以 Windows 2000 為例，系統梳理撥號/VPN 遠程訪問的連接流程、六大安全措施、註冊表級賬號鎖定配置、策略衝突解決原則、名稱解析與路由故障排查、端對端加密邊界釐清，為構建安全遠程接入提供完整參考幀。
遠程訪問連接全流程（Windows認證 + MS-CHAP）
- 客戶端撥號連接 RAS 服務器
- 服務器發送挑戰
- 客戶端回應加密憑據（用戶名、域、密碼哈希）
- 服務器驗證憑據（本地 SAM / AD / RADIUS）
- 授權檢查：用戶撥入屬性 + 遠程訪問策略（RAP）
- 回撥驗證（如啟用）：掛斷 → 回撥預置號碼 → 重新協商
- 連接建立，客戶端獲得賬號對應的網絡訪問權限（同 LAN 用戶）
六大安全支柱深度解析
1. 身份驗證協議演進與選擇
| 協議 | 加密強度 | 抗重放 | 相互認證 | 支援場景 |
|---|
| PAP | 明文 | 無 | 無 | 極舊設備兼容，禁用 |
| SPAP | 可逆加密 | 弱 | 無 | 舊版 Shiva，禁用 |
| CHAP | MD5 Hash | 挑戰機制 | 單向 | 非微軟設備互操作 |
| MS-CHAP v1 | DES/MD4 | 挑戰機制 | 單向 | Win9x/NT4 兼容，已脆弱 |
| MS-CHAP v2 | 雙向 DES/MD4 | 雙向挑戰 | 相互認證 | Win2000+ 默認推薦 |
| EAP-TLS | 憑證/PKI | 強 | 相互認證 | 智能卡/機器憑證，最高安全 |
2. 授權模型：雙軌制
- Windows認證模式：本地 SAM/AD 用戶屬性「撥入權限」（允許/拒絕/通過策略控制）+ 本地/域遠程訪問策略（RAP）。
- RADIUS模式：憑據轉發至 IAS/NPS，由中央策略決定認證+授權（VSA廠商屬性、集中日志、雙因子集成）。
3. 數據加密：MPPE 與 IPSec 的分層防護
- 鏈路層加密 (MPPE)：PPP 協商、40/56/128 位 RC4、依賴 MS-CHAP v1/v2 或 EAP-TLS 派生金鑰、僅保護客戶端↔RAS服務器段。
- 網絡層端到端加密 (IPSec)：建立遠程訪問隧道後，客戶端↔內網資源（文件服務器、SQL、Exchange）啟用 IPSec 傳輸模式，實現真正端對端機密性完整性。
4. 來電話號碼驗證 (Caller ID)
在用戶屬性「撥入」或 RAP 中指定允許呼入的電話號碼（支持通配符）。物理層綁定，防止憑據被盜用於其他線路。需 PSTN/ISDN 線路支持來電顯示，VoIP/手機熱點場景失效。
5. 回撥：物理驗證的二次確認
- 管理員設置號碼：服務器掛斷後回撥固定號碼，防止號碼竊取。
- 用戶設置號碼：用戶認證時指定回撥號碼，靈活性高但風險大（可被社工修改）。
- 僅回撥：認證+授權+回撥全通過才建立會話，最高安全等級。
6. 賬號鎖定：防暴力破解的註冊表級防線
路徑：HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters\AccountLockout
| 值名 | 類型 | 默認 | 建議 | 說明 |
|---|
| MaxDenials | DWORD | 0 (禁用) | 5-10 | 最大失敗次數，非零啟用鎖定 |
| ResetTime (分鐘) | DWORD | 0xB40 (2880min/48h) | 30-60 | 失敗計數器重置間隔，防正常用戶誤觸發 |
手動解鎖：刪除 HKLM\...\AccountLockout\DomainName:UserName 子鍵。注意：僅影響遠程訪問，不影響本地/域登錄。
策略衝突解決鐵律：服務器屬性為基線，策略配置文件為覆蓋
- 服務器屬性**禁用**的功能（如 EAP、多鏈路、BAP），策略中**啟用也無效** → 連接失敗。
- 服務器屬性**啟用**的功能，策略中可**啟用/禁用/收窄**，**策略優先**。
- 例：服務器啟用 MS-CHAP v1/v2，策略僅允許 MS-CHAP v2 → 最終僅允許 v2。
常見故障排查速查表
| 現象 | 首查方向 | 關鍵命令/工具 |
|---|
| 認證通過但無法訪問內網資源 | 路由/名稱解析 | 服務器啟用 IP 路由、靜態路由表、客戶端 ipconfig /all 檢查 DNS/WINS 分配 |
| 客戶端獲取 IP 但無法解析名稱 | DNS/WINS 未下發 | RAP→IP 設置→指定 DNS/WINS 服務器；DHCP Relay 配置 |
| 連接頻繁斷開/重協商 | L2TP/IPSec 協商失敗、MTU 黑洞 | 啟用 IPSec 日志、Ping -f -l 1472 測試 MTU、調整 MTU 1400 |
給現代架構的啟示
Win2000 RAS 架構已退役，但其認證-授權-加密-準入控制-審計五維模型，完美映射至現代 Zero Trust Network Access (ZTNA) / SDP / SASE 架構：
- Identity Provider (IdP) ≈ Windows/RADIUS 認證
- Policy Decision Point (PDP) ≈ 遠程訪問策略 (RAP)
- Policy Enforcement Point (PEP) ≈ RAS 服務器 / SASE Edge
- MPPE → TLS 1.3 / WireGuard / IPsec IKEv2
- Caller ID/Callback → 設備指紋/地理位置/行為分析
- Account Lockout → 自適應認證/風險評分封禁
理解經典模型，更能看清現代架構的本質傳承與創新邊界。