internet验证服务使用指南

《internet验证服务使用指南》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、Internet验证服务使用指南　在虚拟专用网络（VPN）连接基础一文中我们提及过，对于VPN客户的身份验证、访问授权和记账，你可以选择两种不同的方式：Windows或RADIUS（远程身份验证拨入用户服务）。那么，它们之间有什么区别呢？它们的区别在于：·当使用Windows验证时，如果VPN服务器是独立服务器，则使用本地账户（SAM）来验证VPN客户，并通过本地配置来决定是否授权VPN客户的拨入；如果VPN服务器是域成员服务器，则使用活动目录数据库来验证VPN客户，并通过域用户拨入属性（所有属于此域的VPN服务器共享）或者VPN服务器的本地远程访问策略来决定是否

2、允许VPN客户的拨入。每个VPN服务器使用自己独立的配置或者共享域用户拨入属性的配置。·如果使用RADIUS进行身份验证，那么VPN服务器将VPN客户提交的身份验证信息发送至RADIUS服务器进行验证，由RADIUS服务器来决定是否授权VPN客户的访问。多个VPN服务器可以配置为使用一个RADIUS服务器，这是一种集中管理的身份验证、授权、记账方式。在Windows服务器中同样提供了RADIUS服务器组件，不过被称为Internet验证服务（IAS）。　RADIUS是一个客户端-服务器协议，它允许网络访问设备（通常为拨号服务器、VPN服务器或无线访问点等，作为RA

3、DIUS客户端）以RADIUS消息的形式将客户发送的身份验证凭据提交给RADIUS服务器，RADIUS服务器对RADIUS客户端转发的客户发送的身份验证凭据进行身份验证，并根据自己的远程访问策略来决定是否授权客户的访问，并将身份验证和授权结果通过RADIUS消息响应返回给RADIUS客户端，RADIUS客户端再根据RADIUS服务器返回的结果来允许或拒绝客户的访问。RADIUS客户端也向RADIUS服务器发送RADIUS记帐消息，从而RADIUS服务器可以对客户的网络访问活动进行记账记录。另外，RADIUS支持使用RADIUS代理，它可以将RADIUS客户端转发的

4、客户发送的身份验证凭据再转发至其他RADIUS服务器进行身份验证和授权。使用IAS服务具有以下好处：·一个IAS服务器可以配置为多个RADIUS客户端使用，从而实现客户网络访问的集中式身份验证、授权和记帐。·IAS服务器支持多种类型的网络访问，包括无线、身份验证的交换机、拨号和虚拟专用网(VPN)远程访问以及路由器对路由器连接等；同时IAS服务器可以扮演RADIUS代理角色，向其他IAS服务器转发身份验证和记帐消息。·如果IAS服务器属于域成员，则使用活动目录服务作为其用户数据库来对客户进行身份验证；如果IAS服务器不是域的成员，则IAS根据本地SAM数据库对客户

5、进行身份验证。因此，就算RADIUS客户端（如VPN服务器）不属于某个域，但是通过IAS服务器，它一样可以对域用户进行身份验证。RADIUS消息使用用户数据报（UDP）协议发送，其中标准的RADIUS身份验证消息使用UDP端口1812，RADIUS记帐消息使用UDP端口1813；不过有些RADIUS客户端使用UDP端口1645用于发送RADIUS身份验证消息，UDP端口1646用于发送RADIUS记帐消息。默认情况下，为了支持这两种RADIUS客户端，IAS服务器同时侦听这两对UDP端口。配置使用IAS服务的过程非常简单，你只需要进行以下配置：·配置IAS服务器识

6、别此RADIUS客户端；·在IAS服务器上创建授权客户拨入的远程访问策略；·配置RADIUS客户端使用此IAS服务器。在这篇文章中，我以最常见的配置VPN服务器使用IAS服务器进行身份验证、授权和记账为例，给大家演示一下。这篇文章中的试验网络环境如下图所示，Berlin是内部网络（10.1.1.0/24）中Winsvr.org域的DC，并且提供了IAS服务，域功能级为WindowsServer2003；Munich是内部网络连接到Internet的网关，并没有加入域。在此我将配置Munich使用Berlin的IAS服务，然后在Internet上的VPN客户Pert

7、h上拨入Munich上的VPN进行测试。各计算机的TCP/IP设置如下，在进行试验之前已经确认了网络连接工作正常：Munich（VPN/Firewall）：LANInterface：·IP：10.1.1.1/24·DG：None·DNS：10.1.1.8　InternetInterface：·IP：61.139.0.1/24·DG：61.139.0.1·DNS：None　Berlin（IAS/DC/DNS）：LANInterface：·IP：10.1.1.8/24·DG：10.1.1.1·DNS：10.1.1.8　Perth（VPNClient）：Internet

8、Inter