前置條件

• Windows 7 專業版/企業版/旗艦版 (家用版不支援傳入連線)。
• 主機擁有固定公網 IP 或配合 DDNS/路由器埠轉發 (1723 TCP + GRE 協定 47)。
• 本地網路有 DHCP 伺服器 (通常是路由器) 可分配 IP 給 VPN 用戶端，或手動規劃靜態 IP 池。

步驟 1：建立傳入連線 (VPN 伺服器端)

1. 右鍵網路圖示 →「開啟網路和共用中心」→ 左側「變更介面卡設定」。
2. 按 Alt 顯示選單列 →「檔案」→「新增傳入連線」。
3. 勾選允許連線的使用者帳號 (或「新增使用者」建立專用 VPN 帳號，設定強密碼)。
4. 「允許使用者透過下列方式連線」→ 勾選「透過網際網路」→ 下一步。
5. 網路協定：勾選「網際網路通訊協定 4 (TCP/IPv4)」→「屬性」：
   • 若本地有 DHCP：選「允許呼叫者存取我的區域網路」→ 由本地 DHCP 分配 IP (最簡單)。
   • 若無 DHCP：選「指定 IP 位址」→ 設定一段未使用的 IP 範圍 (如 192.168.1.180-199) → 子網路遮罩 255.255.255.0。
6. 點擊「允許存取」完成建立。系統會顯示「傳入連線」圖示於網路連線資料夾。

步驟 2：防火牆與路由器埠轉發

• Windows 防火牆：預設建立傳入連線時會自動開啟例外 (TCP 1723 + GRE)。確認「進階安全 Windows 防火牆」→「輸入規則」有「路由及遠端存取 (PPTP/GRE)」已啟用。
• 路由器 (NAT 後方) 必須設定 **埠轉發**：
  • 外部埠 1723 → 內部 IP (VPN 伺服器 LAN IP) : 1723 (TCP)。
  • GRE 協定 (IP 協定號 47) → 同樣轉發至 VPN 伺服器 LAN IP (部分路由器稱「VPN 穿透」或「PPTP 穿透」)。
• 若路由器支援 DMZ，也可將 VPN 伺服器置於 DMZ (較不安全，需配合主機防火牆)。

步驟 3：用戶端連線設定 (Windows 7/10/11 通用)

1. 「控制台」→「網路和共用中心」→「設定新的連線或網路」→「連線到工作場所」→「使用我的網際網路連線 (VPN)」。
2. 網際網路位址：輸入 VPN 伺服器公網 IP 或 DDNS 域名。
3. 目的地名稱：自訂 (如「公司 VPN」)。
4. 輸入帳號密碼 (步驟 1 建立的 VPN 帳號) → 連線。
5. 連線成功後，網路連線資料夾會出現新的 VPN 介面卡，取得虛擬 IP，即可存取內網資源 (共享資料夾、內部 Web、資料庫等)。

常見問題排查

現象	可能原因	解決方向
錯誤 800/806/807/809	GRE 協定被阻擋 / 路由器未開啟 PPTP 穿透 / 防火牆攔截	路由器開啟 GRE/VPN 穿透、確認防火牆入站規則、嘗試 DMZ 測試
連線成功但無法存取內網資源	VPN 用戶端未取得正確閘道/路由、本地防火牆阻擋、子網衝突	檢查 VPN 介面卡 IPv4 設定「在遠端網路上使用預設閘道」勾選狀態、暫停本地防火牆測試、確保 VPN IP 段與本地 LAN 不衝突
頻繁斷線/速度極慢	MTU 過大導致分片、ISP 干擾 PPTP、加密效能瓶頸	降低 VPN 介面卡 MTU (netsh interface ipv4 set subinterface "VPN連線" mtu=1400 store=persistent)、改用 L2TP/IPsec 或 SSTP (需 Server 2008+)
用戶端提示「遠端伺服器不回應」	伺服器端 RRAS 服務未啟動 / 埠衝突 / 介面卡綁定錯誤	services.msc 確認「Routing and Remote Access」運行中、netstat -an 檢查 1723 監聽

安全強化建議

1. **改用 L2TP/IPsec 或 SSTP (需 Server 2008+)**：PPTP 加密脆弱 (MS-CHAPv2 可破解)，Win 7 客戶端支援 L2TP/IPsec (需預先共用金鑰/憑證)。
2. **強制強密碼策略 + 帳戶鎖定**：防禦暴力破解。
3. **啟用 NPS (網路原則伺服器) 做 RADIUS 驗證**：集中管理 VPN/無線/交換機 802.1X 認證。
4. **定期稽核 VPN 登入日誌**：事件檢視器 → 應用程式與服務記錄 → Microsoft → Windows → RAS → Operational。

結語

Windows 7 內建「新增傳入連線」功能，無需額外軟體即可搭建 PPTP VPN 伺服器，適合中小團隊、SOHO、個人遠端存取需求。但 PPTP 安全性已不足，生產環境強烈建議升級至 Windows Server + SSTP/IKEv2 或部署專用 VPN 設備 (OpenVPN/WireGuard/IPSec)。掌握原生搭建流程，有助於理解 VPN 核心協定與網路拓撲，為進階方案打基礎。