VPN L2TP/IPSEC sử dụng Certificate

---

Trong chúng ta chắc hẳn đều biết có 2 VPN Protocol là PPTP và L2TP/IPSEC trong đó VPN L2TP/IPSEC có 2 cơ chế là dùng Pre-Sharekey và Certificate. Hôm nay tôi xin trình bày về cách cấu hình VPN L2TP/IPSEC sử dụng Certificate.

Mô hình bài lab như sau:

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 901x257 và dung lượng là 134KB

VPN Server và DC nối với nhau bằng card CROSS
VPN Server và VPN Client nối với nhau bằng card LAN
VPN Server join to domain nhatnghe.local


Các bước thực hiện:
- Cài đặt và cấu hình VPN Server
- VPN Server cài đặt Certificate Services
- VPN Server và VPN Client xin Certificate
- CA cấp Certificate cho VPN Server và Client
- VPN Server và VPN Client cài đặt Certificate
- VPN Client tạo Connection.
- Test: truy cập DC và Join to Domain.


B1: Cài đặt và cấu hình VPN Server
VPN Server mở Routing & Remote Access -> Chuột phải PC03 -> Configure and Enable ...

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 136KB

Chọn Custom Configuration

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 169KB

Check ô VPN Access -> Next -> Finish

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 145KB

Cấu hình cấp IP cho VPN Client khi kết nối thành công:
Chuột phải lên PCXX -> Properties

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 138KB

Qua tab IP -> Chọn Static Address Pool -> click Add

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 170KB

Cấp địa chỉ từ : 10.10.10.100 -> 10.10.10.149 (50 kết nối) -> OK

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 172KB

Chọn Port, quan sát thấy VPN Server mặc định cho phép kết nối cả PPTP lẫn L2TP. Cấu hình VPN Server ko cho phép kết nối PPTP, chỉ cho phép kết nối L2TP: Chuột phải lên Port -> Properties

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 244KB

Chọn WAN Miniport (PPTP) -> click Configure

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 212KB

Bỏ check ô Remote Access ... và ô Demand-dial ... -> OK

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 225KB

Quan sát VPN Server bây giờ chỉ cho phép kết nối L2TP

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 243KB

B2: VPN Server cài đặt Certificate Services
Đầu tiên tiến hành cài đặt ASP.NET

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 179KB

Sau đó cài Certificate Services

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 158KB

Màn hình cảnh báo chọn YES để tiếp tục cài đặt

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 178KB

Chọn Stand-alone root CA

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 140KB

Nhập tên CA (vd: CA03)

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 144KB

Màn hình Certificate Database -> Next

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 148KB

Màn hình cảnh báo chọn YES để đồng ý tạm thời stop IIS để hoàn tất quá trình cài đặt

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 159KB

Màn hình cảnh báo về Security chọn YES

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 161KB

B3: VPN Server và VPN Client xin Certificate
-VPN Server xin Certificate
Mở Web Browser nhập: Địa chỉ CA/Certsrv (ở đây VPN Server cũng chính là CA nên có thể nhập localhost/certsrv). Sau đó chọn Request a certificate

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 183KB

Chọn Advanced Certificate request

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 134KB

Chọn Create and submit ...

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 152KB

phần NAME nhập tên máy VPN Server (ở đây là PC03.nhatnghe.local), phần Type of Certificate bung ra và chọn IPSec Certificate

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 178KB

Check ô Store certificate ... và click Submit

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 173KB

Cửa sô cảnh báo chọn YES

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 178KB

-VPN Client xin Certificate
Trên VPN Client mở Web Browser nhập: địa chỉ CA/certsrv và sau đó chọn Request a certificate

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 191KB

Tương tự như VPN Server chọn Advanced request -> Create and submit. Nhập tên máy VPN Client -> Type of Certificate chọn IPSec Certificate

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 181KB

Check ô Store Certificate ... sau đó click Submit

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 169KB

Chọn YES ở cửa sổ cảnh báo và quan sát việc xin hoàn tất

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 151KB

B4: CA cấp Certificate cho VPN Server và VPN Client
-Trên Certificate Server (cũng chính là VPN Server) mở Certificate Authority (Start->Programs->Administrative Tools->Certificate Authority)
-Chọn Pending Requests và lần lượt chuột phải lên các Request của VPN Server và VPN Client ở bước trên chọn All Task -> Issue

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 130KB

-Chọn Issue Certificates, kiểm tra các certificate cho VPN Server

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 129KB

và VPN Client

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 129KB

B5: VPN Server và VPN Client cài đặt Certificate
-Trên máy VPN Server mở Web Browser nhập localhost/certsrv -> chọn View the status ...

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 186KB

Chọn IPSec Certificate

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 136KB

Chọn Install this certificate

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 129KB

Cửa sổ cảnh báo chọn YES

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 155KB

Quan sát đã cài đặt Certificate thành công

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 126KB

Kiểm tra xem Certificate có hợp lệ hay chưa:
Chọn Start->Run->MMC

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 89KB

Màn hình MMC click menu File -> Add/Remove Snap-in

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 109KB

click Add

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 114KB

chọn Certificate -> click Add

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 157KB

chọn Computer account

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 130KB

chọn Local Computer -> Finish
[IMG]http://tai.nhatnghe.vn/hinh_047.jpg[/IMG


Sau đó bung Certificates -> Personal -> Certificates và nhấp đúp lên Certificate PC03.nhatnghe.local quan sát thấy hợp lệ

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 167KB

-Trên máy VPN Client làm tương tự như trên VPN Server
-Kiểm tra thấy Certificate của Client ko hợp lệ (chéo đỏ)

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 166KB

Vì CA03 cấp Certificate cho VPN Client không nằm trong danh sách các CA tin
tưởng

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 350KB

Tiến hành download Certificate của Server
Mở Web Browser nhập địa chỉ CA/Certsrv . Sau đó chọn Download a CA
Certificate ...

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 192KB

Chọn Download CA certificate

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 165KB

Cửa sổ download -> click Save

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 185KB

Và lưu ngoài Desktop -> click Save

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 194KB

Download hoàn tất click Close

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 182KB

Quay trở lại cửa sổ MMC (Console1.msc) và import Certificate của CA vừa
download về: bung Trusted Root Certification Authorities và chuột phải lên

Certificates -> All Task -> Import

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 348KB

Màn hình Welcome -> Next. Màn hình File to Import -> click Browse

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 301KB

Chỉ đường dẫn ra desktop (nơi lưu Certificate của CA ở bước trên vừa download)
-> Chọn Certificate của CA -> Open

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 286KB

click Next

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 305KB

Màn hình Certificate Store -> click Next -> Finish

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 299KB

Quá trình Import thành công

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 337KB

Quan sát thấy CA03 đã có trong danh sách các CA tin tưởng

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 351KB

Kiểm tra lại Certificate đã hợp lệ

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 171KB

Trên máy DC tạo 1 domain user

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 130KB

Và cho user này quyền Allow Access

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 199KB

B6: VPN Client tạo connection
Trên VPN Client: Chuột phải My Network Places -> Properties. Click Create a new
Connection

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 130KB

Màn hình Welcome -> Next, màn hình Network Connection Type -> chọn Connect
to the network at my workplace

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 175KB

Màn hình Network connection -> chọn Virtual Private Network connection

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 163KB

Màn hình Connection name -> nhập Company name

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 158KB

Màn hình VPN Server Selection nhập địa chỉ VPN Server -> Next -> Finish

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 160KB

Nhập User name, password; Check ô Save this User name .... và chọn Anyone
who uses ... > click Properties

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 168KB

qua Tab Networking, phần Type of VPN chọn L2TP IPSec VPN -> click OK

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 179KB

Click Connect

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 169KB

Quan sát đã kết nối thành công

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 140KB

B7: Kiểm tra
- VPN Client truy cập máy DC thành công

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 168KB

- VPN Client mở phần chỉnh địa chỉ IP card LAN và bổ sung Preferred DNS về máy
DC (172.16.3.2) -> OK

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 187KB

- Tiến hành Join to domain nhatnghe.local -> OK

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 183KB

- Nhập User name và password -> OK

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 189KB

- Join domain thành công

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 187KB

Restart lại máy VPN Client -> Cửa sổ logon chọn Log on to: NHATNGHE -> check
ô Log on using dial-up connection (nhằm mục đích thực hiện kết nối VPN trước khi
đăng nhập) -> OK

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 89KB

Chọn Connection: nhatnghe đã tạo ở bước trên -> Connect

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 90KB

Nhập User name và password -> Connect

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 95KB

Khi thực hiện xong kết nối, VPN Client đã log on thành công vào domain. Tiến hành
cài Adminpak.msi

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 215KB

Sau khi cài đặt hoàn tất tiến hành mở Active Directory Users and Computers

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 173KB

Tạo thử 1 user

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 141KB

Quan sát thấy tạo thành công

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh gốc với kích thước là 1024x793 và dung lượng là 175KB

Bài viết kết thúc. Rất mong được sự đóng góp của tất cả các bạn.

__________________
Nguyễn Thế Tài - Nhất Nghệ