使用radius来认证vpn用户图文教程

《使用radius来认证vpn用户图文教程》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、使用RADIUS来认证VPN用户译自ThomasWShinderM.D.，UsingRADIUSAuthenticationwiththeISAFirewallVPNServer(2004)，有改动　　前言：在这篇文章中，介绍了如何配置ISAServer的VPN服务使用RADIUS身份验证。主要步骤为配置RADIUS服务器（Windows下的IAS服务、配置用户账户的拨入权限、配置ISAServer的VPN服务。　　和ISAServer2000一样，ISA防火墙（ISAServer2004）支持使用RADIUS来认证VPN客户。在ISA防火墙不是内部域的成员时

2、，使用RADIUS认证非常有用。　　当非域成员的ISA防火墙使用RADIUS来认证VPN客户时，ISA防火墙将用户的身份验证信息转送到背部的RADIUS服务器上。微软的RADIUS服务器称为InternetAuthenticationServer(IAS)。RADIUS服务器将用户身份信息转送到一个认证服务器上，在域环境中，这个认证服务器是活动目录的域控制器。认证服务器响应RADIUS服务器的身份验证请求，然后RADIUS服务器响应ISA防火墙。如果用户提交的身份验证信息有效并且用户具有拨入权限，那么允许该客户的VPN连接；如果身份验证信息无效或者用户没有拨入

3、权限，那么连接将被拒绝。　　如果ISA防火墙配置为使用RADIUS认证，那么它成为一个RADIUS客户端。ISA防火墙必须配置使用一个或多个RADIUS服务器，并且RADIUS服务器必须配置为和ISA防火墙这个RADIUS客户进行通信。所以，为了让RADIUS正常工作，必须配置RADIUS服务器和ISA防火墙。　　在这篇文章中，我们试验的网络拓朴结构如下图所示：　　注意，在此例中，域控制器就是一个RADIUS服务器，你可以把它放在域中的其他机器上。域控同时还作为DHCP服务器、DNS服务器、WINS服务器和证书服务器，我们将使用除了证书服务器外的其他服务。　　

4、我们的试验步骤如下：　　配置RADIUS服务器；　　配置用户账户的拨入权限；　　启用和配置ISA防火墙的VPN服务；　　配置防火墙策略来控制VPN客户的访问；　　建立VPN远程访问连接；配置RADIUS服务器　　IAS可以通过添加/删除Windows组件来安装。在你安装RADIUS服务器之后，可以立即启动它，不需要重启计算机。我们需要做两件事：配置RADIUS服务器识别ISA防火墙为RADIUS客户和为VPN客户建立远程访问策略。　　执行以下步骤来配置RADIUS服务器识别ISA防火墙为RADIUS客户：　　在IAS服务器，点击开始，指向管理工具，然后点击In

5、ternet验证服务；　　在Internet验证服务控制台，右击RADIUS客户，然后点击新建RADIUS客户；　　在名字和地址页，为ISA防火墙输入一个名字，在此我们命名为ISAFirewall，在客户地址（IP或者DNS）文本框内输入ISA防火墙内部接口的IP地址，点击“下一步”；　　在附加信息页，确认客户-销售商选项设置为标准RADIUS。在共享密钥文本框内输入一个密码，然后在确认共享密钥文本框内再次输入进行确认。然后勾选请求必须包含消息验证者属性，点击完成；　　下一步是建立应用到VPN客户的远程访问策略。我们在此例中使用默认的VPN客户远程访问策略；执

6、行以下步骤：　　在Internet验证服务控制台，右击远程访问策略，点击新建远程访问策略；　　在欢迎使用新建远程访问策略向导页，点击下一步；在策略配置方式页，选择使用向导为通用环境建立典型的策略选项，在策略名字文本框中输入一个名字，在此我们命名为VPNClients，点击下一步；　　在访问方式页，选择VPN　　选项，然后点击Next；　　在访问的组或者用户页，选择组，然后点击添加；在选择组对话框，在输入选择的对象名文本框中输入DomainUsers，然后点击检查名称，然后点击确定，然后点击下一步；　　保留MicrosoftEncryptedAuthentica

7、tionversion2(MS-CHAPv2)的选择；你可以选择其他的认证方式，点击下一步；　　在策略加密级别页，选择适合于你的VPN客户的选项。因为我们使用的是WindowsXP和Windows2000，所以，我们去掉Basicencryption和Strongencryption的勾选，点击下一步；　　在完成新建远程访问策略向导页点击完成；配置用户账户的拨入权限　　下一步是启用用户账户的拨入权限。如果你的活动目录域是本地模式或者是WindowsServer2003域，那么你不需要执行这步，因为用户的拨入权限默认就是通过远程访问策略来控制的。在混合域模式中，

8、每个用户都必须单独的允许拨入权限，在这