前面我們介紹的幾種VPN都是在域環(huán)境下利用ISA2006 server實(shí)現(xiàn)的。今天我們來介紹一下不在域環(huán)境下使用VPN，這種方法是需要一個(gè)服務(wù)器-------VPN配合使用的身份驗(yàn)證服務(wù)器：Radius服務(wù)器。
RADIUS:Remote Authentication Dial In User Service，遠(yuǎn)程用戶撥號認(rèn)證系統(tǒng)由RFC2865，RFC2866定義，是目前應(yīng)用最廣泛的AAA協(xié)議。
RADIUS是一種C/S結(jié)構(gòu)的協(xié)議，它的客戶端最初就是NAS（Net
Access Server）服務(wù)器，現(xiàn)在任何運(yùn)行RADIUS客戶端軟件的計(jì)算機(jī)都可以成為RADIUS的客戶端。RADIUS協(xié)議認(rèn)證機(jī)制靈活，可以采用PAP、 CHAP或者Unix登錄認(rèn)證等多種方式。RADIUS是一種可擴(kuò)展的協(xié)議，它進(jìn)行的全部工作都是基于Attribute-Length-Value的向量進(jìn)行的。RADIUS也支持廠商擴(kuò)充廠家專有屬性。
由于RADIUS協(xié)議簡單明確，可擴(kuò)充，因此得到了廣泛應(yīng)用，包括普通電話上網(wǎng)、ADSL上網(wǎng)、小區(qū)寬帶上網(wǎng)、IP電話、VPDN（Virtual Private Dialup Networks，基于撥號用戶的虛擬專用撥號網(wǎng)業(yè)務(wù)）、移動電話預(yù)付費(fèi)等業(yè)務(wù)。最近IEEE提出了802.1x標(biāo)準(zhǔn)，這是一種基于端口的標(biāo)準(zhǔn)，用于對無線網(wǎng)絡(luò)的接入認(rèn)證，在認(rèn)證時(shí)也采用RADIUS協(xié)議。
radius 服務(wù)器對用戶的認(rèn)證過程通常需要利用nas 等設(shè)備的代理認(rèn)證功能，radius 客戶端和radius 服務(wù)器之間通過共享密鑰認(rèn)證相互間交互的消息，用戶密碼采用密文方式在網(wǎng)絡(luò)上傳輸，增強(qiáng)了安全性。radius 協(xié)議合并了認(rèn)證和授權(quán)過程，即響應(yīng)報(bào)文中攜帶了授權(quán)信息。
基本交互步驟如下：
(1) 用戶輸入用戶名和口令；
(2) radius 客戶端根據(jù)獲取的用戶名和口令，向radius 服務(wù)器發(fā)送認(rèn)證請求包（access-request）。
(3) radius 服務(wù)器將該用戶信息與users
數(shù)據(jù)庫信息進(jìn)行對比分析，如果認(rèn)證成功，則將用戶的權(quán)限信息以認(rèn)證響應(yīng)包（access-accept）發(fā)送給radius 客戶端；如果認(rèn)證失敗，則返回access-reject 響應(yīng)包。
(4) radius 客戶端根據(jù)接收到的認(rèn)證結(jié)果接入/拒絕用戶。如果可以接入用戶，則radius 客戶端向radius 服務(wù)器發(fā)送計(jì)費(fèi)開始請求包（accounting-request），status-type 取值為start；
(5) radius 服務(wù)器返回計(jì)費(fèi)開始響應(yīng)包（accounting-response）；
(6) radius 客戶端向radius 服務(wù)器發(fā)送計(jì)費(fèi)停止請求包（accounting-request），status-type 取值為stop；
(7) radius 服務(wù)器返回計(jì)費(fèi)結(jié)束響應(yīng)包（accounting-response）。
大致的拓?fù)淙缦拢篵eijing為ISA服務(wù)器，Radius客戶端，Istanbul為外網(wǎng)的測試機(jī)。Florence為內(nèi)網(wǎng)的域控制器、Radius服務(wù)器。
一、安裝Radius服務(wù)器
首先我們讓域控制器做Radius服務(wù)器，在域控制器上打開控制面板選擇"網(wǎng)絡(luò)服務(wù)"中的"Interent驗(yàn)證服務(wù)"，來安裝Radius服務(wù)器
二、配置Radius服務(wù)器
安裝完成后我們來配置一下Radius服務(wù)器，如圖在Florence上打開Interent驗(yàn)證服務(wù)
右擊"新建Radius客戶端"
輸入一個(gè)名稱以及客戶端的IP地址，因?yàn)槲覀円訧SA服務(wù)器為客戶端，所以這輸入ISA服務(wù)器內(nèi)網(wǎng)網(wǎng)卡的IP地址。
因?yàn)檫@是微軟的軟件，所以供應(yīng)商選擇"Microsoft"。設(shè)置Radius服務(wù)器和客戶端的共享密碼。Radius服務(wù)器和客戶端依靠這個(gè)密碼進(jìn)行身份驗(yàn)證。就是Radius服務(wù)器生成一個(gè)隨機(jī)字符串，然后用這個(gè)共享口令加密，接著Radius服務(wù)器會把加密后的密文傳給客戶端，要求客戶端對密文解密后再回傳給服務(wù)器，如果客戶端回送的內(nèi)容和原始的隨機(jī)字符串一樣，那客戶端就通過了身份驗(yàn)證。輸入完畢后點(diǎn)擊"完成"完成客戶端的創(chuàng)建。
接下來我們啟用Radius服務(wù)器的遠(yuǎn)程訪問記錄，來看看客戶端是怎么連接到Radius服務(wù)器的，點(diǎn)擊"遠(yuǎn)程訪問記錄"中的"本地文件"屬性
勾選"身份驗(yàn)證請求"
接著切換到日至選項(xiàng)卡下，日至的存放路徑是"c:\windows\system32\LogFiles"文件中，創(chuàng)建新日志文件默認(rèn)的是"每月"，我們改為"每天"。點(diǎn)擊確定
三、創(chuàng)建ISA訪問規(guī)則與配置ISA服務(wù)器
接下來要進(jìn)行的是創(chuàng)建一條ISA服務(wù)器的訪問規(guī)則。右擊"
防火墻策略"，選擇"訪問規(guī)則"
輸入訪問規(guī)則名稱
選擇"允許"
這里我們選擇所有的出站通訊
點(diǎn)擊右上角的"添加"，選擇"VPN客戶端"，這是訪問源地址
接下來內(nèi)部地址我們選擇"內(nèi)部"
所有用戶
點(diǎn)擊"完成"，完成ISA服務(wù)器訪問規(guī)則的創(chuàng)建
juniper防火墻之恢復(fù)出廠默認(rèn)設(shè)置