Truy cập từ xa qua VPN Site to Site- phần 2

Quả thực, còn có một thứ khác cần phải thực hiện ở đây đó là tạo một Access Rule để cho phép truyền thông từ VPN Clients Network văn phòng chính đến mạng văn phòng chi nhánh. Mặc dù có một Network Rule kết nối các mạng với nhau nhưng vẫn cần phải có một Access Rule cho phép truyền thông giữa các mạng này.

Hãy sử dụng mạng VPN site to site mà chúng ta đã tạo trước đây để thể hiện cách thực hiện đó. Thực hiện các bước dưới đây để tạo một Network Rule:

1. Tại máy CSS, mở giao diện điều khiển ISA Firewall. Trong cửa sổ này, kích Arrays và kích mảng Main. Tiếp đó kích Configuration và Networks.
2. Trong nút Networks, kích tab Network Rules ở panel giữa. Trong tab Tasks trên Task Panel, kích liên kết Create a Network Rule.
3. Trong trang Welcome to the New Network Rule Wizard, nhập vào tên rule trong hộp thoại Network Rule name. Trong ví dụ này, chúng tôi đã sử dụng tên VPN Clients to Branch và kích Next.
4. Trong trang Network Traffic Sources, kích nút Add. Trong hộp thoại Add Network Entities, kích thư mụcNetworks, sau đó kích đúp vào mạng VPN Clients. Kích Close.

5. Kích Next trong trang Network Traffic Sources.
6. Trong trang Network Traffic Destinations, kích nút Add. Trong hộp thoại Add Network Entities, kích thư mục Networks, sau đó kích mạng Branch. Kích  Close.

7. Trong trang Network Relationship, chọn tùy chọn Route. Có một vấn đề cần phải đề cập ở đây, từ quan điểm bảo mật trong việc sử dụng NAT cho kịch bản này, vì vậy chúng ta luôn phải chọn tùy chọn Route. Kích Next.

8. Kích Finish trong trang Completing the New Network Rule Wizard

1. Tại máy tính CSS trong văn phòng chính, trong giao diện điều khiển ISA Firewall, kích Firewall Policy (main) trong phần panel trái của giao diện.
2. Trong tab Tasks của Task Pane, kích liên kết Create Access Rule.
3. Trên trang Welcome to the New Access Rule Wizard, nhập tên cho rule trong hộp Access Rule name. Trong ví dụ này, chúng tôi sử dung tên Ping VPN Clients to Branch và kích Next.
4. Trong trang Rule Action, chọn tùy chọn Allow và kích Next.
5. Trong trang Protocols, chọn tùy chọn Selected protocols từ danh sách sổ xuống This rule applies. Kích nút Add. Trong hộp Add Protocols, kích thư mục Infrastructure, sau đó kích đúp vào giao thức PING. Tiếp đó kích Close.

6. Trong trang Access Rule Sources, kích nút Add. Trong hộp Add Network Entities, kích thư mụcNetworks, sau đó kích đúp mạng. Kích Close.

7. Kích Next trong trang Access Rule Sources.
8. Trong trang Access Rule Destinations, kích nút Add. Trong hộp Add Network Entities, kích thư mụcNetworks, sau đó kích đúp mạng Branch. Kích Close.
9. Trong trang User Sets, chấp nhận thiết lập mặc định, All Users, và kích Next.
10. Kích Finish trong trang Completing the New Access Rule Wizard.
11. Kích Apply để lưu các thay đổi và cập nhật chính sách tường lửa. Kích OK trong hộp thoại Apply New Configuration.

12. Lúc này chúng ta hãy tạo rule thứ hai cho phép ping từ ISA Firewall Network văn phòng chính đến Default Internal Network văn phòng chi nhánh:

    1. Tại máy tính CSS ở văn phòng chính, trong giao diện điều khiển ISA Firewall, kích nút Firewall Policy (branch) ở panel trái của giao diện điều khiển.
    2. Trong tab Tasks trong Task Pane, kích liên kết Create Access Rule.
    3. Trong trang Welcome to the New Access Rule Wizard, nhập vào tên rule trong hộp Access Rule name. Trong ví dụ này chúng tôi sử dụng tên Ping Main to Branch và kích Next.
    4. Trong trang Rule Action, chọn tùy chọn Allow và kích Next.
    5. Trong trang Protocols, chọn tùy chọn Selected protocols từ danh sách sổ xuống This rule applies to. Kích nút Add. Trong hộp thoại Add Protocols, kích thư mục Infrastructure, sau đó kích đúp giao thứcPING. Kích Close.

    
    Hình 12

    6. Trong trang Access Rule Sources, kích   nút Add. Trong hộp Add Network Entities, kích thư mụcNetworks, sau đó kích đúp mạng Internal. Kích Close.
    7. Kích Next trong trang Access Rule Sources.
    8. Trong trang Access Rule Destinations, kích nút Add. Trong hộp thoại Add Network Entities, kích thư mục Networks, sau đó kích mạng Branch. Kích Close.
    9. Trong trang User Sets, chấp nhận thiết lập mặc định, All Users, và kích Next.
    10. Kích Finish trong trang Completing the New Access Rule Wizard.
    11. Kích Apply để lưu các thay đổi và cập nhật chính sách tường lửa. Kích OK trong hộp Apply New Configuration.

    Mặc dù chúng ta đã cấu hình VPN site to site nhưng chưa kích hoạt ISA Firewall văn phòng chính để nó là một máy chủ VPN truy cập xa. Thực hiện các bước dưới đây để kích hoạt máy chủ VPN:

    1. Tại máy CSS văn phòng chính, kích nút Virtual Private Networking (VPN) trong cây mảng Main.
    2. Trong nút Virtual Private Networking (VPN), kích vào Tasks tab trên Task Pane. Kích liên kết Enable VPN Client Access.
    3. Kích OK trong hộp thoại thông báo cho bạn rằng dịch vụ RRAS có thể khởi động lại.
    4. Kích Apply để lưu các thay đổi và cập nhật chính sách tường lửa. Kích OK trong hộp thoại Apply New Configuration.

    Giờ đây chúng ta đã kích hoạt kết nối VPN từ máy khách VPN của mình (bằng PPTP, giao thức mặc địch được cho phép trong các kết nối VPN sau khi kích hoạt máy chủ VPN trên ISA Firewall). Khi đã kết nối, chúng ta bắt đầu thực hiện một lệnh ping –t 10.0.1.2, đó là DC tại văn phòng chi nhánh. Sau một khoảng thời gian thực hiện, bạn sẽ thấy quá trình ping thành công, xem hình bên dưới.

    
    Hình 13

    Nếu quan sát việc ghi chép thời gian thực cho mảng văn phòng chi nhánh, chúng ta có thể thấy rule Ping Main to Branch đang cho phép kết nối, như thể hiện trong hình bên dưới.

    
    Hình 14

    Và nếu thực hiện một tracert từ máy khách VPN đến DC tại văn phòng chi nhánh, chúng ta sẽ thấy nó sử dụng ISA Firewall văn phòng chi nhánh với tư cách là gateway cho location đó, xem hình bên dưới.

    
    Hình 15

    Kết luận

    Trong bài này, chúng tôi đã bổ sung thêm cho các bạn một số kiến thức mạng VPN site to site bằng cách giới thiệu cách kích hoạt truy cập máy khách VPN từ xa cho các mạng ở xa được kết nối qua liên kết VPN site to site. Có hai thứ được yêu cầu để thực hiện công việc này: đầu tiên, phải có một rule mạng để kết nối mạng nguồn với mạng đích, thứ hai, phải có các Access Rule thích hợp tại cả ISA Firewall văn phòng chính và chi nhánh để cho phép lưu lượng. Khi đã có các Network Rules và Access Rules thích hợp, bạn sẽ có sự truyền thông từ các máy khách VPN truy cập xa đến các mạng từ xa của mình