下一页 上一页 目录

4. 配置 VPN 客户端

4.1 配置 MS W'95 客户端

  1. 设置您的路由，使 Linux 防火墙成为您的默认网关
    1. 打开 控制面板/网络 或右键单击“网络邻居”，然后单击属性。
    2. 单击配置选项卡。
    3. 在已安装的网络组件列表中，双击“TCP/IP -> 您拥有的任何网卡”行。
    4. 单击网关选项卡。
    5. 输入您的 Linux 防火墙的本地网络 IP 地址。删除任何其他网关。
    6. 单击“确定”按钮。
  2. 测试伪装。例如，运行“telnet my.isp.mail.server smtp”，您应该看到邮件服务器的欢迎标语。
  3. 安装和配置 VPN 软件。对于 IPsec 软件，请遵循制造商的说明。对于 MS PPTP
    1. 打开 控制面板/网络 或右键单击“网络邻居”，然后单击属性。
    2. 单击配置选项卡。
    3. 单击“添加”按钮，然后双击“适配器”行。
    4. 选择“Microsoft”作为制造商，并添加“虚拟专用网络适配器”适配器。
    5. 出现提示时重新启动。
    6. 如果您需要使用强 (128 位) 加密，请从 MS 安全站点 http://mssecure.www.conxion.com/cgi-bin/ntitar.pl 下载强加密 DUN 1.3 更新并安装它，然后在出现提示时再次重新启动。
    7. 为您的 PPTP 服务器创建一个新的拨号电话簿条目。
    8. 选择 VPN 适配器作为要使用的设备，并输入 PPTP 服务器的互联网 IP 地址作为电话号码。
    9. 选择服务器类型选项卡，并选中压缩和加密复选框。
    10. 单击“TCP/IP 设置”按钮。
    11. 按照您的 PPTP 服务器管理员的指示，为您的客户端设置动态/静态 IP 地址信息。
    12. 如果您希望在 PPTP 连接建立时访问您的本地网络，请取消选中“在远程网络上使用默认网关”复选框。
    13. 再重启几次，只是习惯... :)

4.2 配置 MS W'98 客户端

  1. 设置您的路由，使 Linux 防火墙成为您的默认网关，并按照上述说明测试伪装。
  2. 安装和配置 VPN 软件。对于 IPsec 软件，请遵循制造商的说明。对于 MS PPTP
    1. 打开 控制面板/添加或删除程序 并单击 Windows 安装选项卡。
    2. 单击通讯选项并单击“详细信息”按钮。
    3. 确保选中“虚拟专用网络”选项。然后单击“确定”按钮。
    4. 出现提示时重新启动。
    5. 如果您需要使用强 (128 位) 加密，请从 MS 安全站点 http://mssecure.www.conxion.com/cgi-bin/ntitar.pl 下载强加密 VPN 安全更新并安装它，然后在出现提示时再次重新启动。
  3. 为您的 VPN 服务器创建并测试一个新的拨号电话簿条目，如上所述。

4.3 配置 MS W'ME 客户端

我还没有见过这种客户端。我预计该过程与 W'98 非常相似。如果有人做过这件事，请告诉我有什么不同之处？谢谢。

4.4 配置 MS NT 客户端

注意：本节可能不完整，因为自从我在 NT 系统上安装 PPTP 以来已经有一段时间了。

  1. 设置您的路由，使 Linux 防火墙成为您的默认网关
    1. 打开 控制面板/网络 或右键单击“网络邻居”，然后单击属性。
    2. 单击协议选项卡，然后双击“TCP/IP”行。
    3. 在“默认网关”框中输入您的 Linux 防火墙的本地网络 IP 地址。
    4. 单击“确定”按钮。
  2. 测试伪装。例如，运行“telnet my.isp.mail.server smtp”，您应该看到邮件服务器的欢迎标语。
  3. 安装和配置 VPN 软件。对于 IPsec 软件，请遵循制造商的说明。对于 MS PPTP
    1. 打开 控制面板/网络 或右键单击“网络邻居”，然后单击属性。
    2. 单击协议选项卡。
    3. 单击“添加”按钮，然后双击“点对点隧道协议”行。
    4. 当它询问虚拟专用网络的数量时，输入您可能与之通信的 PPTP 服务器的数量。
    5. 出现提示时重新启动。
    6. 如果您需要使用强 (128 位) 加密，请从 MS 安全站点 http://mssecure.www.conxion.com/cgi-bin/ntitar.pl 下载强加密 PPTP 更新并安装它，然后在出现提示时再次重新启动。
    7. 为您的 PPTP 服务器创建一个新的拨号电话簿条目。
    8. 选择 VPN 适配器作为要使用的设备，并输入 PPTP 服务器的互联网 IP 地址作为电话号码。
    9. 选择服务器类型选项卡，并选中压缩和加密复选框。
    10. 单击“TCP/IP 设置”按钮。
    11. 按照您的 PPTP 服务器管理员的指示，为您的客户端设置动态/静态 IP 地址信息。
    12. 如果您希望在 PPTP 连接建立时访问您的本地网络，请参阅 MS 知识库文章 Q143168 以获取注册表修复程序。（叹气。）
    13. 确保您重新应用最新的 Service Pack，以确保您的 RAS 和 PPTP 库是最新的，以获得安全性和性能增强。

4.5 配置网络到网络路由

尚未编写。

您真的应该看看 FreeS/WAN（Linux 的 IPsec），网址为 http://www.xs4all.nl/~freeswan/，而不是伪装。

4.6 伪装 Checkpoint SecuRemote-based VPN

在某些情况下，可以伪装基于 Checkpoint SecuRemote 的 VPN 流量。

首先，您必须配置 SecuRemote 防火墙以允许伪装会话。在 SecuRemote 防火墙上执行以下操作

  1. 运行 fwstop
  2. 编辑 $FWDIR/conf/objects.C，并在“:props (”行之后，添加或修改以下行以读取
    :userc_NAT (true) 
:userc_IKE_NAT (true)
  3. 运行 fwstart
  4. 重新安装您的安全策略。
  5. 通过检查 $FWDIR/conf/objects.C 和 $FWDIR/database/objects.C 来验证更改是否生效

如果您使用 IPsec 协议（Checkpoint 称为“IKE”），则无需执行任何其他特殊操作来伪装 VPN 流量。只需配置您的伪装网关以伪装 IPsec 流量，如上所述。

Checkpoint 的专有 FWZ 协议更复杂。FWZ 可以使用两种模式：封装模式和传输模式。在封装模式下，完整性检查是在整个 IP 数据包上完成的，就像 IPsec 的 AH 协议一样。更改 IP 地址会破坏此完整性保证，因此封装的 FWZ 隧道不能被伪装。

在传输模式下，只有数据包的数据部分被加密，IP 标头不会针对更改进行验证。在这种模式下，伪装应该可以使用上述修改。

封装或传输模式的配置在 FireWall-1 GUI 中完成。在防火墙的网络对象中，在 VPN 选项卡下，编辑 FWZ 属性。FWZ 属性中的第三个选项卡允许您设置封装模式。

您一次只能伪装一个客户端。

更多信息可以在以下网址找到

下一页 上一页 目录