isa服务器之域内vpn用户在外网通过ca验证连接域内vpn服务器

《isa服务器之域内vpn用户在外网通过ca验证连接域内vpn服务器》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、ISA服务器之域内VPN用户在外网通过CA验证连接域内VPN服务器　　一般情况下VPN用户在连接VPN服务器是是要输入密码的，如果这样的话，那么在一些公共场合输入密码的时候很有可能造成密码的泄露，从而造成不必要的损失。口令验证协议虽然硬件上的要求没有质询握手协议那么高，但是，在安全性上面，其跟质询握手协议还是有一段距离。具体要采用哪一种身份验证协议，用户要根据自己的安全级别进行判断。今天我做的这个实验是：VPN用户在外网连接VPN服务器来访问域内的资源时，不需要输入密码，而是通过CA服务器验证VPN用户的身

2、份。　　实验环境：beijing内网的域控制器、DNS服务器、CA服务器、Radius服务器、IP为10.1.1.1.shanghai为ISA服务器、VPN服务器内网网卡的IP为10.1.1.254、外网网卡192.168.0.199，TIANJIN为外网的客户机，IP为192.168.0.123.注意：shanghai处于工作组环境中　　既然CA验证那么肯定是要在证书的支持下，实现CA加密连接，首先要安装证书，证书安装在域控制器上。怎么安装证书呢？　　一、安装CA证书服务器　　首先点开始设置控制面板添加删

3、除程序添加或删除dash;证书服务。出现下面对话框点下一步　　我们颁发一个企业根证书　　写入证书的公司名称。我们定义为ITET　　点击下一步后，向导提示要安装这书必须暂停INTERBET服务，我们选择是　　证书安装一半的时候，向导又提示开启ASP，我们还是选择是　　Ok！证书安装完成　　完成后我们打开IIS默认网站把默认网站启动起来　　接下来在开始菜单的运行命令，在运行中输入cmd，然后在里面输入gpupdate/force命令来刷新一下组策略。目的是让申请的证书能够立即的生效。注意：在所有的计算机上都刷新

4、一下组策略，让安装的证书立即生效，同时让所有的计算机都信任这个证书。　　组策略刷新完成后，右击域控制器上的IE属性，然后切换到内容选项，接着点击证书　　然后在点击受信任的根证书办法机构我们就可以看见刚才在域控制器上安装的证书了。注意：只要是要让所有的计算机都可以在IE属性中看见域控制器中安装的证书，必须让实验环境下所有的计算机信任这个证书，才能进行下一步，免得到最后的时候出现问题。123456下一页....，。　　二、安装并配置Radius远程访问策略　　我们在beijing上安装一个Radius服务器，R

5、adius服务器用来验证EAP协议用户请求的。　　在beijing上打开开始-----设置-------管理面板------添加删除应用程序------添加删除ainUsers组添加进来。让ISATEST.域中的Domainusers有组远程访问权限　　勾选使用EAP协议，类型选择智能卡或其他证书，然后点击配置按钮。上一页123456下一页....，。　　选择使用刚才申请的beijing.isatest.证书来证明自己的身份　　这是远程访问策略支持的加密级别。选择默认的即可　　点击完成完成新建的远程访问策略

6、　　三、配置ISA服务器　　在ISA服务器选择管理器展开到虚拟专用网络，在右侧的任务面板中点击配置地址分配方法　　图片看不清楚？请点击这里查看原图（大图）。　　接着选择可扩展的身份验证协议（EAP），使用智能卡或其他证书。　　四、为域内的VPN用户zhangsan申请证书　　我们在域控制器上创建了一个叫zhangsan的用户，下面我们为张三申请一个用户证书。在域控制器上以zhangsan的身份登陆到ISATEST.域中　　在beijing的浏览器中输入[url]beijing/certsrv[/url]，如

7、下图所示，选择申请一个证书。　　图片看不清楚？请点击这里查看原图（大图）。　　选择高级证书　　图片看不清楚？请点击这里查看原图（大图）。　　创建并向CA提交一个申请　　图片看不清楚？请点击这里查看原图（大图）。　　证书模板选择用户注意:将证书保存在本地的计算机存储中，因为验证证书的时候是在本地计算机的存储中查看。点击提交会弹出一个对话框，选择是继续　　点击是安装此证书　　Ok！证书安装完成上一页123456下一页....，。　　五、把zhangsan用户的证书导出到本地计算机中　　在beijing上打开开始

8、运行输入mmc打开控制台　　点击左下角的添加　　选择计算机帐户，点击下一步　　本地计算机　　右击zhangsan，选择所有任务导出　　图片看不清楚？请点击这里查看原图（大图）。　　下一步　　连同私钥一起导出　　选择默认点击下一步　　输入一个共享密钥　　指定输出的文件名。我们把它导出到c盘的根目录下，名字叫身份验证　　OK！zhangsan用户的证书导出成功　　六、导入用户证书　　上一步我们把zhangsan的证书