Tác động của remote access policy trên kết nối VPN (P.1)

A. DẪN NHẬP

Một phiên kết nối VPN có thể chia thành 03 giai đoạn:
- Giai đoạn 1. Authentication: Client kết nối public name (hoặc public IP address) của server, server chứng thực.
- Giai đoạn 2. Authorization: Server xét cấp quyền kết nối căn cứ 02 loại thông số: user dial-in properties và remote access policy.
- Giai đoạn 3. Truyền dữ liệu trên dường hầm (tunnel).

Trên lưu đồ: các node 1, 2 và 3 biểu thị remote access policy; các node A và D biểu thị thuộc tính dial-in của user account

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 984x578

Remote access policy gồm 03 thành phần:
- Thành phần 1. Conditions
- Thành phần 2. Permission
- Thành phần 3. Profile

Cả 03 thành phần này can thiệp vào quá trình cấp quyền kết nối, riêng thành phần 3 - Profile - còn có khả năng tác động đến phiên kết nối.

Để tác động đến quá trình kết nối, thông thường quản trị viên sẽ cấu hình trên thuộc tính dial-in của user account và (các) remote access policy. Bài lab này xin trình bày cách cấu hình remote access policy để cấp quyền kết nối bất chấp thuộc tính của user account và một vài tùy biến trên remote access policy để tác động đến phiên kết nối.

B. LAB

1. CHUẨN BỊ MÔI TRƯỜNG

Bài lab sử dụng 03 máy:
1. DC: Windows Server 2k3 SP1
2. ISA: Windows Server 2k3 SP1, Domain member server, ISA server 2k6 SP1
3. VPN Client: Windows XP SP2

Cấu hình IP

1. DC



2. ISA



3. VPN Client



Cấu hình file HOSTS trên VPN client và kiểm tra khả năng phân giải





Kiểm tra đường truyền: Stop Windows firewall trên Cient, Từ ISA thực thi lệnh ping đến địa chỉ IP của Client

2. TRIỂN KHAI KẾT NỐI VPN CƠ BẢN

2.1. Tại DC: Tạo user và cấp quyền
Tạo 2 user S1 và NV1



Cấp quyền cho user S1



Chú ý: không cấp quyền cho user NV1



2.3. Tại ISA: Cấu hình VPN server
Chú ý: Cấu hình bằng quyền domain administrator
Định dãy địa chỉ IP để cấp cho PPP adapter









Kích hoạt dịch vụ VPN và định số lượng VPN client





Kiểm tra group được cấp quyền kết nối: không tồn tại group nào





Tạo access rule cấp quyền truy cập từ VPN Clients đến Internal - Áp đặt cấu hình



Kiểm tra để bảo đảm dịch vụ remote access đang hoạt động



Quan sát console Routing Remote Access: có 03 Remote Access Policy



2.4. Tại VPN client: Tạo kết nối VPN 
Tạo kết nối "S1 to NhatNghe"













Copy kết nối "S1 to NhatNghe" để tạo kết nối "NV1 to NhatNghe"







2.5. Kết nối
Kích hoạt "S1 to NhatNghe" để kết nối bằng quyền S1



"S1 to NhatNghe" thành công



Kích hoạt "NV1 to NhatNghe" để kết nối bằng quyền NV1





"NV1 to NhatNghe" thất bại