VPN (虛擬私人網路) 讓遠端用戶透過公共網路安全接入企業內網。Windows Server 2003 內建「路由和遠端存取」服務提供完整 VPN 伺服器功能，本文以圖文並茂方式記錄完整部署與驗證流程。

部署環境

• 伺服器：雙網卡 (外網公網 IP / 內網私網 IP)
• 用戶端：Windows XP/7/10 內建 VPN 用戶端
• 認證：Windows 帳號 (Active Directory/本地帳號)

RRAS 精靈部署步驟

1. 開啟主控台：「管理工具」→「路由和遠端存取」
2. 啟用服務： 右鍵伺服器名稱 →「設定並啟用路由和遠端存取」
3. 選擇配置： 「自訂設定」→ 勾選 「VPN 存取」 (若需 NAT 上網再加勾「NAT 和基本防火牆」)
4. VPN 連線介面： 選擇連接公網的網卡 (外網卡)
5. IP 位址指派： 選擇「從指定位址範圍取得」→ 新增範圍 (如 10.10.10.10-10.10.10.50)，避免與內網/用戶端本地網段衝突
6. 驗證方式： 選擇「Windows 驗證」 (使用 AD/本地帳號) 或「RADIUS」 (企業級集中認證)
7. 完成精靈： 點擊「完成」啟動服務

建立 VPN 使用者與撥入權限

1. 「電腦管理」→「本地使用者和群組」→「使用者」→ 新增 (如 vpnuser)
2. 右鍵用戶 →「內容」→「撥入」頁籤 →「遠端存取原則」選 「允許存取」

用戶端連線建立與測試 (Windows XP 為例)

1. 「網路連線」→「建立新連線」→「連線到我的工作場所的網路」→「虛擬私人網路連線」
2. 公司名稱任意 (如 CorpVPN)
3. 主機名/IP 輸入 VPN 伺服器 公網 IP (或 DDNS 域名)
4. 建立完成 → 雙擊連線 → 輸入 vpnuser 帳密 → 連線

進階優化與安全性

• 靜態路由： 若內網多網段，在 RRAS「IP 路由」→「靜態路由」新增內網段路由指向內網閘道
• NAT 共享上網： 啟用「NAT/基本防火牆」介面勾選「公用介面連接到網際網路」+「啟用 NAT」
• 分割通道： 用戶端 VPN 內容 →「網路」→「Internet 協定 (TCP/IP)」→「進階」→ 取消勾選「在遠端網路上使用預設閘道」 → 僅內網流量走 VPN，外網直連
• 強制加密： RRAS 原則 →「加密」→ 要求「最大加密 (3DES/MPPE 128-bit)」
• 閒置逾時斷線： 原則 →「撥入限制」→ 設定閒置分鐘數 (如 30 分鐘)

常見問題

標準化 RRAS 部署流程 + 完善權限/路由/NAT/加密配置，打造企業級可靠 VPN 存取入口。

現象	可能原因	對策
連線成功但無法存取內網資源	缺乏內網靜態路由、防火牆阻擋、IP 衝突	補充靜態路由、檢查防火牆、變更 VPN IP 池網段
Error 800/721/619	GRE 協定 (47) 被防火牆/NAT 封鎖	防火牆開放 TCP 1723 (PPTP) + GRE 協定；NAT 設定 PPTP 穿透/ALG
驗證失敗	帳號鎖定、密碼錯誤、網域信任中斷、RADIUS 共用密鑰錯誤	檢查帳號狀態、重設密碼、驗證網域信任/RADIUS 設定