваши удаленные пользователи должны сразу получить возможность подключиться к нему. В этом случае этот документ может служить только в качестве руководства по настройке дополнительного сервера удаленного доступа или VPN-сервера.
Условия, необходимые для выполнения сценария
В зависимости от типа выбранного решения удаленного доступа для настройки клиентов удаленного доступа, Вам будет необходимо скоординировать свои действия либо с поставщиком телекоммуникационных услуг, либо с поставщиком услуг Интернет. Если Вы планируете развернуть коммутируемый доступ, то Вы можете использовать телефонные линии, подключенные непосредственно к Вашим модемам. Если же Вы планируете организовать VPN-доступ, то Ваш Интернет-провайдер должен обеспечивать поддержку общей инкапсуляции для маршрутизации (Generic Routing Encapsulation, GRE) и назначить Вашим VPN-серверам статические IP-адреса для возможности подключения к ним удаленных клиентов через Интернет.
Для настройки как сервера удаленного доступа, так и сервера виртуальной частной сети (Virtual Private Network, VPN), Вам необходимо установить службу маршрутизации и удаленного доступа (Routing and Remote Access Services, RRAS). Для установки этой службы на сервере, работающем под управлением ОС Windows 2000 Server, нажмите кнопку
Пуск (Start), выберите пункт
Программы (Programs),
Администрирование (Administration Task), затем откройте компонент
Настройка сервера (Configure your server), выберите в ней
Сетевые службы (Networking) и нажмите
Маршрутизация (Routing). Следуйте инструкциям, описанным на этой странице, для установки службы RRAS. Кроме того, Вам необходимо иметь полномочия администратора для выполнения этой установки и настройки.
Задачи сценария
Используя это руководство, Вы можете выполнить следующие задачи:
Задачи установки и управления
•
Определение типа удаленного доступа, необходимого Вашим пользователям.
•
Установка и настройка оборудования сервера удаленного доступа.
•
Установка и настройка оборудования VPN-сервера.
•
Настройка сервера удаленного доступа и VPN-сервера.
•
Анализ виртуальной частной сети.
•
Настройка разрешений удаленного доступа.
•
Настройка и развертывание клиентов удаленного доступа.
Выбор типа удаленного доступа
При планировании удаленного доступа Вы должны проанализировать потребности в удаленном доступе и понимать преимущества и особенности коммутируемого удаленного доступа и VPN-подключений. Некоторые компании останавливают свой выбор на использовании только одного способа организации методов удаленного доступа, другие реализуют обе технологии, как взаимодополняющие. Например, некоторые компании используют VPN в качестве базового метода удаленного доступа, но также могут воспользоваться коммутируемым доступом при отсутствии подключения к Интернету.
Удаленное подключение к сети
Коммутируемый удаленный доступ может быть полезен для небольшой компании, имеющей ограниченное количество удаленных пользователей, которые довольствуются аналоговыми линиями или производительностью ISDN, или если удаленные пользователи находятся в зоне локальной телефонной связи. В компаниях, имеющих большое количество удаленных пользователей, которые используют междугородние телефонные линии, стоимость использования такого типа доступа резко возрастает, поэтому в этом случае коммутируемый удаленный доступ должен использоваться только как дополнительное средства поддержки. Следовательно, администраторы должны остановить свой выбор в качестве основного метода организации удаленного доступа на VPN.
Удаленный доступ к виртуальной частной сети
Компании, которые хотят уменьшить стоимость удаленного доступа при увеличении гибкости сети, могут использовать преимущества удаленного доступа с использованием VPN. Мобильные сотрудники могут воспользоваться теми же модемами, которыми они пользовались при подключении к корпоративной сети, и сэкономить на междугороднем телефонном соединении за счет подключения к Интернету через местного поставщика услуг Интернета, совместно с использованием виртуального подключения к корпоративной сети. Это предотвращает перегрузку телефонных линий и избавляет от оплаты счетов за междугородние звонки и услуги связи, которые присущи коммутируемым подключениям.
Одновременно со снижением стоимости пользования коммутируемым доступом для мобильных сотрудников VPN-пользователи могут получить преимущества от использования гибкой среды передачи данных, поддерживаемой данной технологией. Организация VPN поддерживается различным оборудованием, начиная от аналоговых модемов и ISDN, и заканчивая широкополосными подключениями и технологией DSL.
Настройка серверов удаленного доступа
Для поддержки подключений к Вашей сети с помощью модемов, Вам необходимо иметь отдельные телефонные линии для каждого аналогового модема, который принимает входящие вызовы. Ваши клиенты удаленного доступа будут использовать телефонные номера, соответствующие этим линиям, при подключении своих компьютеров к серверу удаленного доступа.
Кроме того, для подключения каждого модема потребуется последовательный порт на сервере удаленного доступа. Если Вы хотите использовать один или два модема, то Вы можете задействовать встроенные последовательные порты Вашего сервера удаленного доступа или же установить внутренние модемы в слоты PCI или ISA.
Примечание.Обычно коммутируемые подключения организуются за счет использования аналоговых модемов или ISDN. Если Вы собираетесь поддерживать коммутируемый доступ с помощью ISDN, Вам понадобятся ISDN-линии для Вашей компании, а также определенное количество ISDN-адаптеров, соответствующее количеству линий.
Если Вы планируете организовать модемный пул, состоящий более чем из двух модемов, то предпочтительно воспользоваться мульти-портовым адаптером или специальной модемной платой. С помощью мульти-портового адаптера Вы сможете подключить большее количество аналоговых модемов или ISDN-модемов к одному серверу удаленного доступа. Мульти-портовый адаптер представляет собой PCI- или ISA-плату после установки, которой в Вашем компьютере будет создано большое количество последовательных портов (4, 8, 16, 64 и т.д.), необходимых для подключения Ваших модемов. Специальная модемная плата объединяет в себе несколько модемов и адаптеров последовательных портов в одном устройстве.
За дополнительной информацией об аналоговых модемах, ISDN-модемах, ISDN-адаптерах и мульти-портовых адаптерах, поддерживаемых ОС Windows 2000, обратитесь к списку совместимого оборудования (Hardware Compatibility List, HCL) на странице http://www.microsoft.com/whdc/hcl/default.mspx?gssnb=1.
Аналоговые модемы и терминальные ISDN-адаптеры обычно устанавливаются и настраиваются через компонент панели управления
Телефон и модем (Phone and Modem Options) . Большинство модемов поддерживают технологию Plug-and-Play и устанавливаются автоматически после подключения модема к разъему последовательного порта и загрузки компьютера. Так же для установки модема можно воспользоваться мастером установки и удаления оборудования (Add New Hardware wizard), который запускается из панели управления.
Рисунок 1 – Диалоговое окно компонента Телефон и модем (Phone and Modem Options)
За дополнительной информацией, касающейся установ;ки ISDN-оборудования или аналоговых модемов, обратитесь к встроенной справочной системе Windows 2000.
Установка VPN-серверов
Чтобы VPN-клиенты смогли получить доступ к Вашей сети, Вам необходимо установить VPN-сервер, который будет подключен как к Вашей внутренней сети, так и к Интернету, как это показано на рисунке, приведенном ниже. Обычно для этих целей используется сервер, в котором установлено два сетевых интерфейса, один из которых подключен к внутренней сети Вашей компании, а второй к сети Интернет. Для подключения к Интернету может быть использована выделенная линия, организованная различными способами, например, с помощью кабельного модема, DSL, коммутируемого подключения или ISDN-канала.
В этом документе предполагается, что сервер, который планируется использовать в качестве VPN-шлюза, подключен к локальной сети, а также имеет подключение к сети Интернет через выделенную линию, организованную посредством DSL.
Также предполагается, что внешнему интерфейсу присвоен статический публичный IP-адрес, назначенный Вашим поставщиком услуг Интернета, а для внутреннего интерфейса VPN-сервера, подключенного к частной сети, используется статический IP-адрес, который исключен из пула адресов DHCP.
В ОС Windows 2000 поддерживается следующие два типа удаленного доступа с использованием VPN:
на основе туннельного протокола передачи «точка-точка» (Point-to-Point Tunneling Protocol, PPTP);
на основе протокола L2TP/IPSec (Layer 2 Tunnelling Protocol, L2TP поверх IPSec).
В этом руководстве рассматривается способ организации базового VPN-подключения на основе протокола PPTP. Для использования протокола L2TP/IPSec необходимы глубокие знания о технологиях шифрования и проверки подлинности, включая инфраструктуру открытого ключа (Public Key Infrastructure, PKI), которые не затрагиваются в данном руководстве. За дополнительной информацией об использовании протоколов L2TP и IPSec обратитесь к справочной системе Windows 2000 Server и документации пакета Windows 2000 Resource Kit. Рисунок 2 – Схема организации VPN-подключения
