Bạn có thể sử dụng trình bổ sung định tuyến và máy chủ truy cập từ xa (RRAS) cho Microsoft Windows NT để tạo kết nối mạng riêng ảo (VPN) trên Internet. Kết nối VPN sử dụng giao thức điểm tới điểm đường hầm giao thức (PPTP) được mã hoá giao tiếp trên Internet.
Máy chủ Proxy Microsoft là một chương trình mạng không yêu cầu định tuyến. Hoạt động, điều này có nghĩa là mỗi gói được chuyển đến hoặc từ máy chủ proxy nguồn hoặc mệnh với địa chỉ IP của máy chủ proxy.
Vì lý do bảo mật, máy chủ Proxy in tài liệu khuyến cáo tắt chuyển tiếp IP trên máy chủ Proxy được cài đặt trên đó. Tuy nhiên, khi bạn cài đặt định tuyến và truy nhập từ xa Cập Nhật trên máy chủ đang chạy Microsoft máy chủ Proxy, IP chuyển tiếp bây giờ bật. Với IP chuyển nhập, máy tính đang chạy Windows NT Server có thể gửi gói một cách chính xác kết nối Internet mạng nội bộ. Nếu chuyển tiếp IP được bật trên máy chủ proxy, tất cả các tính năng bảo mật có thể được bỏ qua nếu máy chủ cục bộ lọc được cấu hình. Tuy nhiên, PPTP khách (máy chủ Proxy Microsoft) có thể thực hiện cuộc gọi Internet vì nó thực hiện kết nối trực tiếp với Internet và nguồn nối PPTP. Bất kỳ ứng dụng khách proxy sau máy chủ proxy có thể sử dụng phiên PPTP đã được thiết lập. Điều này là do sau khi kết nối PPTP lên, máy chủ Proxy xử lý kết nối PPTP như một giao diện mạng.
Đối với máy chủ Proxy Microsoft hoặc bất kỳ dịch vụ nào khác của ứng dụng, hoạt động an toàn với dịch vụ truy cập từ xa và định tuyến bạn phải cấu hình đầu vào và đầu ra bộ lọc lưu lượng truy cập máy chủ địa phương. Các bộ lọc được cấu hình bằng cách sử dụng công cụ quản trị viên truy cập từ xa và định tuyến.
Trước khi bất kỳ bộ lọc nào bạn thiết lập sẽ làm việc, bạn phải kích hoạt gói lọc trên một mức độ toàn cầu.
Toàn cầu kích hoạt tính năng lọc gói, hãy làm theo các bước sau:
Trước khi bất kỳ bộ lọc nào bạn thiết lập sẽ làm việc, bạn phải kích hoạt gói lọc trên một mức độ toàn cầu.
Toàn cầu kích hoạt tính năng lọc gói, hãy làm theo các bước sau:
- Trong thư mục IP định tuyến, bấm chuột phải vào tóm tắt, và sau đó bấm cấu hình IP tham số.
- Trên tab chung , bấm để chọn hộp kiểm cho phép lọc gói .
Lưu ý: Nếu máy chủ Proxy lọc gói được bật, lọc định PPTP nhận và PPTP gọi phải được kích hoạt.
Để biết thêm thông tin về cách kích hoạt PPTP nhận và PPTP gọi định gói bộ lọc, bấm vào số bài viết sau để xem bài viết trong cơ sở kiến thức Microsoft:
259605 Làm thế nào để kích hoạt gói PPTP lọc, RAS, và máy chủ Proxy 2.0
Thêm máy chủ cục bộ lọc
Bộ lọc cục bộ lưu trữ làm cho máy tính của bạn nhận được chỉ truy cập được dành cho máy tính. Bộ lưu trữ cục bộ lọc hoạt động bằng cách cho người dùng để truy nhập vào máy tính của bạn, nhưng không gửi tới máy tính của bạn. Sau khi bộ lọc này được thiết lập, truy cập chỉ dành cho máy chủ này được trong giao diện.
Trong ví dụ này, máy chủ Proxy được cấu hình với địa chỉ Internet IP 192.168.1.1, với một mặt nạ mạng con 255.255.255.0. Để thêm lưu trữ cục bộ lọc, hãy làm theo các bước sau:
- Trong mục IP định tuyến, bấm tóm tắt.
- Bấm chuột phải vào giao diện mà bạn muốn đặt các bộ lọc và sau đó bấm Cấu hình giao diện. Điều này phải có giao diện bên ngoài được kết nối với Internet.
- Trong hộp thoại IP cấu hình , bấm Vào bộ lọc.
- Trong hộp thoại Cấu hình IP gói bộ lọc , bấm Thêm. Để cho phép gói đến địa chỉ của máy chủ Proxy, thêm một bộ lọc có địa chỉ IP đích của 192.168.1.1 và mặt nạ mạng con đích 255.255.255.0. Nhấp vào bất kỳ kiểu giao thức. Bấm OK, bấm Thả tất cả trừ liệt kê bên dưới trong Hành động lọcvà sau đó bấm OK.
- Trong hộp thoại IP cấu hình , bấm Bộ lọc kết quả.
- Trong hộp thoại Cấu hình IP gói bộ lọc , bấm Thêm. Để cho phép gói đi trực tiếp từ máy chủ Proxy, thêm một bộ lọc địa chỉ 192.168.1.1 nguồn IP và mặt nạ mạng con nguồn 255.255.255.0. Nhấp vào bất kỳ kiểu giao thức. Bấm OK, bấm Thả tất cả trừ liệt kê bên dưới trong Hành động lọcvà sau đó bấm OK.
Bạn hiện đã cấu hình RRAS để chỉ gói bỏ trực tiếp từ máy chủ Proxy hoặc gói đang trực tiếp vào máy chủ Proxy. Điều này sẽ giúp người trên Internet từ vào mạng nội bộ của bạn, và nó giữ người trên mạng nội bộ không Internet mà không sử dụng máy chủ Proxy.
Cấu hình máy chủ Proxy/RRAS như thế này cũng đã làm cho máy chủ hoạt động như máy chủ PPTP để PPTP khách trên Internet có thể truy cập mạng LAN nội bộ của bạn.
Thêm bộ lọc nâng cao
Tình huống 1
Nếu bạn muốn kết nối máy chủ Proxy Internet an toàn hơn, bạn có thể loại bỏ các bộ lọc vào bất kỳ gói địa chỉ trực tiếp vào máy chủ Proxy cho phép và thêm bộ lọc vào riêng từng loại gói bạn muốn cho phép.
Ví dụ: bạn có thể muốn máy chủ Proxy chỉ yêu cầu WWW dịch vụ khách hàng ủy quyền trên mạng LAN. Để thực hiện việc này, bạn sẽ loại bỏ bộ lọc nhập bạn đã thêm trước đó với địa chỉ IP đích 192.168.1.1. Sau đó, bạn sẽ thêm bộ lọc vào gói với địa chỉ IP đích 192.168.1.1, giao thức TCP, cho phép nguồn cổng 80 và cổng đích 0. Bạn cũng phải thêm một bộ lọc vào thứ hai cho phép gói với địa chỉ IP đích 192.168.1.1, giao thức UDP, nguồn cổng 53 và đích cổng 0. Điều này sẽ cho phép máy chủ Proxy để xử lý tên Internet bằng cách sử dụng DNS.
Nếu bạn muốn khách hàng có thể sử dụng các dịch vụ Proxy Proxy, bạn sẽ phải thêm vào bộ lọc cho phép các giao thức chính xác và số cổng dịch vụ từng sử dụng. Nếu bạn muốn PPTP khách hàng có thể kết nối với mạng LAN nội bộ của bạn, sau đó bạn sẽ cần thêm PPTP lọc.
Tình huống 2
Máy khách PPTP nằm phía sau máy chủ Proxy Microsoft không thể gọi máy chủ PPTP nằm trên Internet bằng cách sử dụng "Khách Winsock Proxy" kết nối với máy chủ Proxy.
Tuy nhiên, với RRAS trên cùng một máy chủ, khách hàng có thể chuyển các gói PPTP dưới dịch vụ Proxy.
Do bộ lọc PPTP Proxy được xác định trước cho máy chủ địa phương về địa chỉ nguồn và đích, nó sẽ ngăn chặn bất kỳ gói PPTP nó không tạo ra.