Установка удаленного доступа в качестве VPN-сервера
В этом руководстве по началу работы мы покажем, как установить и настроить удаленный доступ (RAS) в качестве VPN-сервера.
Необходимые компоненты
Выполнить эти операции может только член группы «Администраторы» или пользователь с аналогичными правами. Однако если сервер RAS присоединен к домену, то процедуры должны выполняться администратором домена.
Установка роли удаленного доступа
- PowerShell
- Диспетчер сервера
Чтобы установить роль удаленного доступа с помощью Windows PowerShell, выполните следующие действия.
- Откройте Windows PowerShell как Администратор istrator.
- Введите и выполните следующий командлет:
Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools После завершения установки в Windows PowerShell появится следующее сообщение.
| Success | Restart Needed | Exit Code | Feature Result | |---------|----------------|-----------|--------------------------------------------| | True | No | Success | RAS Connection Manager Administration Kit | Чтобы установить роль удаленного доступа с помощью диспетчер сервера, выполните следующее:
- На сервере Windows в диспетчер сервера выберите «Управление» и выберите «Добавить роли и компоненты», чтобы открыть мастер добавления ролей и компонентов.
- На странице «Перед началом работы» нажмите кнопку «Далее«.
- На странице «Выбор типа установки» выберите установку на основе ролей или компонентов и нажмите кнопку «Далее«.
- На странице Выбор целевого сервера (Select destination server) выберите «Выбор сервера из пула серверов» (Select a server from the server pool)
- В разделе Пул серверов выберите локальный компьютер и нажмите кнопку «Далее«.
- На странице «Выбор ролей сервера» в разделе «Роли» выберите «Удаленный доступ» и » Далее«.
- На странице «Выбор функций» нажмите кнопку «Далее«.
- На странице удаленного доступа нажмите кнопку «Далее«.
- На странице «Выбор службы ролей» в службах ролей выберите DirectAccess и VPN (RAS).
- На странице выбора «Подтверждение установки» просмотрите выбранные варианты, а затем нажмите кнопку «Установить«.
- После завершения установки нажмите кнопку Закрыть.
Настройка удаленного доступа в качестве VPN-сервера
В этом разделе мы настроим удаленный доступ, чтобы разрешить VPN-подключения IKEv2 и запретить подключения из других VPN-протоколов. Мы также назначим пул статических IP-адресов для выдачи IP-адресов для подключения авторизованных VPN-клиентов.
Вместо IKEv2 можно также использовать SSTP. Мы не рекомендуем использовать PPTP из-за отсутствия функций безопасности.
- Убедитесь, что правила брандмауэра разрешают порты UDP 500 и 4500 входящего трафика во внешний IP-адрес, примененный к общедоступному интерфейсу на VPN-сервере.
- На VPN-сервере в диспетчер сервера выберите флаг уведомлений. Возможно, вам придется подождать минуту или два, чтобы увидеть флаг уведомлений.
- В меню «Задачи» выберите «Открыть мастер начала работы», чтобы открыть мастер настройки удаленного доступа.
Примечание. Мастер настройки удаленного доступа может открыться за диспетчер сервера. Если вы считаете, что мастер занимает слишком много времени, чтобы открыть, переместить или свести к минимуму диспетчер сервера, чтобы узнать, находится ли мастер за ним. Если нет, дождитесь инициализации мастера.
- Выберите пул статических адресов.
- Нажмите кнопку «Добавить «, чтобы настроить пул IP-адресов.
- В поле «Начальный IP-адрес» введите начальный IP-адрес в диапазоне, который вы хотите назначить VPN-клиентам.
- В поле «Конечный IP-адрес» введите конечный IP-адрес в диапазоне, который вы хотите назначить VPN-клиентам, или в поле «Число адресов«, введите номер адреса, который нужно сделать доступным.
- Очистите подключения удаленного доступа (только для входящего трафика) и подключения маршрутизации по запросу (входящий и исходящий трафик).
- Нажмите ОК.
- Убедитесь, что выбраны подключения удаленного доступа (только для входящего трафика) и подключения маршрутизации по запросу (входящий и исходящий трафик).
- В максимальном количестве портов введите число портов, чтобы соответствовать максимальному количеству одновременных VPN-подключений, которые требуется поддерживать.
- Нажмите ОК.
- Очистите подключения удаленного доступа (только для входящего трафика) и подключения маршрутизации по запросу (входящий и исходящий трафик).
- Нажмите ОК.
- Очистите подключения удаленного доступа (только для входящего трафика) и подключения маршрутизации по запросу (входящий и исходящий трафик).
- Нажмите ОК.
Следующие шаги
Настройка VPN сервера в Windows
Данная статья представляет из себя ″Quick guide″ по настройке VPN сервера на базе Windows. Все описанные в статье действия производились на Windows Server 2012 R2, но инструкция подходит для любой более менее актуальной (на данный момент) серверной операционной системы Windows, начиная с Windows Server 2008 R2 и заканчивая Windows Server 2016.
Итак начнем. Первое, что нам необходимо сделать — это установить роль удаленного доступа. Для этого в оснастке Server Manager запускаем мастер добавления ролей и выбираем роль «Remote Access» со всеми дополнительными фичами.
И затем в списке сервисов для данной роли выбираем «DirectAccess and VPN (RAS)».
Кроме роли удаленного доступа и инструментов управления будут дополнительно установлены web-сервер IIS и внутренняя база данных Windows. Полный список устанавливаемых компонентов можно просмотреть в финальном окне мастера, перед подтверждением запуска установки.
Все то же самое, только гораздо быстрее, можно проделать с помощью PowerShell. Для этого надо открыть консоль и выполнить команду:
Install-WindowsFeature -Name Direct-Access-VPN -IncludeAllSubFeature -IncludeManagementTools
После установки роли нам потребуется включить и настроить службу с помощью оснастки «Routing and Remote Access». Для ее открытия жмем Win+R и вводим команду rrasmgmt.msc.
В оснастке выбираем имя сервера, жмем правой клавишей мыши и в открывшемся меню выбираем пункт «Configure and Enable Routing and Remote Access».
В окне мастера настройки выбираем пункт «Custom configuration».
И отмечаем сервис «VPN access».
В завершение настройки стартуем сервис удаленного доступа.
Сервис VPN установлен и включен, теперь необходимо сконфигурировать его нужным нам образом. Опять открываем меню и выбираем пункт «Properties».
Переходим на вкладку IPv4. Если у вас в сети нет DHCP сервера, то здесь надо задать диапазон IP адресов, которые будут получать клиенты при подключении к серверу.
Дополнительно на вкладке «Security» можно настроить параметры безопасности — выбрать тип аутентификации, задать предварительный ключ (preshared key) для L2TP или выбрать сертификат для SSTP.
И еще пара моментов, без которых подключение по VPN не сможет состояться.
Во первых, необходимо выбрать пользователей, которые имеют разрешения подключаться к данному серверу. Для отдельно стоящего сервера настройка производится локально, в оснастке «Computer Management». Для запуска оснастки надо выполнить команду compmgmt.msc, после чего перейти в раздел «Local Users and Groups». Затем надо выбрать пользователя, открыть его свойства и на вкладке «Dial-In» отметить пункт «Allow access». Если же компьютер является членом домена Active Directory, то эти же настройки можно произвести из консоли «Active Directory Users and Computers».
И во вторых, необходимо проверить, открыты ли нужные порты на файерволле. Теоретически при добавлении роли соответствующие правила включаются автоматически, но лишний раз проверить не помешает.
На этом все. Теперь VPN сервер настроен и к нему можно подключаться.
Настройка VPN сервера на базе Windows Server 2012 R2
В этой статье мы покажем вам, как установить и настроить простейший VPN-сервер на базе Windows Server 2012 R2, который можно использовать в небольшой организации или в случае использования автономного сервера (так называемые сценарии хостинга).
Примечание. Это руководство не рекомендуется в качестве справочника при организации VPN-сервера в большой корпоративной сети. В качестве корпоративного решения предпочтительнее развернуть прямой доступ и использовать его для удаленного доступа (который, кстати, теперь намного проще настроить, чем в Windows 2008 R2).
Прежде всего, вам необходимо установить роль «Удаленный доступ». Это можно сделать через консоль диспетчера сервера или PowerShell (отключение звука ниже).
В роли удаленного доступа нас интересует служба «DirectAccess и VPN (RAS)». Давайте установим его (установка сервиса тривиальна, в следующих шагах все настройки можно оставить по умолчанию. Будет установлен веб-сервер IIS, компоненты внутренней базы данных Windows – WID).
По завершении работы мастера щелкните ссылку «Открыть мастер начала работы», чтобы запустить мастер настройки сервера удаленного доступа.
Службу RAS через Powershell можно установить с помощью команды:
Install-WindowsFeatures RemoteAccess-IncludeManagementTools
Поскольку развертывать службу DirectAccess не обязательно, мы укажем, что вам нужно установить только VPN-сервер (пункт «Развернуть только VPN“).
После этого откроется знакомая консоль MMC маршрутизации и удаленного доступа. В консоли щелкните правой кнопкой мыши имя сервера и выберите «Настроить и включить маршрутизацию и удаленный доступ“.
Мастер настройки сервера удаленного доступа запускается. В окне мастера выберите пункт «Пользовательская конфигурация», затем выберите вариант «Доступ к VPN”.
После завершения работы мастера система предложит запустить службу маршрутизации и удаленного доступа. Просто сделай это.
В случае, если между вашим VPN-сервером и внешней сетью, из которой будут подключаться клиенты (обычно Интернет), есть брандмауэр, вам необходимо открыть следующие порты и перенаправить трафик с этих портов на ваш VPN-сервер R2 на базе Windows Server 2012:
- Для PPTP: TCP – 1723 и протокол 47 GRE (также называемый PPTP Pass-through)
- Для SSTP: TCP 443
- Для L2TP через IPSEC: TCP 1701 и UDP 500
+ zhivye-oboi-windows.ru Как исправить ошибки установки .NET Framework в Windows 10
После установки сервера вам необходимо разрешить доступ VPN в свойствах пользователя. Если сервер включен в домен Active Directory, это необходимо сделать в свойствах пользователя в консоли ADUC, а если сервер является локальным, в свойствах пользователя в консоли управления компьютером (Разрешение доступа к сети – Разрешить доступ).
Если вы не используете сторонний DHCP-сервер, который раздает IP-адреса VPN-клиентам, вам необходимо включить «Статический пул адресов» в свойствах VPN-сервера на вкладке IPv4 и указать диапазон адресов для распространения.
Примечание. В целях правильной маршрутизации IP-адреса, распределенные сервером, не должны пересекаться с IP-адресацией на стороне клиента VPN.
Осталось настроить VPN-клиент и протестировать (как настроить VPN-клиент в Windows 8).
Совет. VPN-сервер также может быть организован на базе клиентской операционной системы. Об этом подробно рассказывается в статьях:
- VPN-сервер на Windows 7
- VPN-сервер со встроенным Widows 8
Источник изображения: winitpro.ru
Алексей Игнатьев/ автор статьи
Специалист и эксперт zhivye-oboi-windows.ru — профессиональный консультант, системный администратор.
Опыт работы в этой сфере 7 лет.
Настройка VPN-сервера на виртуальной машине Windows Server 2012 R2
Настройка VPN на виртуальной машине ничем принципиально не отличается от настройки на обычном сервере. Тестирование настройки производилось на виртуальной машине Windows Server 2012 R2.
- Перед настройкой необходимо установить роль сервера удаленного доступа. Для этого запускаем Server Manager и выбираем «Add Roles and Features» . Из списка ролей выбираем роль «Remote Access» , соглашаемся с установкой дополнительных компонентов.
- Далее из списка компонентов роли выбираем » Direct Access and VPN (RAS) «.
- В результате кроме самой роли будут установлены Web-сервер IIS и внутренняя база Windows, а также оснастки управления и модуль PowerShell. Просмотреть полный список устанавливаемых компонентов можно перед установкой.
- После установки роли надо открыть оснастку «Routing and Remote Access» командой rrasmgmt.msc .
- В оснастке встаем на имя сервера правой клавишей мыши и выбираем пункт «Configure and Enable Routing and Remote Access».
- В мастере выбираем пункт «Custom configuration».
- Затем отмечаем чекбокс «VPN access».
- Далее жмем Next -> Finish и стартуем сервис удаленного доступа.
- Сервис запущен и работает, его остается настроить. Для этого в контекстном меню выбираем «Properties» и переходим к свойствам сервера.
- На вкладке IPV4 необходимо выбрать, каким образом клиент будет получать IP адрес. Можно оставить DHCP (если есть DHCP сервер), либо задать статический пул адресов. Раздаваемые сервером IP адреса в целях корректной маршрутизации не должны пересекаться с адресами на стороне VPN клиента.
- На вкладке «Security» настраиваются параметры безопасности для VPN подключений. Здесь можно указать ключ для L2TP или сертификат для SSTP, а также выбрать способ аутентификации и механизмы шифрования.
- Затем необходимо в свойствах пользователя разрешить подключение. Для локальной учетной записи надо открыть оснастку «Local Users and Groups» командой lusrmgr.msc и в свойствах нужного пользователя на вкладке Dial-In в поле «Network Access Permission» установить переключатель в положение «Allow access». Для доменного пользователя – то же самое, но в оснастке «Active Directory Users and Computers».
- И в завершение надо проверить, включены ли необходимые правила на файерволле.
- На этом настройка VPN-сервера завершена, можно подключаться. Для обеспечения безопасности рекомендуется подключаться по L2TP или SSTP.