网络安全与防护课程迟恩宇实训指导2.42基于Windows实现VPN连接本地安全策略for3389演示文档.pptVIP

计算机网络安全技术与实施 学习情境2：实训任务2.4 基于Windows实现VPN连接 通过本地安全策略配置点对点隧道 内容介绍 任务场景及描述 1 任务相关工具软件介绍 2 任务设计、规划 3 任务实施及方法技巧 4 任务检查与评价 5 任务总结 6 任务场景及描述 任务相关工具软件介绍 基于WINDOWS的本地安全策略配置点对点隧道： 任务设计、规划 任务设计、规划 点对点通信结构VPN的规划与设计 为了实现企业内部网的两台主机之间的安全通信，即单机到单机结构中都采用WINDOWS系统时的VPN连接。规划如下图所示，配置A主机与B主机之间的数据采用安全的VPN进行连接（IPSec的VPN）。 互联网ISP 总公司 B A 任务实施及方法技巧 二、 点对点通信结构VPN连接的配置 下面以两台WINDOWS2003计算机为例进行IPSec实验，在局域网中实现安全的通信，即采用加密等措施实现。两台处于同一局网中的计算机A和B（正常的VPN基于IPSec主要用于公网中安全通信，即保护数据在公共网络上的传输），根据实验环境等条件，这里两台计算机处于同一网段，A的IP地址为10.1.34.201，B的IP地址为10.1.34.100。实验配置实现A与B的安全的ICMP通信，那对ICMP协议进行VPN加密传输。配置如下： 1．创建 IPSec 策略 通常，Windows Server 2003 网关不是域成员，因此需要创建本地 IPSec 策略。如果 Windows Server 2003 网关是域成员，该域默认会将 IPSec 策略应用到域内的所有成员，这样，Windows Server 2003 网关就不能有本地 IPSec 策略。在此情况下，可以在 Active Directory 中创建一个组织单位，使 Windows Server 2003 网关成为该组织单位的成员，并将 IPSec 策略指派到该组织单位的“组策略对象”(GPO)。 （1）单击“开始”，“运行”，然后键入 secpol.msc 以启动“IP 安全策略管理”管理单元。 （2）右键单击“本地计算机上的 IP 安全策略”，然后单击“创建 IP 安全策略”。 （3）单击“下一步”，然后键入策略的名称（例如 IPSec Tunnel with non-Microsoft Gateway）。单击“下一步”。注意：您也可以在“说明”框中键入信息。 （4）单击清除“激活默认响应规则”复选框，然后单击“下一步”。 （5）单击“完成”（让“编辑”复选框保持选中状态）。 任务实施及方法技巧 注意：IPSec 策略是使用 IKE 主模式的默认设置创建的。IPSec 隧道由两个规则组成。每个规则指定一个隧道终结点。因为有两个隧道终结点，所以就有两个规则。每个规则中的筛选器必须代表发送到此规则的隧道终结点的 IP 数据包中的源和目标 IP 地址。 任务实施及方法技巧 2．建立从 A 到 B 的筛选器列表 （1）在新策略属性中，单击“使用添加向导”复选框，将其清除，然后单击“添加”以创建新规则。 （2）单击“IP 筛选器列表”选项卡，然后单击“添加”。如图所示。 （3）为筛选器列表键入相应的名称，单击“使用添加向导”复选框，将其清除，然后单击“添加”。 （4）在“源地址”框中，单击“一个特定的 IP 子网”，然后键入 A 的“IP 地址”和“子网掩码”。 （5）在“目标地址”框中，单击“一个特定的 IP 子网”，然后键入 B 的“IP 地址”和“子网掩码”。 （6）单击“镜像”复选框，将其清除。 （7）单击“协议”选项卡。一定要将“协议类型”设置为“任何”，因为 IPSec 隧道不支持协议或端口特定的筛选器。 （8）如果要为筛选器键入说明，请单击“说明”选项卡。通常，为筛选器和筛选器列表指定相同的名称不失为一个良策。当隧道为活动状态时，筛选器名称显示在 IPSec 监视器中。 （9）单击“确定”。 任务实施及方法技巧 3．建立从 B 到 A 的筛选器列表 （1）单击“IP 筛选器列表”选项卡，然后单击“添加”。 （2）为筛选器列表键入相应的名称，单击“使用添加向导”复选框，将其清除，然后单击“添加”。 （3）在“源地址”框中，单击“一个特定的 IP 子网”，然后键入 B 的“IP 地址”和“子网掩码”。 （4）在“目标地址”框中，单击“一个特定的 IP 子网”，然后键入 A 的“IP 地址”和“子网掩码”。 （5）单击“镜像”复选框，将其清除。 （6）如果要为筛选器键入说明，请单击“说明”选项卡。 最后单击“确定”。 4．为 A 到 B 隧道配置规则 （1）单击“IP 筛选器列表”选项卡，然后单击创建的筛选器列表，将其选中。