UAG 作為微軟的一款的網(wǎng)關(guān)類產(chǎn)品，致力于提供內(nèi)部資源的發(fā)布和為外部用戶提供內(nèi)部訪問。在眾多的向內(nèi)部訪問的方式中，我們今天介紹一種 SSTP VPN。
SSTP （Secure Socket Tunneling Protocol ）VPN 可以讓 PPP 和 L2TP 的流量封裝在 SSL 3.0的通道中進行傳輸，這樣既保證了數(shù)據(jù)的安全性又可以使使用 TCP 的443端口通過大多數(shù)的防火墻。在復(fù)雜的網(wǎng)絡(luò)環(huán)境中，客戶端甚至可以使用 Web 代理來進行 SSTP VPN 的訪問。
配置 SSTP VPN，我們需要客戶端使用 Windows Vista 及之后的 Windows 版本。下面就通過例子來看一下 SSTP VPN 的配置過程：
UAG 服務(wù)器部分：
1. 在 UAG 控制臺中，首先建立一個 HTTPs 的 trunk（干道）。在本例中，這個 trunk 叫做 httpsportal2.iverxue.com，公網(wǎng)地址是1.1.1.4
2. 在上方的菜單點擊 Admin->Remote Network Access->SSL Network Tunneling (SSTP)
3. 選中 Enable remote client VPN access，并綁定到一個 trunk 上
4. 在 Protocol 頁上，勾選 SSTP
5. 在 IP Address Assignment 頁面上，我們?yōu)?VPN 客戶端創(chuàng)建一個地址池，讓 UAG 來分配。并在 advanced 選項中分派內(nèi)部的 DNS 服務(wù)器。
注意: 這個地址池不能和內(nèi)網(wǎng)地址重復(fù)。假設(shè)我們內(nèi)網(wǎng)的網(wǎng)段是192.168.9.0/24，在 UAG 上我們可以定義192.168.10.X這樣的地址段。在內(nèi)部路由方面，請保證內(nèi)部的服務(wù)器要到達192.168.10.X的這個網(wǎng)段，必須通過 UAG 的內(nèi)網(wǎng)卡。
6. 登錄域控制器，檢測需要登錄的 VPN 用戶需要被允許被撥入：
7. 配置完成后請點擊 UAG 的 Activate Configuration 并等待配置同步。
客戶端部分，以 Windows 7 客戶端為例：
1. 在 Windows 7 的客戶端上我們必須先安裝在 UAG trunk 上綁定證書的根證書。通過打開 MMC 后添加本機器的 certificate 控制臺可以進行操作。根證書需要被導(dǎo)入到 Trusted Root Certification Authorities:
2. 然后去控制面板的 Network and Sharing Center 中建立一個新的 VPN 連接。（Set up a new connection or network->Connect to a workplace->Use my Internet Connection(VPN)）
3. 在 Internet Address 中請輸入 Trunk 的名字
4. 根據(jù)向?qū)瓿珊螅覀儠吹揭粋€ SSTP 的網(wǎng)卡，請右擊選擇屬性。在 Security 頁中，選擇 Secure Socket Tunneling Protocol（SSTP）的 VPN 類型。
5. 然后就可以嘗試連接了，撥通后，我們可以通過 ipconfig 命令看到一個新的 PPP 適配器的地址：
您是不是覺得讓終端用戶配置這些VPN會很復(fù)雜，那么會不會有什么更好的方法呢？
當(dāng)然可以，我們來看看在以上配置的基礎(chǔ)上我們還能怎樣方便用戶呢。
讓我們回到 UAG 服務(wù)器：
1. 在 Trunk 上建立一個新的 application
2. Application 的類型是 Remote Network Access
3. 根據(jù)默認(rèn)配置，完成該向?qū)б院螅覀兛梢钥吹皆?Remote Network Access 型的 Application 已經(jīng)被建立成功了。請激活 UAG 配置。
回到客戶端， 這時候登錄HTTPs的Portal。
點擊這個Application后，我們可以看到右下角的圖標(biāo)會連通這個VPN：
現(xiàn)在請再去測試下是否可以訪問內(nèi)網(wǎng)的資源了呢？
希望這篇博文能方便您和您的用戶。
微軟安全專家
薛瑋（Iverson Xue）
更多文章、技術(shù)交流、商務(wù)合作、聯(lián)系博主
微信掃碼或搜索：z360901061
微信掃一掃加我為好友
QQ號聯(lián)系： 360901061
您的支持是博主寫作最大的動力，如果您喜歡我的文章，感覺我的文章對您有幫助，請用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧，狠狠點擊下面給點支持吧，站長非常感激您！手機微信長按不能支付解決辦法：請將微信支付二維碼保存到相冊，切換到微信，然后點擊微信右上角掃一掃功能，選擇支付二維碼完成支付。
【本文對您有幫助就好】元
