对域控制器的VPN访问？

Question

我们有一个域控制器(Windows 2008)，它有我们所有员工的用户帐户和他们的漫游配置文件。

我正在研究远程工作人员使用笔记本电脑的选择。用户之间会共用几台笔记本电脑，每次都带着不同的笔记本电脑。

让3G连接的笔记本电脑通过VPN连接到办公服务器上是否明智？然后，用户会把他们所有的文件等都放在笔记本电脑上，就好像他们坐在办公桌前一样。但是，连接速度可能会引起问题。

是否可以通过VPN将膝上型计算机链接到域，而不添加任何额外的服务器或服务器软件？

Answer 1

虽然您当然可以为您的VPN使用域控制器，但如果您有其他选项，则通常不建议这样做。在DC上配置VPN与在任何其他Windows服务器上配置VPN没有什么不同。

考虑到您的需求，您面临的问题是，在连接到VPN之前，没有什么可以阻止用户登录到他们的笔记本电脑。尽管有可能防止这种情况发生，但它往往会使笔记本电脑的可用性大大降低。

无论VPN是在路由器上还是服务器上，这个问题都是一样的。如果您希望强制执行一项策略，强制膝上型计算机在登录(从未登录)之前连接到VPN (请不要问我如何) VPN仍然可以保留在路由器上。重要的是身份验证服务器，而不是承载VPN的/哪个服务器，只要客户端计算机在连接时可以与DC对话。

Answer 2

虽然您可以将此服务器用作VPN集中器，但我建议您考虑在边缘使用客户端VPN防火墙，如Sonicwall、Cisco ASA、检查点等。让它们根据Active Directory用户名和密码通过LDAP或Radius连接到设备。然后，他们可以使用这个隧道访问内部的资源。

我不会使用域控制器作为VPN端点，过多的安全问题。