VPN 安全核心需求

模擬專線連接 → 可靠加密 + 身份驗證 + 封裝隧道。Windows 2000 內建支援三大協議：

三大 VPN 協議比較

協議	全名	加密	驗證	特點
PPTP	Point-to-Point Tunneling Protocol	MPPE (RC4)	MS-CHAP v1/v2, EAP	最普及、NAT 穿透佳、加密強度中等
L2TP	Layer 2 Tunneling Protocol	無內建加密	電腦層級憑證/PSK	Cisco L2F + Microsoft PPTP 融合、支援非 IP 協議、需搭配 IPSec
IPSec	Internet Protocol Security	3DES/AES (ESP)	AH/ESP + IKE	網路層加密、最高安全性、可單獨用於 LAN-LAN/主機-主機

Windows 2000 VPN 架構

• 路由與遠端存取服務 (RRAS)：核心服務，支援撥號、VPN、路由器對路由器
• 遠端存取原則 (RAP)：靈活授權條件（時間、群組、呼叫者 ID、NAS 連接埠等）
• VPN 用戶端：Win2000 Pro 內建、Win9x/NT 需安裝客戶端、非 Microsoft 裝置支援 PPTP/L2TP

高安全性部署建議

1. 優先採用 L2TP/IPSec：電腦憑證驗證 + 3DES/AES 加密，防竊聽、防重放、防偽造
2. 部署企業 CA：核發電腦/使用者憑證，實現無密碼機器驗證
3. 強制強加密：RAP 設定「要求加密」→ 拒絕弱加密連線
4. 撥號用戶獨立原則：強制回撥、特定群組、不同時段不同權限
5. 高安全網段獨立 VPN 伺服器：研發/財務部門獨立 VPN 入口，與一般網段隔離

網路連線精靈統一體驗

Win2000 Professional 將撥號、VPN、直連、廣域網路統一在「網路連線精靈」建立，大幅降低用戶端設定複雜度。

結語

VPN 安全不在協議多寡，而在正確選擇 + 嚴格策略 + 憑證管理。Windows 2000 提供完整工具鏈，關鍵在於管理員落實「最小權限、強加密、集中稽核」。