飛魚星 VE1260 搭建 PPTP VPN：外勤/出差人員安全訪問總部內網

PPTP 雖安全性不如 IPSec/L2TP/IPsec，但Windows/macOS/Linux/Android/iOS 原生支持、無需客戶端，是中小企業快速部署遠程接入的首選。

一、網絡環境與拓撲

• 總部：飛魚星 VE1260，內網 192.168.1.0/24，公網 IP 或動態域名。
• 外勤筆記本：任意網絡 (酒店/4G/家庭寬帶)，運行 Windows 10/11。
• 目標：筆記本撥號 VPN → 獲得內網 IP → 訪問內網服務器 (如 192.168.1.10:80/3389/1433)。

二、VPN 服務端配置 (路由器側)

1. 啟用 PPTP 服務：
   路徑：VPN → PPTP 服務器 → 勾選「啟用」。
   分配地址池：192.168.1.200 - 192.168.1.216 (必須在內網網段內、未被 DHCP 佔用)。
   
2. 創建用戶賬號：
   同頁面「用戶列表」→ 添加：
   — 用戶名：sales01
   — 密碼：Str0ngP@ss!
   — 固定 IP (可選)：192.168.1.200
   
3. 防火牆放行：
   外網 → 路由器：允許 TCP 1723 (PPTP 控制) + GRE 協議 (IP 協議 47)。
   內網 ← VPN：允許 VPN 虛擬網卡訪問內網資源段。

三、客戶端撥號配置 (Windows 10/11 圖解)

1. 設置 → 網絡和 Internet → VPN → 添加 VPN 連接。
2. 提供者：Windows (內置)
   連接名稱：總部VPN
   服務器名稱/地址：vpn.company.com (動態域名) 或 202.96.x.x (公網 IP)
   VPN 類型：PPTP
   登錄信息類型：用戶名和密碼
   用戶名/密碼：按服務端創建的賬號填寫
   保存。
3. 

四、連接驗證與故障排查

1. 點擊 VPN 連接 →「連接」→ 輸入用戶名密碼 → 連接成功。
2. 
3. 驗證：
   — `ipconfig` 看到 PPP 適配器獲得 192.168.1.200
   — `ping 192.168.1.10` (內網服務器) 通
   — 瀏覽器訪問 `https://192.168.1.10` 正常
   — 遠程桌面 `mstsc /v:192.168.1.10` 連接成功

常見故障速查

現象	原因	解決
報錯 800/619/721	GRE 協議被攔截 / 端口 1723 被封	防火牆放行 GRE + TCP 1723；運營商封鎖需換 L2TP/IPsec 或 SSL VPN
撥號成功但無法訪問內網	VPN 虛擬網卡無路由 / 內網防火牆攔截	路由器啟用「VPN 客戶端訪問內網」；服務器防火牆放行 VPN 網段
斷線重連頻繁	MTU 過大導致分片	VPN 適配器 MTU 設置 1400 (netsh interface ipv4 set subinterface "VPN" mtu=1400 store=persistent)

安全建議

• 強密碼策略 (12位+複雜度) + 賬號鎖定 (5次錯誤鎖30分)。
• 啟用 MPPE 128 位加密 (PPTP 服務器設置中勾選)。
• 長期建議遷移至 L2TP/IPsec 或 SSL VPN (OpenVPN/AnyConnect)，PPTP 已知漏洞 (MS-CHAPv2 可破解)。