Virtual Private Network - educheck

3 downloads 140 Views 2MB Size Report
Wählen Sie den Punkt “Routing und RAS konfigurieren und aktivieren” ... RAS- Richtlinien bestimmen Sie, wann welcher Benutzer sich per VPN einwählen darf.
Virtual Private Network Ver 1.0

Mag Georg Steingruber Veröffentlicht: April 2003 Installationsanleitung für den Einsatz der im Microsoft-BM:BWK Schoolagreement enthaltenen Serverprodukte

Abstract Dieses Dokument beschreibt die Einrichtung eines VPN Netzes, um Schülern und Lehrern die Möglichkeit zu bieten, alle Schulressourcen von zuhause aus zu nutzen. Eine VPN Verbindung stellt eine verschlüsselte Verbindung über das Internet in das Schulnetz her.

Inhalt Überblick über VPN........................................................ 3 Einrichten des VPN-Servers ............................................ 4 Installation von Routing and Remote Access Service ...................... 4 Einrichten des DHCP Relay Agents............................................... 9 Einrichten der Zugriffsrechte für VPN Benutzer............................ 11 Verändern bestehender Zugriffspolicies.......................................................16

ISA Server Virtual Private Networks: ......................................... 17 VPN Verbindungen zulassen ......................................................................17

VPN Verbindungen von zuhause herstellen .............. 20 VPN Clientverbindung verwenden.............................................. 23

Windows Server 2003: Virtual Private Network

2

Überblick über VPN Mit VPN können wir Schülern und Lehrern einen Zugang zu allen schulinternen Ressourcen (Fileserver, Printserver, Mailingserver,…) von zuhause aus übers Internet ermöglichen. Falls Lehrer oder Schüler von zuhause aus einen Internetzugang haben, wird über die VPN Verbindung ein verschlüsselter Tunnel über diese Internetverbindung erstellt, um direkt ins schulinterne Netzwerk zu gelangen.

Schüler oder Lehrer von zuhause

Schulnetzwerk

Voraussetzung ist das Einrichten des VPN Servers im Schulnetzwerk, der über eine extern gültige IP Adresse verfügen muss. Der VPN Server kann gleichzeitig auch der ISA Server sein (siehe Integration ISA Server - Virtual Private Networks))

Windows Server 2003: Virtual Private Network

3

Einrichten des VPN-Servers Der VPN Server muss über eine extern gültige IP Adresse verfügen

Installation von Routing and Remote Access Service •

Wählen Sie im Start Menü den Punkt „Verwaltung“ und danach „Routing und RAS“ aus

Windows Server 2003: Virtual Private Network

4

Mit der rechten Maustaste klicken Sie auf den Servernamen Wählen Sie den Punkt “Routing und RAS konfigurieren und aktivieren”



Ein Assistent hilft bei der Einrichtung des VPN Servers

Folgende Optionen stehen zur Verfügung: • •

RAS: erlaubt das Einwählen in das Windows Server 2003 Netzwerk NAT: erlaubt den Internet Zugang für Computer aus dem Intranet über eine einzige IP Adresse Windows Server 2003: Virtual Private Network

5

• • •

• •

• •

VPN und NAT: kombiniert die beiden ersten Optionen Sichere Verbindung zwischen zwei privaten Netzwerken: ermöglicht die Verbindung zweier Netzwerke (z.Bsp. 2 dislozierte Schulgebäude einer Schule) Benutzerdefinierte Konfiguration: erfordert die manuelle Einrichtung der Routerdienste

Im nächsten Dialog ist jene Netzwerkschnittstelle (=Netzwerkkarte) auszuwählen, die die Verbindung zum Internet darstellt Die Basisfirewall schützt vor unberechtigtem Zugang von der Seite des Internets

Falls Sie einen DHCP Server für Ihr Schulnetz verwenden, wählen Sie die Option "Automatisch" Am Ende der Konfiguration muss noch der DHCP Relay Agent konfiguriert Windows Server 2003: Virtual Private Network

6



werden (siehe unten) Falls Sie keinen DHCP Server verwenden, muss die zweite Option ausgewählt werden

Die folgenden beiden Schritte sind nur dann durchzuführen, falls kein DHCP Server verwendet wird und somit die zweite Option des vorigen Dialogs ausgewählt wurde

Durch Klicken auf den Button Neu können die Adressbereiche eingegeben werden.

Windows Server 2003: Virtual Private Network

7

Der Adressbereich muss aus dem Bereich der internen Netzwerkadressen kommen. Falls Ihr Intranet mit der IP Adressrange 192.168.100.x konfiguriert wurde, muss der VPN Adressbereich ebenso aus dem Bereich 192.168.100.x stammen.

Im Standardfall werden Sie im nächsten Dialog die erste Option wählen. Erklärung: Ein RADIUS (Remote Access Dial-In User Service) Server ermöglicht ein genaues Protokollieren von Anmeldezeit, Abmeldezeit sowie ein genaues Abrechnen der Einwahlzeiten. Windows 2003 stellt einen RADIUS Server unter der Bezeichnung Internet Authentication Server (IAS) zur Verfügung.

Zum Abschluss werden Sie über die getroffenen Einstellungen noch einmal informiert. Klicken Sie auf Finish Windows Server 2003: Virtual Private Network

8

Einrichten des DHCP Relay Agents Der DHCP Relay Agent muss dann eingerichtet werden, falls Sie die Option Automatisch im Dialog IP-Adressbereich ausgewählt haben und somit Ihren DHCP Server für die Zuweisung von IP Adressen für VPN Clients verwenden wollen. Der DHCP Relay Agent hat lediglich die Aufgabe DHCP Anforderungen zu akzeptieren und an den DHCP Server weiterzuleiten.

Sollte der DHCP Relay Agent unter IP Routing noch nicht aufscheinen, so • •

Klicken Sie mit der rechten Maus auf Allgemein und Wählen Sie Neues Routingprotokoll

Windows Server 2003: Virtual Private Network

9

• •

Wählen Sie DHCP Relay Agent Klicken Sie auf OK

• •

Nun scheint im Baum der DHCP Relay Agent auf Klicken Sie mit der rechten Maus auf DHCP Relay Agent und wählen Eigenschaften

Windows Server 2003: Virtual Private Network

10



Geben Sie im nächsten Dialog die Adresse Ihres DHCP Servers ein und klicken Sie auf Hinzufügen

Einrichten der Zugriffsrechte für VPN Benutzer Zum Schluss müssen wir noch die Zugriffsrechte für unsere User definieren. Mit den RAS-Richtlinien bestimmen Sie, wann welcher Benutzer sich per VPN einwählen darf. Um die RAS-Richtlinien verwenden zu können, muss das Active Directory im Native Mode ausgeführt werden.

Windows Server 2003: Virtual Private Network

11

• • •

Start - Verwaltung – Active Directory-Benutzer und -Computer Wählen Sie mit der rechten Maustaste den Domain Namen aus Eigenschaften auswählen

Falls Active Directory im Mixed Mode verwendet wird, erscheint im nächsten Dialog ein Button, mit dem das Active Directory in den Native Mode umgeschaltet werden kann.

Windows Server 2003: Virtual Private Network

12

• •

Klicken Sie mit der rechten Maustaste auf RAS Richtlinien Wählen Sie “Neue RAS Richtline”



Auch bei dieser Aufgabe hilft ein Assistent weiter

Im nächsten Schritt können Sie zwischen der Konfiguration von typischen und benutzerdefinierten Richtlinien auswählen. Unter „Benutzerdefinierter Richtlinie“ können spezielle Zugriffsrichtlinien definiert werden. In der Schule werden Sie mit den Standardzugriffsrichtlinien das Auslangen finden. •

Wählen Sie “Assistant verwenden’, um eine typische Richtlinie für ein Szenario einzurichten” Windows Server 2003: Virtual Private Network

13



Geben Sie Ihrer Richtlinie einen Namen



Im nächsten Dialog wählen Sie VPN aus



Um einer Gruppe von Benutzern den Zugriff zu ermöglichen, wählen Sie Gruppen und dann Hinzufügen

Windows Server 2003: Virtual Private Network

14



Im nächsten Dialog geben Sie den gewünschten Gruppennamen ein oder suchen den Gruppennamen über die Schaltfläche Erweitert



Im folgenden Dialog wählen Sie als Authentifizierungsmethode „Microsoftverschlüsselte Authentifizierung, Version 2 (MS-CHAPv2)“ aus

Windows Server 2003: Virtual Private Network

15



Im nächsten Dialog behalten Sie die Standardeinstellungen und klicken auf Weiter

Ab nun sollten die Mitglieder der Gruppe "RAS User" VPN Verbindungen ins Schulnetz herstellen können und somit alle Ressourcen, die ihnen auch in der Schule zur Verfügung stehen, von zuhause aus verwenden können.

Verändern bestehender Zugriffspolicies Um bestehende RAS Richtlinien zu verändern • •

Klicken Sie mit der rechten Maustaste auf die zu verändernde Richtlinie Wählen Sie Eigenschaften

Windows Server 2003: Virtual Private Network

16



Verwenden Sie die Buttons "Hinzufügen", "Bearbeiten" und "Entfernen" sowie "Profil bearbeiten" um die Einstellungen der Zugriffsrichtlinie zu verändern

ISA Server Virtual Private Networks: Falls Sie den ISA Server auf Ihrem VPN Server verwenden, muss ISA so konfiguriert werden, dass PPTP oder L2TP Pakete zugelassen werden. Um diese Paketfilter zu erstellen, gehen Sie wie folgt vor: VPN Verbindungen zulassen • Starten Sie ISA Verwaltung • Klicken Sie mit der rechten Maustaste auf Netzwerkkonfiguration • Wählen Sie aus dem Kontextmenü "VPN Clientverbindungen zulassen"

Windows Server 2003: Virtual Private Network

17



Der Assistent richtet die notwendigen Paketfilter für VPN ein.

Windows Server 2003: Virtual Private Network

18



Wählen Sie “Weiter”

• •

Wählen Sie “Fertig stellen” Der Assistent hat die folgenden Paketfilter erstellt:

Windows Server 2003: Virtual Private Network

19

VPN Verbindungen von zuhause herstellen Damit Schüler oder Lehrer von zuhause auf die Schulressourcen zugreifen können, müssen Sie zuerst eine Internetverbindung mit ihrem Provider herstellen. Client: Windows 2000 Starten von Start-Einstellungen-Netzwerk und DFÜ Verbindungen

Doppelklicken Sie auf Neue Verbindung herstellen

Windows Server 2003: Virtual Private Network

20

Klicken Sie auf Weiter

Wählen Sie Verbindung mit einem privaten Netzwerk über das Internet herstellen

Windows Server 2003: Virtual Private Network

21

Geben Sie die externe IP Adresse oder den DNS Namen Ihres VPN Servers ein

Wählen Sie nach Wunsch eine der beiden Optionen und klicken Sie auf Weiter

Windows Server 2003: Virtual Private Network

22

Falls Sie anderen Computern aus ihrem Heimnetzwerk eine Verbindung über die VPN Verbindung ermöglichen wollen, kreuzen Sie die Option „Gemeinsame Nutzung der Internetverbindung“ an

Geben Sie einen Namen für Ihre VPN Verbindung an Klicken Sie auf Fertigstellen Damit ist die VPN Clientverbindung eingerichtet

VPN Clientverbindung verwenden Stellen Sie von Ihrem Clientrechner zuhause eine Internetverbindung her Starten Sie Start-Einstellungen-Netzwerk und DFÜ Verbindungen

Windows Server 2003: Virtual Private Network

23

Doppelklicken Sie VPN Schule

Geben Sie Benutzername und Kennwort Ihrer Schuldomäne ein Klicken Sie auf Verbinden

Windows Server 2003: Virtual Private Network

24

Ab nun sind sie mit Ihrem HeimPC mit dem Schulnetz so verbunden als wären Sie direkt im Schulnetz.

Windows Server 2003: Virtual Private Network

25