ISA als VPN-Server Teil 1: Einführung
Die Informationen in diesem Artikel beziehen sich auf:
- Microsoft ISA Server 2000
Dieser Artikel besteht aus insgesamt sechs Teilen:
- Einführung
- Serverkonfiguration für ausgehende PPTP-Verbindungen
- Serverkonfiguration für eingehende VPN-Verbindungen
- Clientkonfiguration für PPTP-VPN-Verbindungen mit Windows 2000/XP
- Clientkonfiguration für PPTP-VPN-Verbindungen mit Windows 98
- Clientkonfiguration für PPTP-VPN-Verbindungen mit PocketPC 2002
1. Einführung
Der ISA-Server bietet die Möglichkeit, eine gesicherte VPN (Virtual Private Network)-Verbindung von einem externen Client über das Internet aufzubauen. Ein VPN-Zugang ist vergleichbar mit einer RAS-Einwahl (z.B. per ISDN) direkt ins Firmennetzwerk. Der Hauptunterschied liegt darin, dass die Verbindung nicht über das Telefonnetz hergestellt wird, welche u.U. teuer und langsam ist, sondern über eine vorhandene Internetverbindung, welche i.d.R. günstiger und breitbandiger ist. Einem VPN-Clientcomputer stehen die selben Netzwerkressourcen zur Verfügung wie einem "echten" Netzwerkclient, allerdings geschwindigkeitsmäßig langsamer. Ein übliches Firmen-LAN nutzt eine Bandbreite von 100MBit/s, die meisten Firmen verfügen jedoch "nur" über eine Internetanbindung mit 2MBit/s oder weniger. Daraus ergibt sich bereits der Geschwindigkeitsunterschied. Für Zugriffe auf den Mailserver oder um einzelne Dateien vom Fileserver downzuloaden reicht dies Bandbreite von VPN-Clients in der Regel aus; es gibt ja zusätzlich die Möglichkeit, den entfernten Benutzern im Intranet einen TerminalServer zur Verfügung zu stellen.
Für VPN-Verbindungen stehen zwei Protokollarten zur Verfügung:
- PPTP
- L2TP/IPSec
Diese Anleitung beschreibt den Zugang über PPTP, welches einfacher zu konfigurieren ist, allerdings nicht mit dem Sicherheitsstandard von L2TP/IPSec mithalten kann. Für viele Anwendungsfälle ist es jedoch ausreichend.
Einer der wesentlichen Unterschiede beider Protokolle ist, daß bei L2TP/IPSec als Tunnelendpunkte jeweils der ISA Server dienen muss. Ein interner Client kann keine L2TP-Verbindung ins Internet aufbauen. Das ist bei PPTP anders. Der Startpunkt des Tunnels kann ein interner Client sein (der z.B. auch hinter einer anderen Firewall als dem ISA Server angesiedelt ist). Der Tunnelendpunkt obliegt jedoch auch hier dem ISA-Server.
Teil 2
Stand: Friday, 28. August 2009/DR.
