在 Windows Server 2003 中安裝和配置VPN服務器
• 概要
• VPN 概述
• VPN 的組件
• 如何安裝和啟用 VPN 服務器
• 如何配置 VPN 服務器
• 如何將遠程訪問服務器配置為路由器
• 如何修改同時連接的數目
• 如何管理地址和名稱服務器
• 如何管理訪問
• 通過用戶帳戶訪問
• 通過組成員身份訪問
• 如何從客戶端計算機配置 VPN 連接
• 疑難解答
• 遠程訪問 VPN 的疑難解答

概要
本分步指南介紹了如何安裝虛擬專用網絡連接 (VPN) 以及如何在運行 Windows Server 2003 的服務器中創建新的 VPN 連接。

使用虛擬專用網絡，您可以通過另一個網絡（例如 Internet）連接網絡組件。您可以把基于 Windows Server 2003 的計算機作為遠程訪問服務器，這樣其他用戶可以通過使用 VPN 與其連接，然后登錄到網絡并訪問共享資源。虛擬專用網絡是通過在 Internet 或另外的公用網絡上進行“隧道*作”來實現的，可提供與專用網絡相同的安全性和功能。數據利用公用網絡的路由結構在公用網絡上傳送，而對用戶來說，則好像是通過一個專門的專用鏈接傳送的。

VPN 概述
虛擬專用網絡是一種通過公用網絡（如 Internet）連接專用網絡（如您的辦公室網絡）的途徑。VPN 將撥號服務器的撥號連接的優點與 Internet 連接的方便與靈活性結合了起來。通過使用 Internet 連接，您可以周游世界，而同時在大多數地方仍可以通過當地最近的 Internet 訪問電話號碼連接到您的辦公室。如果您的計算機和辦公室有高速 Internet 連接（如電纜或 DSL），您就可以用最高的 Internet 速度與辦公室通訊，比任何使用模擬調制解調器的撥號連接速度都要快得多。此技術使企業可以通過公用網絡連接到其分支辦事處或其他公司，同時又可以確保通信的安全性。通過 Internet 的 VPN 連接從邏輯上講相當于一個專用的廣域網 (WAN) 鏈接。

虛擬專用網絡使用需進行身份驗證的鏈接以確保只有授權用戶才可以連接到您的網絡。為了確保通過公用網絡傳送數據的安全性，VPN 連接使用點對點隧道協議 (PPTP) 或第二層隧道協議 (L2TP) 對數據進行加密。

VPN 的組件
運行 Windows Server 2003 的服務器中的 VPN 組件包括一個 VPN 服務器、一個 VPN 客戶端、一個 VPN 連接（連接中數據被加密的部分）和隧道（連接中數據被封裝的部分）。建立隧道是通過運行 Windows Server 2003 的服務器中包括的兩個隧道協議之一完成的，這兩個協議都是隨“路由和遠程訪問”安裝的。Windows Server 2003 安裝過程中將自動安裝“路由和遠程訪問”服務。但是，默認情況下，“路由和遠程訪問”服務會被關閉。
Windows 包括的這兩個隧道協議是：

• 點對點隧道協議 (PPTP)：使用“Microsoft 點對點加密”提供數據加密。
• 第二層隧道協議 (L2TP)：使用 IPSec 提供數據加密、身份驗證和完整性。

到 Internet 的連接必須使用專用的線路，例如 T1、Fractional T1 或 Frame Relay。必須用指派給您的域或由 Internet 服務提供商 (ISP) 提供的 IP 地址和子網掩碼配置 WAN 適配器。還必須將 WAN 適配器配置為 ISP 路由器的默認網關。

注意：若要啟用 VPN，您必須使用具有管理權限的帳戶登錄。

如何安裝和啟用 VPN 服務器
若要安裝和啟用 VPN 服務器，請按照下列步驟*作：
1. 單擊開始，指向管理工具，然后單擊“路由和遠程訪問”。
2. 在控制臺左窗格中單擊與本地服務器名稱匹配的服務器圖標。如果該圖標左下角有一個紅圈，則說明尚未啟用“路由和遠程訪問”服務。如果該圖標左下角有一個指向上方的綠色箭頭，則說明已啟用“路由和遠程訪問”服務。如果先前已啟用“路由和遠程訪問”服務，您可能要重新配置服務器。若要重新配置服務器，請按照下列步驟*作：
     a.  右擊服務器對象，然后單擊“禁用路由和遠程訪問”。單擊是以繼續。
     b.  右擊服務器圖標，然后單擊“配置并啟用路由和遠程訪問”以啟動“路由和遠程訪問服務器安裝向導”。單擊下一步繼續。
     c.  單擊“遠程訪問（撥號或 VPN）”以啟用遠程計算機撥入或通過 Internet 連接到本網絡。單擊下一步繼續。

3. 根據您打算分配給該服務器的角色，單擊以選擇 VPN 或撥號。
4. 在“VPN 連接”窗口中，單擊連接到 Internet 的網絡接口，然后單擊下一步。
5. 如果要使用 DHCP 服務器給遠程客戶端分配地址，請在 IP 地址分配窗口中單擊自動，或者，如果僅應從預定義池給遠程客戶端分配地址，請單擊“來自一個指定的地址范圍”。多數情況下，DHCP 選項的管理更簡單。不過，如果沒有 DHCP，就必須指定一個靜態地址范圍。單擊下一步繼續。
6. 如果您單擊“來自一個指定的地址范圍”，就打開了地址范圍分配對話框。單擊新建。在“起始 IP 地址”框中鍵入希望使用的地址范圍內的第一個 IP 地址。在“結束 IP 地址”框中鍵入該范圍內的最后一個 IP 地址。Windows 將自動計算地址的數目。單擊確定以返回到地址范圍分配窗口。單擊下一步繼續。
7. 接受“否，使用路由和遠程訪問對連接請求進行身份驗證”的默認設置，然后單擊下一步繼續。單擊完成以啟用路由和遠程訪問服務并將該服務器配置為遠程訪問服務器。

如何配置 VPN 服務器
若要繼續根據需要配置 VPN 服務器，請按照下列步驟*作。

如何將遠程訪問服務器配置為路由器
為讓遠程訪問服務器能在您的網絡中正確地轉發通信量，必須用靜態路由或路由協議將其配置為一個路由器，這樣遠程訪問服務器才能訪問到內部網中的所有位置。

若要將服務器配置為路由器，請按照下列步驟*作：
    1. 單擊開始，指向管理工具，然后單擊“路由和遠程訪問”。
    2. 右擊服務器名稱，然后單擊屬性。
    3. 單擊常規選項卡，然后單擊選擇“啟用此計算機作為”下的路由器。
    4. 單擊“局域網和請求撥號路由選擇”，然后單擊確定以關閉屬性對話框。

如何修改同時連接的數目
調制解調器撥號連接的數目取決于安裝在服務器上的調制解調器的數目。例如，如果在服務器上只安裝了一個調制解調器，則一次只能有一個調制解調器連接。

撥號 VPN 連接的數目取決于您允許同時訪問的用戶的數目。默認情況下，如果您運行的是本文描述的步驟，則允許 128 個連接。若要更改同時連接的數目，請按照下列步驟*作：
    1. 單擊開始，指向管理工具，然后單擊“路由和遠程訪問”。
    2. 雙擊服務器對象，右擊端口，然后單擊屬性。
    3. 在端口屬性對話框中，單擊 WAN 微型端口 (PPTP)，然后單擊配置。
    4. 在最多端口數框中，鍵入要允許的 VPN 連接的數目。
    5. 單擊確定，再次單擊確定，然后關閉“路由和遠程訪問”。

如何管理地址和名稱服務器
VPN 服務器必須有可用的 IP 地址，以便在連接進程的 IP 控制協議 (IPCP) 協商階段將它們分配給 VPN 服務器的虛擬接口和 VPN 客戶端。分配給 VPN 客戶端的 IP 地址實際分配給了 VPN 客戶端的虛擬接口。

對于基于 Windows Server 2003 的 VPN 服務器，默認情況下，分配給 VPN 客戶端的 IP 地址是通過 DHCP 獲得的。您也可以配置靜態 IP 地址池。VPN 服務器還必須配置名稱解析服務器（通常是 DNS 和 WINS 服務器）地址，以在 IPCP 協商期間分配給 VPN 客戶端。

如何管理訪問
在用戶帳戶上配置撥入屬性并配置遠程訪問策略，以管理對撥號網絡和 VPN 連接的訪問。

注意：默認情況下拒絕用戶訪問撥號網絡。

通過用戶帳戶訪問
如果您按用戶管理遠程訪問，若要向某個用戶帳戶授予撥號訪問權限，請按照下列步驟*作：
    1. 單擊開始，指向管理工具，然后單擊“Active Directory 用戶和計算機”。
    2. 右擊用戶帳戶，然后單擊屬性。
    3. 單擊“版本”選項卡。
    4. 單擊“允許訪問”以授予用戶撥入的權限。單擊確定。

通過組成員身份訪問
如果您按組管理遠程訪問，請按照下列步驟*作：
    1. 創建一個由允許創建 VPN 連接的成員組成的組。
    2. 單擊開始，指向管理工具，然后單擊“路由和遠程訪問”。
    3. 在控制臺樹中，展開“路由和遠程訪問”，展開服務器名，然后單擊遠程訪問策略。
    4. 在右側窗格中右擊任意位置，指向新建，然后單擊遠程訪問策略。
    5. 單擊下一步，鍵入策略名稱，然后單擊下一步。
    6. 對于“虛擬專用訪問”訪問方法，請單擊 VPN，或對于撥號訪問方法，請單擊撥號，然后單擊下一步。
    7. 單擊添加，鍵入您在步驟 1 中創建的組的名稱，然后單擊下一步。
    8. 按照屏幕上的說明完成該向導的*作。

如果 VPN 服務器已經允許使用撥號網絡遠程訪問服務，則不要刪除默認策略。而是移動其位置，使它成為最后一個起作用的策略。

如何從客戶端計算機配置 VPN 連接
若要建立與 VPN 的連接，請按照下列步驟*作。若要設置客戶端進行虛擬專用網絡訪問，請在客戶端工作站上執行下列步驟：

注意：您必須以管理員組的成員身份登錄才能執行這些步驟。

注意：因為 Microsoft Windows 存在多個版本，所以在您的計算機上執行的步驟可能與下面介紹的步驟有所不同。如果是這樣，請參閱產品文檔來完成這些步驟。

    1. 在客戶計算機上，確認與 Internet 的連接配置正確。
    2. 單擊開始，單擊控制面板，然后單擊網絡連接。單擊網絡任務下的“創建一個新的連接”，然后單擊下一步。
    3. 單擊“連接到我的工作場所的網絡”以創建撥號連接。單擊下一步繼續。
    4. 單擊“虛擬專用網絡連接”，然后單擊下一步。
    5. 在公司名稱對話框中為連接鍵入一個描述性的名稱，然后單擊下一步。
    6. 如果計算機永久連接到 Internet，請單擊不撥初始連接。如果計算機通過 Internet 服務提供商 (ISP) 連接到 Internet，則單擊“自動撥此初始連接”，然后單擊與 ISP 連接的名稱。單擊下一步。
    7. 鍵入 VPN 服務器計算機的 IP 地址或主機名（例如 VPNServer.SampleDomain.com）。
    8. 如果要允許登錄到該工作站的任何用戶都能訪問此撥號連接，則單擊“任何人使用”。如果要使此連接僅供當前登錄用戶使用，則單擊“只是我使用”。單擊下一步。
    9. 單擊完成以保存連接。
    10. 單擊開始，單擊控制面板，然后單擊網絡連接。
    11. 雙擊新建的連接。
    12. 單擊屬性以繼續為連接配置選項。若要繼續配置連接的選項，請按照下列步驟*作：
        • 如果您要連接到一個域，請單擊選項選項卡，然后單擊選中“包含 Windows 登錄域”復選框以指定在嘗試連接前是否要求 Windows Server 2003 登錄域信息。
        • 如果想讓該連接在斷線后重新撥號，則請單擊選項選項卡，然后單擊選中“斷線重撥”復選框。

若要使用連接，請按照下列步驟*作：
    1. 單擊開始，指向“連接到”，然后單擊該新建連接。
    2. 如果目前沒有到 Internet 的連接，Windows 可讓您連接到 Internet。
    3. 建立到 Internet 的連接后，VPN 服務器會提示您輸入用戶名和密碼。鍵入用戶名和密碼，然后單擊連接。
您必須能夠使用您的網絡資源，就像直接連接到該網絡一樣。注意：若要從 VPN 上斷開，請右擊連接圖標，然后單擊斷開連接。

疑難解答

遠程訪問 VPN 的疑難解答

無法建立遠程訪問 VPN 連接

• 原因：客戶計算機的名稱與網絡上另一臺計算機的名稱相同。
解決方案：驗證網絡上的所有計算機和連接到網絡的計算機是否都使用唯一的計算機名稱。

• 原因：VPN 服務器上未啟動“路由和遠程訪問”服務。
解決方案：驗證 VPN 服務器上“路由和遠程訪問”服務的狀態。

• 原因：VPN 服務器上未啟用遠程訪問。
解決方案：在 VPN 服務器上啟用遠程訪問。

• 原因：未為入站遠程訪問請求打開 PPTP 或 L2TP 端口。
解決方案：為入站遠程訪問請求打開 PPTP 或 L2TP 端口，或同時打開兩個端口。

• 原因：在 VPN 服務器上未啟用 VPN 客戶端使用的 LAN 協議來支持遠程訪問。
解決方案：在 VPN 服務器上啟用 VPN 客戶端使用的 LAN 協議以支持遠程訪問。

• 原因：VPN 服務器上的所有 PPTP 或 L2TP 端口已被當前連接的遠程訪問客戶端或請求撥號路由器使用。
解決方案：驗證 VPN 服務器上的所有 PPTP 或 L2TP 端口是否都已被使用。為此，請在“路由和遠程訪問”中單擊端口。如果允許的 PPTP 或 L2TP 端口的數目不夠高，則可以更改 PPTP 或 L2TP 端口的數目以允許更多的同時連接。

• 原因：VPN 服務器不支持 VPN 客戶端的隧道協議。
默認情況下，Windows Server 2003 的遠程訪問 VPN 客戶端使用自動服務器類型選項，這意味著他們試圖首先建立一個基于 IPSsec 的 L2TP VPN 連接，然后試圖建立一個基于 PPTP 的 VPN 連接。如果 VPN 客戶端使用點對點隧道協議 (PPTP) 或第 2 層隧道協議 (L2TP)兩者中的一種服務器類型選項，請驗證選中的隧道協議是否受 VPN 服務器支持。
默認情況下，一臺運行 Windows Server 2003 和“路由和遠程訪問”服務的計算機就是一個有五個 L2TP 端口和五個 PPTP 端口的 PPTP 和 L2TP 服務器。若要使創建的服務器只為 PPTP 服務器，請將 L2TP 端口的數量設置為零。若要使創建的服務只為 L2TP 服務器，請將 PPTP 端口的數量設置為零。
解決方案：驗證是否配置了相應數目的 PPTP 或 L2TP 端口。

• 原因：VPN 客戶端和 VPN 服務器以及遠程訪問策略未配置為至少使用一種通用身份驗證方法。
解決方案：將 VPN 客戶端和 VPN 服務器以及遠程訪問策略配置為至少使用一種通用身份驗證方法。

• 原因：VPN 客戶端和 VPN 服務器以及遠程訪問策略未配置為至少使用一種通用加密方法。
解決方案：將 VPN 客戶端和 VPN 服務器以及遠程訪問策略配置為至少使用一種通用加密方法。

• 原因：VPN 連接在用戶帳戶撥入屬性以及在遠程訪問策略中沒有適當的權限。
解決方案：驗證 VPN 連接在用戶帳戶撥入屬性以及在遠程訪問策略中是否有適當的權限。若要建立連接，連接嘗試的設置必須：
• 至少滿足一種遠程訪問策略的所有條件。
• 通過用戶帳戶（設置為允許訪問）或通過用戶帳戶（設置為“通過遠程訪問策略控制訪問”）授予遠程訪問權限，并授予匹配的遠程訪問策略的遠程訪問權限（設置為“授予遠程訪問權限”）。
• 與該配置文件的所有設置匹配。
• 與該用戶帳戶的撥入屬性的所有設置相匹配。

• 原因：遠程訪問策略配置文件的設置與 VPN 服務器的屬性沖突。
遠程訪問策略配置文件的屬性和 VPN 服務器的屬性都包含下列設置：
• 多重鏈接。
• 帶寬分配協議 (BAP)。
• 身份驗證協議。
如果相應的遠程訪問策略的配置文件的設置與 VPN 服務器的設置沖突，則連接嘗試將被拒絕。例如，如果相應的遠程訪問策略配置文件指定必須使用可擴展身份驗證協議 — 傳輸層安全性 (EAP-TLS) 身份驗證協議，而 VPN 服務器上未啟用 EAP，則連接嘗試將被拒絕。
解決方案：驗證遠程訪問策略配置文件的設置以確保不與 VPN 服務器的屬性沖突。

• 原因：應答路由器無法驗證呼叫路由器的憑據（用戶名、密碼和域名）。
解決方案：驗證 VPN 客戶端的憑據（用戶名、密碼和域名）是否正確以及是否可被 VPN 服務器驗證。

• 原因：在靜態 IP 地址池中沒有足夠的地址。
解決方案：如果 VPN 服務器配置了靜態 IP 地址池，請驗證池中是否有足夠的地址。如果靜態池中的所有地址都已分配給已連接的 VPN 客戶端，則 VPN 服務器將無法分配 IP 地址，連接嘗試將被拒絕。如果已分配了靜態池中的所有地址，則修改池。

• 原因：VPN 客戶端配置為可請求其自己的 IPX 節點編號，而 VPN 服務器配置為不允許 IPX 客戶端請求它們自己的 IPX 節點編號。
解決方案：配置 VPN 服務器使之允許 IPX 客戶端請求它們自己的 IPX 節點編號。

• 原因：給 VPN 服務器配置了一段 IPX 網絡上其他地方正在使用的 IPX 網絡編號范圍。
解決方案：給 VPN 服務器配置一個在 IPX 網絡上唯一的 IPX 網絡編號范圍。

• 原因：VPN 服務器的身份驗證提供程序配置不正確。
解決方案：驗證身份驗證提供程序的配置是否正確。您可以配置 VPN 服務器使用 Windows Server 2003 或遠程身份驗證撥入用戶服務 (RADIUS) 來驗證 VPN 客戶端的憑據。

• 原因：VPN 服務器無法訪問 Active Directory。
解決方案：如果 VPN 服務器是混合模式或本機模式 Windows Server 2003 域的一個成員服務器而且配置為使用 Windows Server 2003 身份驗證，則請驗證：
• “RAS 和 IAS 服務器”安全組是否存在。如果不存在，請創建該組并將組類型設置為“安全”并將組作用域設置為“本地域”。
• “RAS 和 IAS 服務器”安全組對“RAS 和 IAS 服務器訪問檢查”對象有讀取權限。
• VPN 服務器計算機的計算機帳戶是“RAS 和 IAS 服務器”安全組中的一個成員。可以使用“netsh ras show registeredserver”命令查看當前注冊。可以使用“netsh ras add registeredserver”命令在指定的域中注冊服務器。
如果您向 RAS 和 IAS 服務器安全組添加（或從中去除）VPN 服務器計算機，則此更改不會立即生效（這是由 Windows Server 2003 緩存 Active Directory 信息的方式決定的）。若要使更改立即生效，請重新啟動 VPN 服務器計算機。
• VPN 服務器是該域的一個成員。

• 原因：基于 Windows NT 4.0 的 VPN 服務器無法驗證連接請求。
解決方案：如果 VPN 客戶端正在撥入到運行著 Windows NT 4.0 的 VPN 服務器，而此服務器是 Windows Server 2003 混合模式域的成員，則請使用下列命令驗證 Everyone 組是否已添加到 Pre-Windows 2000 Compatible Access 組中：
"net localgroup "Pre-Windows 2000 Compatible Access""
如果沒有，則請在域控制器計算機上的命令提示符處鍵入下列命令，然后重新啟動域控制器計算機：
net localgroup "Pre-Windows 2000 Compatible Access" everyone /add

• 原因：VPN 服務器無法與配置的 RADIUS 服務器通訊。
解決方案：如果只能通過 Internet 接口訪問 RADIUS 服務器，則執行以下*作之一：
• 為 UDP 端口 1812 的 Internet 接口添加一個輸入過濾器和一個輸出過濾器（依據 RFC 2138“遠程身份驗證撥入用戶服務 (RADIUS)”）。– 或 -
• 為 UDP 端口 1645（針對較早的 RADIUS 服務器）以及 RADIUS 身份驗證和 UDP 端口 1813（基于 RFC 2139“RADIUS 計帳”）的 Internet 接口添加一個輸入篩選器和一個輸出篩選器。
- 或 -
• 為用于 RADIUS 計帳的 UDP 端口 1646（針對較早的 RADIUS 服務器）的 Internet 接口添加一個輸入篩選器和一個輸出篩選器。

• 原因：無法使用 Ping.exe 實用程序通過 Internet 連接到 VPN 服務器。
解決方案：由于在 VPN 服務器的 Internet 接口上配置了基于 IPSec 的 PPTP 和 L2TP 數據包篩選，ping 命令使用的 Internet 控制消息協議 (ICMP) 數據包被篩選掉了。若要讓 VPN 服務器能夠響應 ICMP (ping) 數據包，請添加允許 IP 協議 1 通信量（ICMP 通信量）的輸入篩選器和輸出篩選器。

• 原因：未給被路由的協議添加適當的請求撥號接口。
解決方案：給被路由的協議添加適當的請求撥號接口。

• 原因：路由器對路由器 VPN 連接的兩端都沒有支持雙向通信量交換的路由。
解決方案：與遠程訪問 VPN 連接不同，路由器對路由器 VPN 連接不會自動創建默認路由。在路由器對路由器 VPN 連接的兩端都創建路由，以便路由器對路由器 VPN 連接兩端的通信量都可以路由到對方。

您可以手動向路由表中添加靜態路由，也可以通過路由協議添加靜態路由。
對于持續性 VPN 連接，您可以在 VPN 連接上啟用“開放式最短路徑優先 (OSPF)”或“路由信息協議 (RIP)”。
對于請求 VPN 連接，可以通過自動靜態 RIP 更新來自動更新路由。

• 原因：雙向初始化的應答路由器作為遠程訪問連接，正在解釋路由器對路由器的 VPN 連接。
解決方案：如果呼叫路由器的憑據中的用戶名出現在“路由和遠程訪問”中的撥入客戶端下，則應答路由器將把呼叫路由器解釋為遠程訪問客戶端。請驗證呼叫路由器的憑據中的用戶名是否與應答路由器上請求撥號接口的名稱匹配。如果傳入呼叫方是一個路由器，則接收呼叫的端口將顯示為活動狀態，而且相應的請求撥號接口處于連接狀態。

• 原因：呼叫路由器和應答路由器的請求撥號接口上的數據包篩選器使通信量不能傳輸。
解決方案：驗證以確保呼叫路由器和應答路由器的請求撥號接口上不存在阻止通信量傳輸的數據包篩選器。可以給各請求撥號接口配置 IP 和 IPX 輸入和輸出篩選器，以精確控制允許進出該請求撥號接口的 TCP/IP 和 IPX 通信量的性質。