Windows Server 2019/2022 中搭建 PPTP/L2TP/IPSec VPN 服务完整指南

在企业网络环境中，远程访问内网资源是常见需求，Windows Server 提供了内置的“路由和远程访问”（RRAS）功能，可以快速搭建安全可靠的虚拟私人网络（VPN）服务，满足员工、合作伙伴或移动办公人员对内网资源的访问需求，本文将详细介绍如何在 Windows Server 2019 或 2022 上配置 PPTP 和 L2TP/IPSec 类型的 VPN 服务,涵盖从安装角色到客户端连接的全流程。

第一步：安装“路由和远程访问”角色
登录到 Windows Server 管理器，点击“添加角色和功能”，选择“远程访问”角色，勾选“路由和远程访问服务”（Routing and Remote Access Service, RRAS），安装完成后，系统会提示你重启服务器,建议立即重启以确保服务生效。

第二步：配置 RRAS 服务
重启后，在“服务器管理器”中进入“工具”菜单，打开“路由和远程访问”，右键点击服务器名称，选择“配置并启用路由和远程访问”，向导会引导你选择部署场景——这里选择“自定义配置”，然后勾选“远程访问（拨号或VPN）”，点击完成，RRAS 服务自动启动，监听 1723 端口（PPTP）和 500/4500 端口（L2TP/IPSec）。

第三步：设置静态公网IP与端口转发
若服务器位于 NAT 后方（如家庭宽带或云主机），需在路由器上做端口映射：

• PPTP：将外部 IP 的 1723 端口映射到服务器内网 IP
• L2TP/IPSec：映射 UDP 500 和 4500 端口

第四步：配置用户权限与认证方式
打开“本地用户和组”→“用户”，创建一个用于远程登录的账户（如 vpnuser），右键该账户 → “属性” → “拨入”选项卡，选择“允许访问”或“通过远程访问策略控制访问”，在“远程访问策略”中新建策略，设置身份验证方式（推荐使用 MS-CHAP v2 或 EAP-TLS 加密）,并绑定用户或组。

第五步：启用 IP 地址分配
在 RRAS 控制台中，右键“IPv4”→“配置和管理 IP 地址分配”，选择“使用静态地址池”，输入可用的内网 IP 段（如 192.168.100.100–192.168.100.200），确保该网段不与现有局域网冲突，设置 DNS 和默认网关,使远程用户能访问内部资源。

第六步：客户端连接测试
在 Windows 10/11 客户端中，打开“设置”→“网络和Internet”→“VPN”，添加新连接：

• 连接名称：MyCompany_VPN
• 服务器地址：公网IP（或域名）
• 协议：选择 PPTP 或 L2TP/IPSec（后者更安全）
• 用户名和密码：使用之前创建的账号

若连接成功，说明服务器端配置正确，可进一步测试内网访问能力（如 ping 内部服务器或访问共享文件夹）。

注意事项：

• PPTP 已被认为不安全，仅用于临时测试；生产环境推荐 L2TP/IPSec 或 SSTP（SSL-based）
• 若使用证书进行身份验证（EAP-TLS），需部署 PKI 系统
• 建议结合防火墙规则限制访问源 IP，提升安全性

通过以上步骤，即可在 Windows Server 上快速搭建一个稳定、易管理的远程访问解决方案,为现代混合办公提供坚实基础。