配置Win2008作为远程访问SSL-VPN服务器之一

核心提示： 三、SSTP的执行过程上面简要介绍了SSTP协议的优势以及PPTP等之前两种协议的不足，下面就来说下XP WITH SP3 或是VISTA WITH SP1等客户端是如何连接到WINDOWS 2008 SSL（SSTP）VPN服务器的：1、SSTP VPN客户端以随机的TCP端口建立TCP连接至

三、SSTP的执行过程

上面简要介绍了SSTP协议的优势以及PPTP等之前两种协议的不足，下面就来说下XP WITH SP3 或是VISTA WITH SP1等客户端是如何连接到WINDOWS 2008 SSL（SSTP）VPN服务器的：

1、SSTP VPN客户端以随机的TCP端口建立TCP连接至SSTP VPN服务器（常常是SSTP VPN 网关服务器）上的TCP 443端口。

2、SSTP VPN客户端发送一个SSL “Client-Hello”消息给SSTP VPN服务器，表明想与此建立一个SSL会话。

3、SSTP VPN服务器发送“其机器证书”至SSTP VPN客户端。

4、SSTP VPN客户端验证机器证书，决定SSL会话的加密方法，并产生一个以SSTP VPN服务器公钥加密的SSL会话密钥，然后发送给SSTP VPN服务器。

5、SSTP VPN服务器使用此机器证书私钥来解密收到的加密的SSL会话，之后两者之间所有的通讯都以协商的加密方法和SSL 会话密钥进行加密。

6、SSTP VPN客户端发送一个基于SSL的HTTP（HTTPS）请求至SSTP VPN服务器。

7、SSTP VPN客户端与SSTP VPN服务器协商SSTP隧道。

8、SSTP VPN客户端与SSTP VPN服务器协商包含“使用PPP验证方法验（或EAP验证方法）证使用者证书以及进行IPV4或IPV6通讯”的PPP连接。

9、SSTP VPN客户端开始发送基于PPP连接的IPV4或IPV6通讯流量（数据）。

四、SSTP VPN服务器环境搭建及说明

测试环境较为简单，三台机器完成全部操作，其中两台是WINDOWS SERVER 2008企业版，一台是带有SP1的VISTA。注意，这其中会涉及到公有DNS解析问题，在本试验中，以HOSTS文件中写入相关信息代替。网络拓朴及详细说明如下：

1、图中WIN2K8 DC是一台windows 2008 域制器，名为win2k8dc.contoso.com。

充当DC、CA（企业根）、FILE SERVER角色。

IP Add：10.0.0.2/24

Gw：10.0.0.1

DNS：10.0.0.2

2、图中RRAS是一台windows 2008服务器，域成员，充当RRAS 、IIS服务器。两块网卡。

NEI 网卡IP Add：10.0.0.1/24

DNS：10.0.0.2

WAI网卡IP Add：166.111.8.2/24

DNS：10.0.0.2（真实环境中这块网卡是有网关和公有DNS的）

3、图中VISTA是一台带有SP1的VISTA手脑电脑，位于INTERNET上的任一位置。

IP Add：166.111.8.1/24

整个网络拓朴中的机器角色是通过HYPER-V上安装虚拟机器完成。实际生产环境中请按角色归位。

整个实验执行流程如下：

A、在WIN2K8 DC升级域控，安装CA角色（企业根）

B、在RRAS这台机器上安装RRAS（VPN,NAT）、IIS角色，并能发布位于DC上的CA URL。同时为本机申请证书。

C、在VISTA机器上，建立SSLVPN连线至VPN服务器。（在此机器上写HOSTS文件相关DNS域名解析结果）

接下来，会分几个章节来完成此实验的写作>>>>>>>>>>>>>>>

系列文章：

配置Win2008作为远程访问SSL-VPN服务器之二

配置Win2008作为远程访问SSL-VPN服务器之三