山東證券有限責(zé)任公司是一家經(jīng)營山東省證券業(yè)務(wù)的公司，總部在濟(jì)南市，在全 省各個地市有十幾處營業(yè)部，另外在上海和北京設(shè)有兩處營業(yè)部。日常各部之間的聯(lián)系極為緊密，尤其是各地市分部與總部的聯(lián)系更是如此。鑒于證券行業(yè)的特點(diǎn)， 為了把各地市分部的網(wǎng)絡(luò)連成一體，而又降低投資和管理費(fèi)用，同時并加強(qiáng)通信的安全性，我們采用了目前微軟的基于WINDOWS NT 的VPN技術(shù)來建設(shè)山東證券網(wǎng)絡(luò)。
具體的連接方式是各地市營業(yè)部 采用64K DDN專線通過169公網(wǎng)與總部VPN服務(wù)器建立VPN通道連接。同時，為了保證整個VPN網(wǎng)絡(luò)的連續(xù)運(yùn)行，設(shè)立青島接點(diǎn)做為VPN備份服務(wù)器，一旦濟(jì)南中心點(diǎn)出 現(xiàn)故障，各地市的連接就轉(zhuǎn)移到青島接點(diǎn)上。另外在濟(jì)南中心接點(diǎn)，配置一MODEM 池，以便在緊急情況下，做為 各地市的撥入設(shè)備使用。
山東證券VPN網(wǎng)絡(luò)的IP地址規(guī)劃：濟(jì)南中心接點(diǎn)的局域網(wǎng)IP為100.100.0.1，子網(wǎng)掩碼為255.255.255.0，即100.100.0.0網(wǎng)絡(luò)段，其它地市營業(yè)部的網(wǎng) 絡(luò)段地址分別為100.100.1.0到100.100.18.0，各地市營業(yè)部的VPN驗(yàn)證服務(wù)器IP地址分別為100.100.1.1到100.100.18.1，掩碼都是255.255.255.0。因此這種劃分足以滿足該公司現(xiàn)在與以后的要求。
各地市VPN驗(yàn)證服務(wù)器配置過程:
1.在WINDOWS NT 服務(wù)器上安裝PPTP協(xié)議，并把VPN私有網(wǎng)絡(luò)通道數(shù)設(shè)置為2，這兩個通道用來與中心點(diǎn)服務(wù) 器連接訪問。
2.安裝VPN 路由及RAS管理軟件(mpri386.exe)，當(dāng)安裝完成之后，Routing and RAS Admin項(xiàng)就自動地出現(xiàn)在NT的程序項(xiàng)中。
3.在撥號網(wǎng)絡(luò)里添加VPN撥號接口，并進(jìn)行用戶名、口令、運(yùn)行的協(xié)議以及安全認(rèn)證等的配置。
4. 進(jìn)行路由選項(xiàng)的配置，我們選 用了靜態(tài)路由進(jìn)行配置，其中VPN路由的目的IP地址都是100.100.0.0（掩碼為255.255.0.0）即到中心接點(diǎn)的路由。在這 里中心點(diǎn)驗(yàn)證服務(wù)器的VPN IP地址池(POOL)是100.100.100.0到100.100.100.255,各地市VPN路由的網(wǎng)關(guān)都是中心點(diǎn)VPN PPTP POOL 地址池中IP的第一個IP地址即100.100.100.1。接口是添加的VPN撥號接口。到169公網(wǎng)的路由0.0.0.0（掩碼為0.0.0.0），網(wǎng)關(guān)是各地營業(yè)部路由器的 以太口地址， 接口是機(jī)器的網(wǎng)卡。在驗(yàn)證服務(wù)器是NT 域中創(chuàng)建用于撥號的用戶。
下面以一個地市(青島)的VPN服務(wù)器配置為例。
(1)首先在windows NT 4.0的網(wǎng)絡(luò)中添加PPTP協(xié)議
(2)添加好PPTP點(diǎn)對點(diǎn)協(xié)議后再設(shè)置兩個VPN私人網(wǎng)絡(luò)通道。用來與中心點(diǎn)驗(yàn) 證服務(wù)器連接及中心點(diǎn)驗(yàn)證服務(wù)器與本地連接作路由功能用。
(3)安裝VPN RAS And Routing Admin(mpri386.exe)軟件。
(4)在安裝過程中要重新啟動計(jì)算 機(jī)3次，才能完成Routing And RAS 的安裝。安裝成功后會在程序 項(xiàng)中增加Routing And RAS Admin程序項(xiàng)，接下來要配置VPN撥號及路由。
(5)添加VPN撥號適配器及撥號IP地址，設(shè)置VPN驗(yàn)證用戶名、口令和域。
添加完成后，可以設(shè)置VPN按需撥號路由，及VPN驗(yàn)證加密方式。
(6)接下來要設(shè)置VPN路由，可以用靜態(tài)路由也可以用RIP路由，這里我們用靜態(tài)路由，要添加兩個路由。一個是走VPN通道的路由(VPN_qd Interface)、另一個是走Internet網(wǎng)絡(luò)的路由(3Com EhterIII卡)。在這里中心點(diǎn)驗(yàn)證服務(wù)器的VPN IP地址池(POOL)是100.100.100.0到100.100.100.255,各地市VPN路由的網(wǎng)關(guān)都是中心點(diǎn)VPN PPTP POOL 地址池中IP的第一個IP地址即100.100.100.1。本地Internet網(wǎng)關(guān)IP地址應(yīng)是各地市營業(yè)所路由器以太口IP地址如10.86.0.4。則Static Routes(靜態(tài)路由表)為下表：
（7）在NT的域用戶管理器中添加VPN撥號用戶，并允許撥入。
在這里我們以青島為例，添加VPN_QD用戶，設(shè)置VPN撥號口令，并給予撥入權(quán)限。
設(shè)置完成后，可以從本地的工作 站Ping中心點(diǎn)的局域網(wǎng)中的工作站，如ping 100.100.0.1或ping 100.100.0.11如果能Ping通，則建立VPN路由正確。如果Ping不通中心點(diǎn)上的工作站，但能ping通中心點(diǎn)的VPN驗(yàn)證服務(wù)器，可能是本地VPN路由不正確。
另外在本地VPN服務(wù)器是可以Ping通Internet上的其他計(jì)算機(jī)的，如果Ping不通，可能是默認(rèn)靜態(tài)路由設(shè)置有誤。如果一切正常那么在Routing And RAS Admin管理中的Vpn_qd 和3Com EhterIII Line的Connection State(LAN And Demand Dial Interface)狀態(tài)應(yīng)該都是Connected在連接上，本地VPN服務(wù)器應(yīng)該與路由器及連接局域網(wǎng)的集線器相連接。局域網(wǎng)上的工作站IP地址應(yīng)設(shè)置為虛擬IP地址，VPN驗(yàn)證服務(wù)器或者是兩塊網(wǎng)卡(一塊連接路由器、另一塊設(shè)置虛 擬IP地址連接局域網(wǎng))，或者是一塊網(wǎng)卡(捆綁兩個IP地址)。
中心接點(diǎn)VPN驗(yàn)證服務(wù)器的配置過程：
其配置過程基本上與各地市的驗(yàn) 證服務(wù)器配置過程一樣，就是所添加的VPN私有網(wǎng)絡(luò)通道數(shù)是各營業(yè)部所添加的和。要創(chuàng)建到各營業(yè)部的VPN接口，并且對每一借口進(jìn)行靜態(tài)路由的配置。還要在WINDOWS NT 的域用戶管理器上創(chuàng)建每一個VPN用戶。
當(dāng)中心點(diǎn)驗(yàn)證服務(wù)器和營業(yè)部驗(yàn) 證服務(wù)器的配置都結(jié)束之后，就可以進(jìn)行VPN的連接。另外應(yīng)注意的是，各地市營業(yè)部網(wǎng)絡(luò)段上的客戶端機(jī)器的IP地址應(yīng)配置為該營業(yè)部VPN的規(guī)劃地址，而不是169IP地址或其它。只有這樣，才能使客戶端機(jī)器通過本地驗(yàn)證服務(wù)器連接到中心接點(diǎn)進(jìn)行資源的訪問。
