आंतरिक नेटवर्क से विंडोज / आईओएस / एंड्रॉइड सिस्टम को जोड़ने के लिए मानक विंडोज 7/8 टूल का उपयोग करके L2TP / IPsec वीपीएन सर्वर का कार्यान्वयन

हाल ही में, मैं L2TP / IPsec प्रोटोकॉल का उपयोग करके अपने कार्यालय में एक एन्क्रिप्टेड कनेक्शन बनाने की संभावना के लिए खोज से हैरान था। कार्य और अधिक जटिल हो गया, जब विंडोज क्लाइंट के अलावा, नेटवर्क पर अधिक आईओएस और एंड्रॉइड क्लाइंट लॉन्च करने की आवश्यकता थी। इंटरनेट पर ऐसे कई लेख हैं जो एक "बाहरी" आईपी पते के साथ विंडोज सर्वर पर ऐसा करने के लिए कैसे करें। लेकिन मैं समुदाय को एक लोकप्रिय नेटवर्क के साथ एन्क्रिप्टेड L2TP सुरंग के विंडोज 7/8 के मानक तरीकों से कार्यान्वयन की पेशकश करना चाहता हूं, मेरी राय में, टोपोलॉजी।

नेटवर्क संरचना

विंडोज सर्वर 2008 एसटीडी पर आधारित समर्पित सर्वर के साथ दस विंडोज 7/8 क्लाइंट का एक छोटा नेटवर्क (हम अभी तक इस पर ध्यान नहीं देते हैं) और एक साधारण राउटर का उपयोग करके इंटरनेट एक्सेस के साथ। वीपीएन सर्वर के लिए, मैंने विंडोज 7 प्रो पर मशीनों में से एक पर प्रकाश डाला। विंडोज 7 प्रो पर एक L2TP / IPsec सर्वर बढ़ाने के लिए दो तरीकों का वर्णन नीचे किया जाएगा।

Windows 7 L2TP / IPsec एईएस 128-बिट प्रमाण पत्र का उपयोग कर

• सबसे पहले, आपको वीपीएन सर्वर पर एक कंप्यूटर और उपयोगकर्ता प्रमाणपत्र बनाने की आवश्यकता है।
  ऐसा करने के लिए, निशुल्क सरल प्राधिकरण उपयोगिता का उपयोग करें।
  स्थापित करें, चलाएं। तुरंत कार्यक्रम कंप्यूटर प्रमाण पत्र उत्पन्न करने की पेशकश करेगा। खेतों में पानी भरना। हम अनियमित रूप से कीबोर्ड पर क्लिक करते हैं, जिससे एक यादृच्छिक संख्या उत्पन्न होती है। पासवर्ड दर्ज करें (अधिमानतः 8 वर्णों से अधिक, अन्यथा ग्लिच हो सकते हैं) कंप्यूटर प्रमाणपत्र (CA) तैयार है। यदि उपयोगकर्ता नहीं जोड़ा गया है, तो जोड़ें। दाईं ओर, आवश्यक फ़ील्ड भरें। "नया प्रमाणपत्र" पर क्लिक करें। उसके बाद, डेस्कटॉप पर * .cer और * .p12 एक्सटेंशन वाली दो प्रमाणपत्र फाइलें दिखाई देंगी
• हमारे वीपीएन सर्वर पर प्रमाण पत्र स्थापित करें।
  ऐसा करने के लिए, विन + आर ("रन") करें, एमएमसी दर्ज करें, एंटर दबाएं। कंसोल खुल जाएगा।
  स्नैप-इन जोड़ें (फ़ाइल-> स्नैप-इन जोड़ें जोड़ें)। "प्रमाण पत्र" चुनें। "जोड़ें" पर क्लिक करें। हम पूछते हैं कि "कंप्यूटर खाता" आइटम का चयन करते समय पूछा गया कि यह स्नैप-इन प्रमाणपत्र कहां प्रबंधित करेगा। अगला, "व्यक्तिगत" -> राइट-क्लिक-> सभी कार्य-> आयात-> एक्सटेंशन के साथ प्रमाण पत्र फ़ाइल का चयन करें * .p12 (यह है)। पासवर्ड दर्ज करें, चेक करें "इस कुंजी को निर्यात करने योग्य के रूप में चिह्नित करें।" दो प्रमाण पत्र व्यक्तिगत श्रेणी में दिखाई देंगे। वह प्रमाण पत्र जिसके लिए "जारी किए गए" और "जिनके द्वारा जारी किए गए" फ़ील्ड समान हैं, को "विश्वसनीय रूट प्रमाणन प्राधिकरण" श्रेणी में स्थानांतरित किया जाना चाहिए।
• आपको यह सुनिश्चित करने की आवश्यकता है कि ProhibitIpSec = 1 पैरामीटर गायब है ।
  रजिस्ट्री पर जाएं (Win + R -> regedit)। हम HKLM \ System \ CurrentControlSet \ Services \ Rasman \ Parameters शाखा की तलाश कर रहे हैं। यदि उपरोक्त पैरामीटर नहीं है या यह 0 है, तो सब कुछ ठीक है। अन्यथा, इसे ठीक करें।
• आने वाला कनेक्शन बनाएं ।
  हम "नेटवर्क और साझाकरण केंद्र" -> "एडेप्टर सेटिंग्स बदलें" पर जाते हैं। Alt कुंजी दबाएं, मेनू ड्रॉप आउट हो जाएगा। अगली फ़ाइल -> "नया आने वाला कनेक्शन"। हम आवश्यक उपयोगकर्ताओं का चयन करते हैं, "इंटरनेट के माध्यम से ... वीपीएन" एक पंजा डालते हैं। हम आवश्यक प्रोटोकॉल का चयन करते हैं। TCP / IP v4-> पर हम एक डौवा डालते हैं "स्थानीय नेटवर्क तक पहुंच की अनुमति दें" और क्लाइंट को जारी किए गए पतों के पूल को सेट करना सुनिश्चित करें। एक कनेक्शन बनाने के बाद, इसके गुणों को और "उपयोगकर्ता" टैब को खोलना सुनिश्चित करें, "उपयोगकर्ता को पासवर्ड गुप्त रखना चाहिए" चेकबॉक्स की उपस्थिति की जांच करें
• जांचें कि क्या हमारे लिए आवश्यक पोर्ट खुले हैं। हम कमांड लाइन को खोलते हैं और नेटस्टैट / a / p udp कमांड का उपयोग करके देखते हैं कि UDP 1701 UDP 4500 UDP 500 ने खोला है या नहीं।

इस विधि के लिए क्लाइंट कनेक्शन बनाना

• हमारे वीपीएन क्लाइंट पर प्रमाणपत्र स्थापित करें। हम उन प्रमाणपत्रों की प्रतिलिपि बनाते हैं जो हमने पहले वीपीएन सर्वर से बनाए थे। उन्हें सर्वर पर ठीक उसी तरह से स्थापित करें।
• एक वीपीएन कनेक्शन बनाएं। "नेटवर्क और साझाकरण केंद्र" पर जाएं -> एक नया कनेक्शन या नेटवर्क कॉन्फ़िगर करें। अगला, "कार्यस्थल से कनेक्ट करें" -> मेरे इंटरनेट कनेक्शन का उपयोग करें। हमारे वीपीएन सर्वर का पता दर्ज करें। कनेक्शन तैयार है।
• हमारा वीपीएन कनेक्शन सेट करें। उपयोगकर्ता नाम और पासवर्ड, मुझे लगता है, सवाल पैदा नहीं करते। "सुरक्षा" टैब में, L2TP / IPsec वीपीएन प्रकार का चयन करें और अतिरिक्त मापदंडों में, "प्रमाण पत्र का उपयोग करें" का चयन करें और "प्रमाणपत्र नाम विशेषताओं की जांच करें" को अनचेक करें। आवश्यक एन्क्रिप्शन सेट करें और "निम्न प्रोटोकॉल की अनुमति दें" प्रमाणीकरण करें: MS-CHAPv2। अगला, नेटवर्क टैब -> टीसीपी / आईपीवी 4 गुण -> उन्नत -> "डिफ़ॉल्ट गेटवे का उपयोग करें" को अनचेक करें।
• यदि कनेक्शन नहीं उठता है। फिर विंडोज 8 पर यह इस तरह के एक रजिस्ट्री कुंजी की कोशिश करने के लायक है HKLM \ SYSTEM \ CurrentControlSet \ Services \ IPsec, AssumeUDPEncapsulationContextOnSendRule और 2. 7 के मान के साथ DWORD पैरामीटर बनाएँ। Windows 7 / Vista के लिए, यह पैरामीटर HKLM \ SYSTEM \ CurrentControlSet सेवाओं में बनाया जाना चाहिए।

इस विधि के परिणाम

विंडोज क्लाइंट के लिए, यह L2TP / IPsec को लागू करने का एक अच्छा तरीका है, लेकिन जब यह iOS क्लाइंट के लिए आता है, तो यह कार्य विस्तृत हो जाता है। समस्या यह है कि iOS केवल पूर्व-तैयार कीवर्ड (प्रीशेड की) का उपयोग करके एन्क्रिप्शन के साथ L2TP के माध्यम से कनेक्ट कर सकता है, और प्रमाणपत्र द्वारा केवल सिस्को वीपीएन से कनेक्ट कर सकता है। दूसरी विधि आपको बताएगी कि इस समस्या को कैसे हल किया जाए।

विंडोज 7 L2TP / IPsec ईएसपी 3 डीईएस एन्क्रिप्शन और इंटीग्रिटी कंट्रोल के साथ प्रेजेडेड की

• चलो चमत्कार पैरामीटर ProhibitIpSec = 1 पर वापस जाएं । हम रजिस्ट्री में, HKLM \ System \ CurrentControlSet \ Services \ Rasman \ Parameters शाखा में जाते हैं और वहां एक DWORD पैरामीटर बनाते हैं, जिसका नाम ProhibitIpSec है और इसे 1 पर सेट करें। उसके बाद, आपको या तो OS को पुनरारंभ करना होगा, या RemoteAccess और RasMan सेवाओं को पुनरारंभ करना होगा। इस कार्रवाई के साथ, हम IPsec के लिए स्थानीय डिफ़ॉल्ट IP सुरक्षा नीति को अक्षम करते हैं।
• अब एक नई आईपी सुरक्षा नीति बनाएं । "रन" -> mmc -> स्नैप-इन जोड़ें -> "आईपी-सुरक्षा नीति प्रबंधित करें" और स्थानीय कंप्यूटर का चयन करें। अगला, "एक आईपी सुरक्षा नीति बनाएं।" "अगला ->> नाम दर्ज करें ->" डिफ़ॉल्ट नियम का उपयोग करें "चेकबॉक्स, सेट न करें -> अगला ->" गुण बदलें ", चेकबॉक्स को छोड़ दें। नई नीति के गुण खुलेंगे। यहां, चेकबॉक्स "विज़ार्ड का उपयोग करें" और "जोड़ें" को हटा दें। अब, प्रत्येक टैब के बारे में:
  
  • आईपी ​​फ़िल्टर की सूची। नाम दर्ज करें, अनचेक करें "का उपयोग करें। मास्टर ”,“ जोड़ें ”। स्रोत का पता: कोई भी। गंतव्य का पता: "कोई भी"। प्रोटोकॉल टैब। ड्रॉप-डाउन सूची में, UDP का चयन करें। इस पोर्ट से पैकेट: 1701. किसी भी पोर्ट के लिए पैकेट। ठीक है, ठीक है और आईपी फ़िल्टर की सूची पर वापस जाएं। यहां हम "डॉट" के साथ नए बनाए गए फ़िल्टर को चिह्नित करते हैं और अगले टैब पर जाते हैं।
  • फ़िल्टर क्रिया। सादृश्य द्वारा। नाम, मास्टर के बारे में बताएं, "जोड़ें।" "समन्वय सुरक्षा", "जोड़ें" का चयन करें। "एन्क्रिप्शन और अखंडता का चयन करें। (ईएसपी) ठीक है। हम यह सुनिश्चित करते हैं कि सुरक्षा विधियों की सूची के नीचे कोई डोज़ नहीं हैं। ठीक है। इसी तरह, एक बिंदु के साथ चिह्नित करें और अगले टैब पर जाएं।
  • कनेक्शन का प्रकार। सभी नेटवर्क कनेक्शन।
  • सुरंग के मापदंडों। यह नियम IPsec सुरंग को निर्दिष्ट नहीं करता है।
  • प्रमाणीकरण के तरीके हम अभी तक केर्बरोस पर ध्यान नहीं देते हैं, "जोड़ें" पर क्लिक करें। "इस पंक्ति (पूर्व-साझा कुंजी) का उपयोग करें" चुनें और हमारी पूर्व-आविष्कृत कुंजी दर्ज करें। ठीक है। और अब आप करबरोस को हटा सकते हैं। उसी टैब में, आप प्रमाणपत्र प्रमाणीकरण जोड़ सकते हैं। प्रमाणपत्र बनाने और स्थापित करने की प्रक्रिया को पहली विधि में वर्णित किया गया है।
• एक नई आईपी सुरक्षा नीति निर्दिष्ट करना सुनिश्चित करें । उस पर राइट-क्लिक करें, "असाइन करें।"

इस विधि के लिए क्लाइंट कनेक्शन बनाना

• यह केवल पहली विधि के लिए एक अतिरिक्त L2TP / IPsec गुणों में क्लाइंट कनेक्शन बनाने से अलग है, जहां हम एक प्रमाणपत्र का उपयोग करने के बजाय "... एक साझा कुंजी का उपयोग करते हैं"।

वीपीएन सर्वर तक पहुंचें

राउटर पर, मैंने डायनेमिक डीएनएस सेवा का उपयोग किया, क्योंकि बाहरी आईपी गतिशील। कनेक्ट करने में सक्षम होने के लिए, हमारे वीपीएन सर्वर के लिए पोर्ट यूडीपी 1701 यूडीपी 4500 यूडीपी 500 के लिए पोर्ट अग्रेषण करना आवश्यक है। हम फिनिश स्टेज पर पहुंच गए, जहां एक और बड़ी समस्या हमारा इंतजार कर रही थी। तथ्य यह है कि विंडोज 7/8 में रिमोट एक्सेस के लिए अधिकतम कनेक्शन की सीमा है, और यह 1. विंडोज सर्वर पर ऐसा कोई प्रतिबंध नहीं है। यहाँ वाक्यांश भीख माँगता है: "और क्या तुमने यह सब लिखा है?" दो समाधान हैं। पहला: एक अच्छे व्यक्ति ने बहुत काम किया और एक पैच लिखा, जो विंडोज 7 प्रो SP1 के लिए सीमा को हटा देता है। यहां एक समाधान खोजने की प्रक्रिया को विस्तार से वर्णित किया गया है और एक पैच है। दूसरा: विंडोज सर्वर का उपयोग करें। लेकिन इसका उपयोग नहीं किया गया है क्योंकि यह अधिकांश लेखों में लिखा गया है, जो सर्वर रॉल को "रूटिंग और रिमोट एक्सेस" को निर्दिष्ट करने और विशेष स्नैप-इन का उपयोग करने की बात करता है जिसमें शैतान अपने पैर को तोड़ देगा, लेकिन ऊपर वर्णित विधि का उपयोग करें। यह विशेष भूमिकाओं को निर्दिष्ट किए बिना और कनेक्शन की संख्या को सीमित किए बिना विंडोज सर्वर पर बहुत अच्छा काम करता है।

पुनर्नवीनीकरण सामग्री:

• Windows XP Pro एक L2TP IPSec VPN सर्वर के रूप में
• विंडोज 7 पर L2TP वीपीएन सर्वर
• पूर्व कुंजी प्रमाणीकरण का उपयोग कर L2TP / IPSec कनेक्शन कॉन्फ़िगर करना
• रिमोट एक्सेस सर्वर या वीपीएन सर्वर की भूमिका: रिमोट एक्सेस सर्वर या वीपीएन सर्वर को कॉन्फ़िगर करें