创建基于L2TP的站点到站点的VPN 连接：ISA2006系列之二十六

来源：互联网发布：suse linux snmp服务编辑：程序博客网时间：2024/04/29 18:43

创建基于L2TP的站点间VPN

在上篇博文中我们介绍了如何利用ISA2006创建站点间的VPN，而且站点间VPN使用的隧道协议是PPTP，今天我们更进一步，准备在上篇博文的基础上实现基于L2TP的站点间VPN。L2TP和PPTP相比，增加了对计算机的身份验证，从理论上分析应该比PPTP更安全一些。L2TP验证计算机身份可以使用预共享密钥，也可以使用证书。我们把两种方式都尝试一下，实验拓扑如下图所示，和上篇博文的环境完全一致。

一 使用预共享密钥

使用预共享密钥实现L2TP的过程是是比较简单的，我们在VPN站点两端的VPN服务器上配置一个相同的预共享密钥，就可以用于L2TP协议中验证计算机身份。如下图所示，我们在Beijing上定位到“虚拟专用网络”，右键点击远程站点Tianjin，选择“属性”。

我们在远程站点Tianjin的属性中切换到“协议”标签，勾选使用“L2TP/IPSEC”，同时勾选使用预共享密钥，并设置预共享密钥为password。这里的设置会导致beijing拨叫tianjin时，使用预共享密钥password来证明自己的身份。

在“常规VPN配置”中点击“选择身份验证方法”，如下图所示，勾选“允许L2TP连接自定义IPSEC策略”，并设置预共享密钥为password。这个设置则是告诉beijing，接受VPN客户端使用预共享密钥验证计算机身份。这样我们分别设置了beijing作为VPN服务器和VPN客户端都使用预共享密钥验证计算机身份，至此，Beijing服务器设置完毕。

接下来我们在Tianjin服务器上如法炮制，如下图所示，选择远程站点Beijing的属性。

在远程站点的属性中切换到“协议”标签，如下图所示，选择使用L2TP作为VPN协议，并配置预共享密钥为password。

然后在“常规VPN配置”中点击“选择身份验证方法”，如下图所示，勾选“允许L2TP连接自定义IPSEC策略”，并设置预共享密钥为password。至此，Tianjin服务器也设置完毕。

这时我们来看看站点间VPN配置的成果，如下图所示，在北京内网的Denver上ping天津内网的Istanbul。第一个包没有ping通，这是因为两个ISA服务器正在创建VPN隧道，接下来的包都可以顺利往返，这证明我们的配置起作用了。

二 使用证书验证

使用证书验证比预共享密钥验证更加安全，只是实现起来要麻烦一些，我们需要有CA的配合。在我们的实验环境中，Denver是一个被所有的实验计算机都信任的CA，Denver的CA类型是独立根。有了CA之后，VPN服务器需要向CA申请证书以证明自己的身份，由于站点间VPN中每个VPN服务器既是服务器又充当客户机角色，因此每个VPN服务器都需要申请两个证书，一个是服务器证书，一个是客户机证书。

1、在Beijing上进行配置

首先我们要先为Beijing申请两个证书，一个是服务器证书，一个是客户机证书。如下图所示，在Beijing上我们在IE中输入[url]http://10.1.1.5/certsrv[/url]，在CA主页中选择“申请一个证书”。