Windows Server 2003 完成 VPN 伺服器角色安裝後，預設拒絕所有使用者遠端存取。必須明確授權指定使用者或群組的「遠端存取權限 (撥入權限)」，方可建立 VPN 連線。本文說明透過本機使用者帳戶與網域使用者帳戶兩種情境的授權步驟。

前置條件

• 已安裝並設定「路由與遠端存取」服務 (RRAS) 為 VPN 伺服器 (PPTP/L2TP/IPsec)。
• 具備本機系統管理員或網域管理員權限。

情境一：本機使用者帳戶授權 (工作群組/獨立伺服器)

1. 在 VPN 伺服器上，右鍵 我的電腦 → 管理，開啟 電腦管理。
2. 展開 系統工具 → 本機使用者和群組 → 使用者。
3. 右鍵目標使用者 (如 vpn_user) → 內容。
4. 切換至 撥入 索引標籤。
5. 在 遠端存取權限 (遠端存取原則) 區域：

• 允許存取：直接授權該使用者可建立 VPN 連線 (最簡單，但無法精細控制)。
• 透過遠端存取原則控制存取 (建議)：需在「遠端存取原則」中建立條件 (群組、時間、呼叫者 ID 等) 精細控制。

6. 點選 確定 套用。

情境二：網域使用者帳戶授權 (Active Directory 環境)

網域使用者的撥入屬性儲存在 AD 使用者物件中，需在網域控制站或安裝 RSAT 的管理工作站設定：

1. 開啟 Active Directory 使用者與電腦 (dsa.msc)。
2. 找到目標使用者/群組 → 右鍵 → 內容 → 撥入 索引標籤。
3. 同樣選擇 允許存取 或 透過遠端存取原則控制存取。
4. 重要： 網域環境強烈建議使用「透過遠端存取原則控制存取」，集中管理 VPN 存取條件 (群組成員資格、時間、NAP 健康狀態)。

建立遠端存取原則 (進階精細控制)

1. 開啟 路由與遠端存取 管理主控台 (rrasmgmt.msc)。
2. 展開伺服器 → 遠端存取原則。
3. 右鍵 → 新增遠端存取原則 → 精靈：

• 名稱：VPN_Access_IT_Staff
• 條件：Windows 群組 → 加入 G_VPN_Users (包含所有獲授權 VPN 使用者的安全性群組)。
• 權限：授予遠端存取權限。
• 設定檔 → 驗證：勾選 MS-CHAP v2、EAP-TLS (憑證)、PEAP (建議)，取消勾選 PAP/SPAP/CHAP (不安全)。
• 設定檔 → 加密：要求 最強加密 (MPPE 128-bit)。
• 設定檔 → IP：指定靜態 IP 集區或 DHCP 代理。
• 設定檔 → 逾時：閒置逾時 20 分鐘、工作階段逾時 8 小時 (依安全策略調整)。

驗證與測試

1. 用戶端建立 VPN 連線 (PPTP/L2TP/IPsec)，輸入授權帳戶密碼。
2. 連線成功後，伺服器端 路由與遠端存取管理主控台 → 遠端存取用戶端 應顯示連線中使用者、IP、連線時間。
3. 事件記錄：系統記錄來源 RemoteAccess 事件 ID 20025 (使用者連線)、20026 (使用者中斷連線)。

安全性最佳實務

措施	實作方式
強制強式驗證	原則僅允許 MS-CHAPv2/EAP-TLS/PEAP，禁用 PAP/CHAP/SPAP
要求加密	原則要求 MPPE 128-bit，拒絕無加密連線
群組基礎授權	建立 G_VPN_Users 安全性群組，原則條件引用群組，人員異動只維護群組
NAP 整合	啟用網路存取保護 (NAP)，要求用戶端健康狀態 (防毒、修補、防火牆) 符合才允許 VPN 連線
雙因子驗證 (2FA)	整合 RADIUS (NPS) + Azure MFA / Duo / Google Authenticator，VPN 登入需第二因子
分割隧道控制	僅路由企業網路流量進 VPN，網際網路流量走本地閘道 (預設)；高安全環境可強制全隧道
稽核與告警	收集 RemoteAccess 事件、NPS 半徑記錄，異常地點/時間/失敗次數觸發告警

常見問題排查

錯誤 720：無 PPP 控制協定配置

檢查 RRAS 伺服器 IPv4 設定 → 靜態位址集區 / DHCP 代理 正確；用戶端 IPv6 干擾可嘗試停用 IPv6。

錯誤 800：無法建立 VPN 連線

防火牆/NAT 未開放 PPTP (TCP 1723 + GRE 協定 47) / L2TP (UDP 500, 1701, 4500) / IPsec (UDP 500, 4500, 協定 50/51)。

錯誤 691：存取被拒絕 (使用者名稱/密碼/網域無效)

確認帳戶撥入權限、密碼正確、網域前綴、帳戶未鎖定/過期、原則條件匹配 (群組成員資格生效需重新登入/重啟)。

連線成功但無法存取內部資源

檢查 RRAS 伺服器 IP 轉送已啟用 (登錄檔 IPEnableRouter=1)、內部路由器有回程路由指向 VPN 用戶端 IP 集區、防火牆允許 VPN 子網存取內部資源。