RRAS (路由與遠端存取) 支援 PPTP/L2TP/IPSec VPN。對直接連網的 VPN 伺服器，套用封包篩選器僅允許 PPTP 流量進出，實踐最小權限原則。

PPTP 協定特徵

• 控制通道：TCP 1723。
• 資料隧道：GRE 協定 (IP 協定號 47)。

輸入篩選器 (允許用戶端 → 伺服器)

1. 管理工具 → 路由與遠端存取 → 伺服器 → IP 路由 → 一般。
2. 右鍵外部介面 → 內容 → 一般 → 輸入篩選器 → 新增。
3. 目的網路：勾選 → IP 位址 = 外部介面 IP、子網遮罩 255.255.255.255。
4. 協定：TCP → 目的連接埠 1723 → 確定。
5. 再新增：目的網路同前 → 協定：其他 → 協定號 47 (GRE) → 確定。
6. 勾選「捨棄所有封包，符合下列條件者除外」。

輸出篩選器 (允許伺服器 → 用戶端)

1. 同介面內容 → 輸出篩選器 → 新增。
2. 來源網路：勾選 → IP 位址 = 外部介面 IP、子網遮罩 255.255.255.255。
3. 協定：TCP → 來源連接埠 1723 → 確定。
4. 再新增：來源網路同前 → 協定：其他 → 協定號 47 (GRE) → 確定。
5. 勾選「捨棄所有封包，符合下列條件者除外」。

驗證與維護

• 用戶端撥號測試：確認 TCP 1723 連線建立、GRE 封包雙向通暢。
• 監控 RRAS 事件日誌 (事件 ID 20184 等) 追蹤被阻擋封包。
• 若需同時支援 L2TP/IPSec，另行加入 UDP 500/4500、IP 協定 50 (ESP) 篩選規則。

嚴格篩選器配置可大幅降低 VPN 伺服器暴露面，符合資安稽核要求。