1 — Konfigurowanie usługi RRAS

Czym jest RRAS? Jest to zaawansowana usługa serwerowa systemu Windows Server, która pełni rolę software'owego routera, zapory ogniowej oraz zapewnia funkcje dostępu zdalnego (VPN, Dial-up).

Główne funkcjonalności:

Routing IP: Dynamiczny (przy użyciu protokołów routingu jak RIP, OSPF) i statyczny pomiędzy różnymi podsieciami.

Tłumaczenie adresów sieciowych (NAT): Udostępnianie hostom w sieci wewnętrznej pojedynczego publicznego adresu IP do łączenia się z Internetem.

Wirtualna Sieć Prywatna (VPN): Tworzenie bezpiecznych tuneli dla użytkowników zdalnych (PPTP, L2TP/IPsec, SSTP, IKEv2).

Zapora ogniowa: Basic firewall filtrujący ruch przychodzący i wychodzący.

Usługa dostępu zdalnego (Dial-up): Historyczna funkcja pozwalająca na łączenie się z siecią za pomocą modemu.

Router: Urządzenie (sprzętowe lub programowe) które przekazuje pakiety danych pomiędzy różnymi sieciami komputerowymi, podejmując decyzje na podstawie tablicy routingu.

Tabela routingu: Zbiór reguł (wpisów), które informują router, na który interfejs wysłać pakiet danych, aby dotarł do docelowej sieci. Zawiera:

Wpis statyczny: Wpisany ręcznie przez administratora. Trwały, ale nie przystosowuje się do zmian w topologii sieci.

Wpis dynamiczny: Uczony automatycznie przez protokoły routingu (RIP, OSPF). Elastyczny, ale wymaga konfiguracji i zużywa zasoby.

VPN (Virtual Private Network): Technologia tworzenia bezpiecznego, szyfrowanego "tunelu" przez publiczną sieć (Internet), który łączy zdalnego użytkownika lub oddział z centralną siecią firmy, tak jakby był fizycznie do niej podłączony.

NAT (Network Address Translation): Mechanizm tłumaczenia prywatnych (wewnętrznych) adresów IP na publiczny (zewnętrzny) adres IP (i vice versa) podczas komunikacji z Internetem. Chroni przed bezpośrednim dostępem do hostów wewnętrznych i oszczędza publiczne adresy IPv4.

Cel: Ręczne zdefiniowanie ścieżek, którymi pakiety mają być kierowane pomiędzy sieciami, gdy nie używa się dynamicznych protokołów routingu.

Konfiguracja: Użycie konsoli RRAS lub poleceń route add w wierszu poleceń do dodania wpisów do tablicy routingu.

Składnia (przykład): route add [sieć_docelowa] mask [maska] [adres_next_hop]

route add 192.168.2.0 mask 255.255.255.0 192.168.1.1 – "Aby dotrzeć do sieci 192.168.2.0/24, wyślij pakiety do routera o adresie 192.168.1.1".

Typy protokołów VPN w RRAS:

PPTP (Point-to-Point Tunneling Protocol): Stary, słaby standard. Szyfrowanie jest podatne na ataki. Niezalecany.

L2TP/IPsec (Layer 2 Tunneling Protocol with IPsec): Bardziej bezpieczny niż PPTP. Wymaga certyfikatu lub klucza wstępnego (preshared key) dla IPsec.

SSTP (Secure Socket Tunneling Protocol): Używa SSL/TLS (port 443). Bardzo dobre w omijaniu firewalli, ponieważ ruch wygląda jak standardowy HTTPS.

IKEv2 (Internet Key Exchange version 2): Nowoczesny, wydajny i bezpieczny protokół. Dobrze radzi sobie z niestabilnymi połączeniami (np. przełączanie między Wi-Fi a LTE).

Konfiguracja serwera: Wykorzystanie kreatora konfiguracji w konsoli RRAS do ustawienia typu dostępu (VPN), wyboru interfejsu z publicznym IP, wyboru metody przydzielania adresów IP klientom (DHCP, pula statyczna) oraz wyboru protokołów uwierzytelniania.

Cel: Udostępnienie hostom w sieci wewnętrznej dostępu do Internetu poprzez jeden publiczny adres IP serwera.

Konfiguracja w RRAS: Użycie kreatora do skonfigurowania usługi NAT. Wymaga wskazania:

Interfejsu zewnętrznego (publicznego): Ten z publicznym adresem IP, podłączony do Internetu. Dla niego włączana jest funkcja NAT.

Interfejsu(y) wewnętrznego(ych): Te z prywatnymi adresami IP (np. 192.168.1.0/24), podłączone do sieci LAN.

Do uzupełnienia.

Cel: Przygotowanie serwera do pełnienia funkcji routera.

Kroki:

Otwórz Menadżer serwera (Server Manager).

Kliknij Dodaj role i funkcje (Add Roles and Features).

W kreatorze, wybierz typ instalacji Instalacja oparta na rolach lub funkcjach.

Wybierz docelowy serwer z puli.

Na liście ról, zaznacz Dostęp zdalny (Remote Access).

Kliknij Dodaj funkcje, a następnie Dalej.

Na liście funkcji, przejdź dalej (domyślne są wystarczające).

Na stronie Usługi roli, zaznacz Routing (Routing).

Dokończ kreator i zainstaluj rolę. NIE uruchamiaj jeszcze kreatora konfiguracji po instalacji.

Otwórz narzędzie Routing and Remote Access z menu Narzędzia administracyjne (Administrative Tools).

Kliknij prawym przyciskiem myszy na nazwę serwera i wybierz Skonfiguruj i włącz routing i dostęp zdalny.

Cel: Ręczne zdefiniowanie ścieżki do odległej sieci.

Kroki (Zakładamy, że serwer ma 2 interfejsy: LAN i WAN):

W konsoli RRAS, rozwiń węzeł serwera -> IPv4 -> Static Routes.

Kliknij prawym przyciskiem myszy na Static Routes i wybierz New Static Route....

W oknie dialogowym:

Interface: Wybierz interfejs skierowany do "sąsiada", który wie, jak dotrzeć do sieci docelowej (np. LAN).

Destination: Adres sieci docelowej (np. 10.10.0.0).

Network mask: Maska sieci docelowej (np. 255.255.0.0).

Gateway: Adres IP "sąsiada" (następnego przeskoku, next hop), który ma przekazać pakiet dalej (np. 192.168.1.1).

Metric: Koszt trasy (niższy = preferowany). Zostaw 1.

Kliknij OK.

Aby przetestować, otwórz wiersz poleceń (CMD) i użyj polecenia:

route print

Sprawdź, czy nowy wpis statyczny znajduje się w tablicy routingu.

Cel: Udostępnienie dostępu do Internetu hostom w sieci wewnętrznej.

Kroki:

W konsoli RRAS, kliknij prawym przyciskiem myszy na nazwę serwera i wybierz Skonfiguruj i włącz routing i dostęp zdalny.

Uruchomi się kreator. Kliknij Dalej.

Wybierz opcję ****Translacja adresów sieciowych (NAT)**.

Kliknij Dalej.

Wybierz interfejs zewnętrzny (ten z publicznym IP lub podłączony do Internetu). Zaznacz opcję Twórz nowy demand-dial interfejs... tylko jeśli łączysz się przez modem.

Kliknij Dalej. Wybierz Włącz podstawową usługę nazw... aby klienci NAT mogli używać tego serwera jako DNS.

Dokończ kreator.

W konsoli RRAS rozwiń IPv4 -> NAT. Powinieneś zobaczyć dwa interfejsy: wewnętrzny (prywatny) i zewnętrzny (publiczny). Dla zewnętrznego w kolumnie NAT powinno być widoczne Publiczny.

Przetestuj: Podłącz klienta (inna maszyna wirtualna) do sieci wewnętrznej. Ustaw na nim bramę domyślną na adres IP wewnętrznego interfejsu serwera RRAS. Spróbuj otworzyć stronę internetową lub wykonać polecenie ping 8.8.8.8.

Cel: Umożliwienie bezpiecznego, zdalnego dostępu do sieci firmowej.

Kroki:

W kreatorze konfiguracji RRAS wybierz ****Dostęp zdalny (dial-up lub VPN)**.

Kliknij Dalej.

Zaznacz VPN. Kliknij Dalej.

Wybierz interfejs zewnętrzny (publiczny) z listy. Kliknij Dalej.

Wybierz metodę przydzielania adresów IP klientom: Automatycznie (jeśli jest serwer DHCP) lub Z określonego zakresu adresów (aby ręcznie zdefiniować pulę, np. 192.168.1.200-192.168.1.220). Kliknij Dalej.

Wybierz Nie, użyję usługi Routing i dostęp zdalny do uwierzytelniania połączeń (chyba że masz skonfigurowany serwer NPS/RADIUS). Kliknij Dalej.

Dokończ kreator.

Skonfiguruj porty: W konsoli RRAS kliknij prawym przyciskiem Porty i wybierz Właściwości. Podwójnie kliknij WAN Miniport (SSTP). Upewnij się, że opcja Zezwalaj na połączenia przychodzące jest zaznaczona. Możesz zwiększyć Maksymalną liczbę portów.

Zezwól użytkownikowi na dostęp: Otwórz Zarządzanie komputerem -> Użytkownicy i grupy lokalne -> Użytkownicy. Kliknij prawym przyciskiem na wybranym użytkowniku -> Właściwości -> zakładka Dial-in. Wybierz Zezwól na dostęp.

Przetestuj: Na komputerze klienckim (Windows 10) dodaj nowe połączenie VPN (Ustawienia -> Sieć i Internet -> VPN). Jako adres serwera podaj publiczny IP swojego serwera. Jako typ wybierz SSTP. Zaloguj się używając danych utworzonego użytkownika.