萬盛學電腦網

瀏覽器 Windows 10 WPS Office 防毒軟體 資料庫 Excel 教學 檔案管理 Word 教學 網頁製作 裝機必備軟體 Linux 教學

您现在的位置：萬盛學電腦網 >> 作業系統 > >> Windows Server 2003 教學

Windows Server 2003 內建 RRAS 實現 NAT 網路共享與 VPN 完整部署指南

Windows Server 2003 強化了路由與遠端存取服務 (RRAS)，原生支援 NAT (網路位址轉換)、VPN (PPTP/L2TP)、撥號、IPsec 等功能，無需第三方軟體 (如 Wingate、SyGate、ISA Server) 即可實現企業級網關功能。本文以雙網卡伺服器為例，詳細記錄從角色安裝、NAT 介面綁定、VPN 埠口配置、防火牆規則、動態 DNS 整合的完整部署流程。

硬體拓撲

外網卡：連接 ADSL Modem (PPPoE 撥號或靜態 IP)，介面名稱建議重命名為 WAN。
內網卡：連接區域網路交換器，靜態 IP (例：192.168.1.1/24)，介面名稱建議重命名為 LAN。

一、安裝 RRAS 角色 (遠端存取/VPN)

「我的電腦」右鍵→「管理」→「本機使用者和群組」→「使用者」→ 新增 VPN 專用帳號 (如 vpnuser) → 內容→「撥入」索引標籤 →「允許存取」→ 確定。
「控制台」→「管理工具」→「管理您的伺服器」→「新增或移除角色」。
精靈偵測完成 →「自訂設定」→「伺服器角色」勾選 「遠端存取/VPN 伺服器」 →「下一步」→ 確認摘要 →「下一步」安裝檔案 (需安裝光碟)。

新增VPN服務角色

二、配置 NAT 與網路介面綁定

安裝完成後，精靈進入「路由與遠端存取伺服器安裝精靈」。
選擇 「網路位址轉譯 (NAT)」 →「下一步」。
「連接到 Internet 的介面」：選擇外網卡 (WAN)。
若尚未建立 ADSL 連線，精靈會彈出「新增連線精靈」建立 PPPoE 撥號連線 (輸入 ISP 提供帳號/密碼/服務名稱)。

設定NAT轉發介面

「私人介面連接到私人網路」：選擇內網卡 (LAN) →「下一步」。

設定連接Internet網卡

設定連接內網網卡

完成精靈，RRAS 服務啟動，NAT 開始運作：內網機器指定閘道為 192.168.1.1、DNS 指向 ISP/內部 DNS，即可上網。

三、VPN 伺服器進階配置

開啟「管理工具」→「路由與遠端存取」主控台。
展開伺服器名稱 →「遠端存取原則」/「連接埠」/「伺服器」節點。

管理VPN連線主控台

1. ADSL/PPPoE 連線屬性微調

右鍵 WAN 介面下的 PPPoE 連線 →「內容」→「選項」/「安全性」/「網路」索引標籤調整：
• 撥號嘗試次數、空閒逾時、重新連線行為。
• 安全性：要求加密 (MPPE 128-bit)、允許 MS-CHAP v2。
• 網路：啟用 IP 協定、指派靜態 IP 或 DHCP。

修改撥號連線屬性

2. VPN 埠口 (PPTP/L2TP) 並發連線數調整

右鍵「連接埠」→「內容」→ 預設：PPTP 5 埠、L2TP 5 埠。依授權與頻寬調整 (如各 50 埠)。

修改VPN埠口屬性並發數

3. VPN 撥入 IP 位址指派

右鍵伺服器名稱 →「內容」→「IP」索引標籤：
• 靜態位址集區：新增範圍 (例：192.168.10.100-192.168.10.150)。
• 或勾選「從 DHCP 伺服器取得」 (需內網有 DHCP)。

設定撥入IP位址集區

4. 防火牆開放 VPN 埠口 (ICF/前端防火牆)

右鍵 WAN 介面 (PPPoE 連線) →「內容」→「安全性」→ 服務清單中雙擊 「VPN 閘道 (PPTP)」 → 勾選啟用。
同理啟用「VPN 閘道 (L2TP/IPSec)」。
若部署前端硬體防火牆/UTM，需同步開放 TCP 1723 (PPTP)、UDP 500/4500 (L2TP/IPSec)、IP 協定 47 (GRE)。

設定撥入防火牆規則

四、動態 DNS 整合 (方便遠端連線)

在伺服器安裝動態 DNS 更新用戶端 (如 DynDNS Updater、No-IP DUC、花生殼)，將公網 IP 即時解析至固定域名 (如 mycompany.dyndns.org)，遠端使用者僅需記住域名即可發起 VPN/RDP 連線。

五、生產環境強化建議

改用 ISA Server 2004/2006 或 Forefront TMG：提供應用層檢測、Web 快取、發佈規則、VPN 雙因子驗證、端點健康檢查 (NAP) 等企業級功能。
IPsec 站對站 VPN：分公司間連結優先使用 L2TP/IPsec 或純 IPsec 隧道，安全性優於 PPTP。
頻寬管理 (QoS)：在 RRAS/交換機/前端防火牆配置流量整形，保障關鍵業務 (ERP、VoIP、RDP) 頻寬。
稽核與記錄：啟用 RRAS 事件記錄 (事件檢視器 → 系統/安全性)、IAS/RADIUS 記錄 (若對接 RADIUS)、防火牆日誌。
修補程式：套用所有 RRAS 相關安全性更新 (MS06-xxx, MS08-xxx 等)，防範 PPTP/L2TP/IPSec 協定漏洞 (如 CVE-2012-0152, CVE-2019-11924)。

Windows Server 2003 RRAS 以零授權成本提供完整 NAT+VPN 網關功能，對中小企業、分支機構、實驗室環境極具吸引力。但面對現代威脅，建議將其定位為「邊界輔助/備援網關」，核心邊界防禦仍應交由專用新世代防火牆/UTM 負責。