設置遠程訪問服務

設置路由及遠程訪問服務

接下來我們安裝有關IKEv2 VPN服務器，相關必要的服務器角色與設置，這部分操作可以通過登錄時自動開啟的“初始化設置工作”界面來進行。想要手動開啟“初始化設置工作”界面，只要在“開始”菜單的搜尋字段中輸入oobe即可。成功開啟界面之后，在此頁面中單擊“新增角色”繼續。

注意：關于服務器角色的新增方法，也可以選擇從“服務器管理員”界面中的“角色”節點頁面中來完成。

在“選取服務器角色”頁面中，請將“網絡策略與訪問服務”角色勾選并且單擊“下一步”繼續。在“選取角色服務”頁面中，分別勾選“網絡策略服務器”以及“路由及遠程訪問服務”，單擊“下一步”。最后，在“確認”頁面中，一旦確認正確選取了所需安裝的角色服務之后，單擊“安裝”即可。成功完成安裝“網絡策略與訪問服務”角色之后，單擊“關閉”按鈕。

接著，在“系統管理工具”頁面中，單擊開啟“路由及遠程訪問”項目繼續。在“路由及遠程訪問界面”中，在默認狀態下是尚未進行任何設置與啟動的，因此必須在服務器節點上點擊鼠標右鍵，單擊“設置和啟用路由及遠程訪問”繼續，將會開啟“路由及遠程訪問服務器安裝向導”。首先，在“設置”頁面中選取“遠程訪問（撥號或VPN）”項目，單擊“下一步”。在“遠程訪問”頁面中，勾選“VPN”項目，并單擊“下一步”。

注意：關于“撥號”選項是早期通過調制解調器（Modem）的遠程連接訪問方式，雖然有著另一個層面的安全性優點，但傳輸速度慢以及用戶移動計算機必須通過電話線路連接才能使用，如今幾乎沒有公司在使用了。

在“VPN連接”頁面中，必須選取此服務器上負責連接網際網絡的網絡界面，在此由于筆者預先已經修改了內外網卡的顯示名稱，因此便顯得較容易識別與選擇。此外，在這里還必須將“設置靜態封包篩選器來啟用選擇界面的安全性”項目勾選。單擊“下一步”。

在“IP地址指派”頁面中，您可以選擇要采用“自動”還是“從選定范圍的地址”來指派IP地址給遠程連接成功的客戶端，如果選擇前者，在內部域中必須要有DHCP服務器。至于后者，則可以自行選定IP地址范圍來分派，不過不能與DHCP所設置的范圍沖突。在此我們選擇“自動”。單擊“下一步”繼續。

在“正在管理多個遠程訪問服務器”頁面中，選取“否，使用路由及遠程訪問來驗證連接要求”項目，主要原因是在我們的網絡環境中，并沒有預先準備好另一部專屬的Radius服務器來處理身份驗證，因此，直接采用本地服務器來驗證遠程用戶身分即可。單擊“下一步”繼續。最后，便可以看到前面的設置摘要。確認無誤之后，請單擊“完成”即可。

圖1 網絡連接設置

完成基本VPN服務的啟用與設置之后，可能會出現遠程訪問警告信息，其主要目的在于告知我們VPN網絡的連接檢查，可以選擇通過本機的“路由及遠程訪問服務策略”或是內部域中另一部專屬的“網絡策略服務器（NPS）”來負責這項工作，為了簡化架構設計，我們將會選擇前者。單擊“下一步”繼續。

設置網絡安全策略

在“遠程訪問記錄與策略”節點上，點擊鼠標右鍵，單擊“啟動NPS”。接著，將會開啟本地網絡策略服務器設置界面，請在最上層節點的頁面中單擊“網絡訪問策略”。在“網絡策略”頁面中，默認會有兩個設置為拒絕訪問的策略項目，連續單擊開啟“Connections to Microsoft Routing and Remote Access server”項目。首先，在“概述”頁面中將訪問權限部分設置為“授與訪問權”，然后單擊至“限制”頁面中繼續。在“限制”頁面中，針對“驗證方法”中的設置惟一保留“Microsoft Secured password（EAPMSCHAPv2）”項目，然后移除“Microsoft智能卡或其他證書”項目。單擊“確定”完成設置。

客戶端設置與連接測試

終于完成了整個IKEv2的VPN服務器證書與服務的設置，接下來便可以來到預先準備好的遠程Windows 7客戶端計算機，來進行相關的VPN連接設置與訪問測試了。首先從“控制面板”頁面中“網絡和共享中心”，開啟之后單擊位于“變更網絡設置”區域中的“設置新的連接或網絡”連接繼續。

在“選擇連接選項”頁面中，選取“連接到工作地點”項，單擊“下一步”。在“您要如何連接”頁面中，單擊“使用我的網際網絡連接VPN”。輸入所要連接的VPN服務器網際網絡FQDN地址，然后輸入自定義的目的地識別名稱以及將“不要立即連接；先設置好，我稍后再連接”項目勾選，單擊“下一步”。輸入已允許連接VPN網絡的用戶賬號、密碼以及域名稱，如圖1所示，在完成了VPN網絡連接的建立之后，請在該圖1上點擊鼠標右鍵，選擇“屬性”繼續。

開啟了VPN網絡的屬性之后，請在“安全性”頁面中，將VPN類型變更為“IKEv2”，然 后 確 認 在“驗證”區域中已經將“使用可延伸的驗證通訊協議（EAP）”設 置 為“Microsoft Secured password（EAPMSCHAPv2）”。單擊“進階設置”按鈕繼續。在“進階屬性”的頁面中，可以決定當發生與IKEv2的VPN網絡連接中斷時，所允許的網絡中斷時間（默認=30分鐘）。連續單擊兩次“確定”完成設置。

圖2 連接狀態檢視

接下來，我們便可以開啟所完成建立與設置的VPN網絡連接，在此的用戶賬戶、密碼以及域名稱，由于都已經預先設置好，因此，請直接單擊“連接”即可。成功連接登錄VPN網絡之后，便可以嘗試訪問內部的服務器資源。在這個測試環境中，在搜尋字段中，輸入內部共享文檔夾的UNC路徑來開啟連接。當成功連接后，將可以看到預先儲存在內部網絡共享文檔夾中的檔案。

而對于目前所連接的VPN網絡詳細信息，您可以在連接階段中開啟此VPN網絡的狀態，然后在“詳細數據”中查看即可（如圖2），其中，最重要的是可以看到目前所使用的設備名稱是“WAN Miniport（IKEv2）”，以 及“Mobile Supported”功能目前是支持的。

最后，建議您可以通過多網絡環境下，選擇停用目前運作中的區域連接，然后再啟用原本已經設置為停用的區域網絡（或WiFi網絡、移動網絡等都可以），來測試看看當Internet的連接再度恢復時，IKEv2的移動性特色是否已成功發揮。

結論

時代的不斷發展，讓信息技術也得跟著附和人們的需求。從本文的VPN Reconnect技術部署中，讓我們深知今日企業的移動工作者是越來越多，想要滿足這一類工作者的需求，最重要的就是要達到高便利性、高流暢性以及高安全性三大基本需求，就像如今人手一個的iPhone與Android智能型手機一樣。這項VPN移動連接技術，也支持了最新Windows 10客戶端的使用，而且可以讓連接的網絡傳輸速度更快更穩。