PKI與遠端存取

Public key infrastructure(PKI)可幫助參與電子交易的每一方身份確認和驗證, 還有助於在電腦和託管在應用程式伺服器上對應的應用程式之間建立信任, 包括使用 PKI技術來保護網站和遠端存取, 數位憑證包含電子憑證的關鍵 PKI元件, 然後對用戶或電腦進行身份驗證, 當組織的員工從網際網路存取內部資源時, 須保護傳輸中的通信和資料不被未經授權的用戶攔截, 因此應該加密組織內部資源與使用網際網路的員工之間的通信, 另外應該對從網際網路連線的用戶及其電腦進行身份驗證

在組織中使用 PKI進行遠端存取時應考慮以下幾點:

。使用 PKI僅對資料和流量進行加密的情況下, 這僅將憑證安裝在遠端存取伺服器上, 用戶透過其帳號和密碼進行身份驗證

。除了加密之外還會使用 PKI來驗證用戶和他們的電腦, 這種情況下使用 PKI進行加密並向用戶和電腦發佈憑證

。憑證的三種類型:

--自我簽署憑證(self-signed certificates)由伺服器本身發佈, 預設僅受發佈的伺服器信任而不受組織中的其他電腦信任, 在中小型組織中使用自我簽署憑證透過安裝精靈設定的 DirectAccess, 其提供了簡單的設定w-studio.idv.tw

--私有CA(Private CA)發佈的憑證: 在想要管理自己的 PKI基礎架構並將 PKI用於多種目的(例如遠端存取、用戶端和伺服器身份驗證)的組織中, 可使用由私有CA發佈的憑證, 因為不需要購買大量憑證, 成本較低

--公用CA(Public CA)發佈的憑證: 在為需要被許多不同作業系統、電腦和設備信任的應用程式部署憑證的組織中使用由公用CA發佈的憑證, 在這些組織中不能使用私有CA, 因為預設只有網域電腦信任私有CA憑證, 未部署 PKI基礎架構或需要較少數量憑證的組織也使用公用CA

試作站台對站台(Site-to-Site)VPN - 4.利用NAT於用戶端上測試連線

1. 在 VPN Server2的路由及遠端存取(RRAS)上, 查看 IPv4的 NAT, 此時尚未設定

w-studio.idv.tw

2. 於用戶端查看網路設定(這邊我犯了個小錯誤, 網卡名稱應該設定 KHH-LAN來模擬在 KHH的不同位置不同網段, 結果測試完截圖了編輯時才發現, 不過還好後面連線沒問題)

試作站台對站台(Site-to-Site)VPN - 3.於VPN Server2上測試連線

1. 在 VPN Server2的路由及遠端存取(RRAS)中, 網路介面的遠端路由器按右鍵, 連線

2. 遠端路由器連線中w-studio.idv.tw

試作站台對站台(Site-to-Site)VPN - 2.設定VPN Server2

1. 開啟 VPN Server2伺服器管理員(已安裝遠端存取服務角色), 點擊畫面上旗標警示開始設定 VPN

2. 設定遠端存取, 選擇僅部署 VPNw-studio.idv.tw

試作站台對站台(Site-to-Site)VPN - 1.啟用站台對站台VPN

1. 開啟 VPN Server1的遠端存取管理主控台, 在右方工作項目中點擊啟用站台對站台 VPN

w-studio.idv.tw

2. 注意如果 Server只有安裝 VPN的話是沒有這個功能, 必須還有 DirectAccess才有這功能

為用戶端安裝連線管理員系統管理組件CMAK

連線管理員系統管理組件(Connection Manager Administration Kit, CMAK)是一種用戶端網路連線設定工具, 可讓使用者連接到 VPN伺服器保護的遠端網路, 這東西有點像是早期使用電話撥接網路時使用的撥接軟體, 不過是設定連線的設定檔安裝工具, 個人覺得有點多此一舉的感覺, 直接到網路連線設定會比較快

1. 於用戶端電腦開啟控制台, 點擊程式和功能w-studio.idv.tw

2. 在畫面中點擊左邊開啟或關閉 Windows功能

測試應用程式觸發(App-Triggered)VPN連線

應用程式觸發 VPN連線是讓應用程式開啟時能夠自動觸發 VPN連線, 而網域中的成員電腦不支援應用程式觸發 VPN, 並且此項功能會自動偵測是否在網際網路上, 如果偵測在內部網路的環境或是網域網路的環境下是不會自動觸發啟動w-studio.idv.tw

PowerShell中幾個設定應用程式觸發 VPN的指令:

Add-VpnConnectionTriggerApplication (啟用應用程式觸發 VPN)

Remove-VpnConnectionTriggerApplication (移除應用程式觸發 VPN)

Get-VpnConnectionTrigger (查看應用程式觸發 VPN)

Set-VpnConnection (設定 VPN連線內容)

Get-VpnConnection (查看 VPN連線內容)

1. 查看 VPN連線內容, 分割通道(SplitTunneling)是否啟用, 如果為 False則為未啟用, 可用指令 Set-VpnConnection -name [連線名稱] -AllUserConnection -SplitTunneling $true

2. 查看應用程式觸發 VPN, 此時未有任何應用程式觸發