Windows Server 2008 R2 作为 VPN 服务器

Question

我将在数据中心建立网络，我想知道是否可以将 Windows Server 2008 R2 用作 VPN 服务器。

另外，我听说有 3 种主要类型的 VPN：PPTP、L2TP/IPSec 和 SSTP。经过一些调查，似乎允许对 Mac OS X、Linux 和 Windows 的本机（操作系统级别）支持，我将使用 PPTP 或 L2TP/IPSec。我还读到 L2TP 比 PPTP 更安全，这是真的吗？

最后，在主域控制器 (PDC) 上安装 VPN 服务器是否是个好主意，如果不是，为什么？

Answer 1

PPTP 是其中“最不安全”的。但当您使用 EAP-* 身份验证协议时，它对于除 FIPS-140 数据之外的所有数据仍然足够安全。MS-CHAPv2 也非常安全。但它依赖于密码，这几乎总是弱点（还有社会工程，它非常有效）。

L2TP 更安全，您应该使用证书而不是 PSK 来部署它。这需要 PKI，设置起来并不难。它比 PPTP 更安全，但只是因为需要证书或 PSK。

SSTP基本上和L2TP一样安全，它再次使用证书，仍然需要PKI。它的主要优点是它可以与阻止 GRE 和 UDP 流量（分别用于 PPTP 和 L2TP）的廉价防火墙（或严格配置的防火墙）配合使用。

最佳实践是仅在服务器上单独安装 AD（或与 DNS 一起安装）；但人们经常安装其他服务而不会出现重大问题。请记住，如果此连接互联网的服务器受到损害，您的 AD DB 也会自动受到损害。