Windows2003下VPN服务器架设

1.1 概述
    VPN的全称是Virtual Private Network，翻译过来一般称为虚拟专用网络。其主要作用就是利用公用网络（主要是互联网）将多个私有网络或网络节点连接起来。通过公用网络进行连接可以大大降低通信的成本。
    一般来说两台连接上互联网的计算机只要知道对方的IP地址，是可以直接同通信的。不过位于这两台计算机之后的网络是不能直接互联的，原因是这些私有的网络和公用网络使用了不同的地址空间或协议，即私有网络和公用网络之间是不兼容的。VPN的原理就是在这两台直接和公用连接的计算机之间建立一个条专用通道。连个私有网络之间的通信内容经过这两台计算机或设备打包通过公用网络的专用通道进行传输，然后在对端解包，还原成私有网络的通信内容转发到私有网络中。这样对于两个私有网络来说公用网络就像普通的通信电缆，而接在公用网络上的两台计算机或设备则相当于两个特殊的线路接头。
    由于VPN连接的特点，私有网络的通信内容会在公用网络上传输，出于安全和效率的考虑一般通信内容需要加密或压缩。而通信过程的打包和解包工作则必须通过一个双方协商好的协议进行，这样在两个私有网络之间建立VPN通道是需要一个专门的过程，依赖于一系列不同的协议。这些设备和相关的设备和协议组成了一个VPN系统。一个完整的VPN系统一般包括以下几个单元：

字串9

1.2 应用情景
    我们可以设想一下的情景：公司的总部在广州，有两个办事处分别在香港和上海，两个办事处的网络需要和总部连接，同时办事处之间也需要相互连接。解决这种问题以前只有一种办法就是分别申请两条专线连接总部和两个办事处，两个办事处之前的通信通过总部转发。长途专线的费用是非常昂贵的，在以前也只有银行、证券公司以及大象企业才有能力负担。
    有了互联网和VPN技术之后解决办法可以变成这样，总部通过一条专线和互联网连接，两个办事处分别在本地申请互联网的拨号连接。然后通过在互联网上建立两条VPN通道将三个网络连接起来。这样可以省去长途专线费用。不过互联网的专线连接也不便宜，这种解决方案暂时也只有大中型公司可以负担得起。 字串7

二、 规划VPN接入环境

    VPN不但可以用于上述网络对网络的连接，也可以用于单台计算机到网络的连接。在使用VPN的时候我们需要规划一下我们应用环境。
    首先我们需要列出需要连接的节点以及节点的类型，以及之间的访问关系，即由谁发起连接和向谁发起连接的问题。这样我们可以确认在我们环境中确定哪些地方需要安装VPN服务器，哪些地方仅仅是配置客户端就可以了。
    对于需要安装VPN服务器的地方我们需要一条比较高速的互联网线路，一个固定的IP地址，或者使用花生壳配置一个固定的域名。
    下面的介绍时基于微软间操作系统进行的。微软的操作系统中提供VPN服务器功能的有Window 2000 Server和Advance Server，以及比较久的NT Server 4.0，当然这些操作系统也可以作为VPN的客户端。其他的则全部都可以作为VPN客户端。（Window95必须安装Dialup Network 1.3组件）。
    确定了服务器和客户端之后，我们还需要规划个节点的IP地址。每个私有网络必须使用不同的地址段，在各自的地址段中必须划分出一部分用于VPN的接入。
以下的介绍我们都是围绕着Window2000的配置进行的。 字串9

三、 配置VPN接入服务器 字串5

3.1 安装花生壳

    只有VPN服务器才需要安装花生壳服务，在规划环境的时候必须为每台VPN服务器申请一个网域护照。这样每台服务器就会有一个不同的域名。在客户端拨号的时候可以通过域名控制连接不同的网络。
    一般建议花生壳直接安装在VPN服务器上，并配置为自动启动。这样只要服务器在线域名一定有效。当然如果VPN服务器也提供互联网共享的话也可以将花生壳安装在内部网络的任何一台计算机上，不过必须保证这台计算机不会在服务器在线的时候关机，以免域名失效。

3.2 网络连接准备

    作为VPN服务器实际上就是一台路由器，一般需要安装两块或以上的网卡，其中一块网卡负责和互联网连接。另一块网卡则连接内部网络。在进行下面的配置之前首先必须检测服务器和互联网的连接是否正常。
    另外很重要的一点就是必须保证服务器和互联网连接的网卡获得的是一个公网地址，即接入的ISP不是使用地址转换技术。检测的办法如下：
    在命令行输入ipconfig，检查和互联网连接的网卡的IP地址，如果其地址在下列范围之一则不是公网地址，ISP使用了地址转换技术提供接入服务。这样就必须更换ISP。