微软的l2tp方式vpn穿越防火墙的设置

《微软的l2tp方式vpn穿越防火墙的设置》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、用于WindowsXP和Windows2000的L2TP/IPSecNAT-T更新概要Microsoft已经发布了一个更新程序包，以增强运行WindowsXP或Windows2000的计算机上第二层隧道协议(L2TP)和Internet协议安全(IPSec)的当前功能。此更新包含对IPSec的改进，以更好地支持位于网络地址转换(NAT)设备后面的虚拟专用网络(VPN)客户端。如果将此更新应用于运行WindowsXP的计算机，并且IPSec服务遇到运行时错误并由于某种原因而无法启动，则IPSec驱动

2、程序在阻止模式下运行（原因是它无法确保网络通信的安全）。（IPSec服务在系统服务列表中显示为“IPSEC服务”。）文章内容•新的IPSec功能以及管理和监视管理单元•互操作性和已知问题•WindowsXP更新•Windows2000更新•参考更多信息新的IPSec功能以及管理和监视管理单元•在安装此更新后，L2TP/IPSec客户端即可从NAT服务器后面创建IPSec连接。新的NAT-T规范是围绕IETFRFC3193和IETFNAT-T规范第02稿设计的。•更新的IPSec监视管理单元可以查看

3、正在运行WindowsXP的计算机，但前提是基于WindowsXP的计算机上已安装了该更新。•更新的IPSec监视器可以查看运行MicrosoftWindowsServer2003的计算机。同样，WindowsServer2003可以监视安装了此更新且基于WindowsXP的计算机。•无法使用此管理单元监视正在运行Windows2000的计算机。•如果新的“IPSec管理”管理单元遇到的策略对象包含在WindowsServer2003中创建的高级功能（如DH2048、证书映射或动态筛选器），它就会

4、切换到只读模式。如果管理单元对象（如规则、筛选器列表或提供的主模式）包含对这些新设置的引用时，此行为将使这些对象无法编辑。“IPSec管理”将切换到只读模式，以免其意外删除重要的高级功能。•基于WindowsXP的计算机上已更新的IPSec服务可以公开WindowsServer2003策略中所提供的大多数新功能。注意：无法使用证书映射。•如果基于WindowsXP的计算机上安装了IPSeccmd工具的早期版本（Windows2000中没有此工具），则将更新的IPSeccmd安装在drive:Pr

5、ogramFilesSupportTools文件夹中。更新后的IPSeccmd具有下列功能：•它动态地打开和关闭Internet密钥交换(IKE)日志记录。•它显示有关当前分配的策略的信息。•您可能通过它创建永久性的IPSec策略。注意：IPSeccmd的早期版本在更新后的计算机上无法运行，而更新后的IPSeccmd在未更新的计算机上无法运行。返回页首互操作性和已知问题NAT-T和防火墙规则由于新的NAT-T规范是围绕IETFRFC3193和IETFNAT-T规范第02稿设计的，因此对于通过防火

6、墙运行的这些服务，您可能需要在防火墙规则中打开下列端口和协议：•L2TP-用户数据报协议(UDP)500、UDP1701•NAT-T-UDP4500•ESP-Internet协议(IP)协议50使用NAT-T的受支持方案下面的方案将成功允许使用L2TP/IPSecNAT-T连接。在这些方案中，Client是运行WindowsXP或Windows2000并且安装了818043更新的客户端。Server是运行WindowsServer2003并且使用“路由和远程访问”的L2TP/IPSec服务器。例如

7、，在第一种方案中，Client在一个NAT路由器后面，它通过Internet连接到Server。在第二种方案中，Server在另一个NAT路由器后面。Client---->NAT----Internet---->ServerClient---->Internet----NAT---->ServerClient---->NAT----Internet---->NAT---->Server在这些方案中，L2TP/RRAS服务器位于NAT路由器后面，NAT路由器必须打开L2TP/IPSecNAT-T连接

8、所需的端口和协议。L2TP/IPSec服务器端也可以是支持NAT-T连接的第三方网关产品。注意：如果对使用“路由和远程访问”且基于Windows2000的服务器应用818043更新，在这些方案中，该服务器不能作为L2TP/IPSec服务器运行。当涉及到一台或一台上的NAT路由器时，它不允许来自L2TP/IPSec客户端的连接。此更新只是一个客户端更新。服务器端的NAT-T功能只是WindowsServer2003路由和远程访问中的一项新功能。在Windows2000路由和远程访问中