1、在 Windows Server 2003中安裝和配置VPN服務器概要 VPN概述 VPN的組件如何安裝和啟用 VPN服務器如何配置 VPN服務器如何將遠程訪問服務器配置為路由器如何修改同時連接的數(shù)目如何管理地址和名稱服務器如何管理訪問通過用戶帳戶訪問通過組成員身份訪問如何從客戶端計算機配置 VPN連接疑難解答遠程訪問 VPN的疑難解答概要本分步指南介紹了如何安裝虛擬專用網(wǎng)絡連接 (VPN)以及如何在運行 Windows Server 2003的服務器中創(chuàng)建新的 VPN連接。使用虛擬專用網(wǎng)絡，您可以通過另一個網(wǎng)絡（例如 Internet）連接網(wǎng)絡組件。您可以把基于 Windows Server

2、 2003的計算機作為遠程訪問服務器，這樣其他用戶可以通過使用 VPN與其連接，然后登錄到網(wǎng)絡并訪問共享資源。虛擬專用網(wǎng)絡是通過在 Internet或另外的公用網(wǎng)絡上進行“隧道*作”來實現(xiàn)的，可提供與專用網(wǎng)絡相同的安全性和功能。數(shù)據(jù)利用公用網(wǎng)絡的路由結(jié)構(gòu)在公用網(wǎng)絡上傳送，而對用戶來說，則好像是通過一個專門的專用鏈接傳送的。VPN概述虛擬專用網(wǎng)絡是一種通過公用網(wǎng)絡（如 Internet）連接專用網(wǎng)絡（如您的辦公室網(wǎng)絡）的途徑。VPN將撥號服務器的撥號連接的優(yōu)點與 Internet連接的方便與靈活性結(jié)合了起來。通過使用 Internet連接，您可以周游世界，而同時在大多數(shù)地方仍可以通過當?shù)刈罱?

3、Internet訪問電話號碼連接到您的辦公室。如果您的計算機和辦公室有高速 Internet連接（如電纜或 DSL），您就可以用最高的 Internet速度與辦公室通訊，比任何使用模擬調(diào)制解調(diào)器的撥號連接速度都要快得多。此技術(shù)使企業(yè)可以通過公用網(wǎng)絡連接到其分支辦事處或其他公司，同時又可以確保通信的安全性。通過 Internet的 VPN連接從邏輯上講相當于一個專用的廣域網(wǎng) (WAN)鏈接。虛擬專用網(wǎng)絡使用需進行身份驗證的鏈接以確保只有授權(quán)用戶才可以連接到您的網(wǎng)絡。為了確保通過公用網(wǎng)絡傳送數(shù)據(jù)的安全性，VPN連接使用點對點隧道協(xié)議 (PPTP)或第二層隧道協(xié)議 (L2TP)對數(shù)據(jù)進行加密。VPN

4、的組件運行 Windows Server 2003的服務器中的VPN組件包括一個 VPN服務器、一個 VPN客戶端、一個 VPN連接（連接中數(shù)據(jù)被加密的部分）和隧道（連接中數(shù)據(jù)被封裝的部分）。建立隧道是通過運行 Windows Server 2003的服務器中包括的兩個隧道協(xié)議之一完成的，這兩個協(xié)議都是隨“路由和遠程訪問”安裝的。Windows Server 2003安裝過程中將自動安裝“路由和遠程訪問”服務。但是，默認情況下，“路由和遠程訪問”服務會被關(guān)閉。Windows包括的這兩個隧道協(xié)議是：點對點隧道協(xié)議 (PPTP)：使用“Microsoft點對點加密”提供數(shù)據(jù)加密。第二層隧道協(xié)議 (

5、L2TP)：使用 IPSec提供數(shù)據(jù)加密、身份驗證和完整性。到 Internet的連接必須使用專用的線路，例如 T1、Fractional T1或 Frame Relay。必須用指派給您的域或由 Internet服務提供商 (ISP)提供的 IP地址和子網(wǎng)掩碼配置 WAN適配器。還必須將 WAN適配器配置為 ISP路由器的默認網(wǎng)關(guān)。注意：若要啟用 VPN，您必須使用具有管理權(quán)限的帳戶登錄。如何安裝和啟用 VPN服務器若要安裝和啟用 VPN服務器，請按照下列步驟*作：1.單擊開始，指向管理工具，然后單擊“路由和遠程訪問”。2.在控制臺左窗格中單擊與本地服務器名稱匹配的服務器圖標。如果該圖標左下角

6、有一個紅圈，則說明尚未啟用“路由和遠程訪問”服務。如果該圖標左下角有一個指向上方的綠色箭頭，則說明已啟用“路由和遠程訪問”服務。如果先前已啟用“路由和遠程訪問”服務，您可能要重新配置服務器。若要重新配置服務器，請按照下列步驟*作： a.右擊服務器對象，然后單擊“禁用路由和遠程訪問”。單擊是以繼續(xù)。 b.右擊服務器圖標，然后單擊“配置并啟用路由和遠程訪問”以啟動“路由和遠程訪問服務器安裝向?qū)А薄螕粝乱徊嚼^續(xù)。 c.單擊“遠程訪問（撥號或 VPN）”以啟用遠程計算機撥入或通過 Internet連接到本網(wǎng)絡。單擊下一步繼續(xù)。3.根據(jù)您打算分配給該服務器的角色，單擊以選擇 VPN或撥號。4.在“VP

7、N連接”窗口中，單擊連接到 Internet的網(wǎng)絡接口，然后單擊下一步。5.如果要使用 DHCP服務器給遠程客戶端分配地址，請在 IP地址分配窗口中單擊自動，或者，如果僅應從預定義池給遠程客戶端分配地址，請單擊“來自一個指定的地址范圍”。多數(shù)情況下，DHCP選項的管理更簡單。不過，如果沒有 DHCP，就必須指定一個靜態(tài)地址范圍。單擊下一步繼續(xù)。6.如果您單擊“來自一個指定的地址范圍”，就打開了地址范圍分配對話框。單擊新建。在“起始 IP地址”框中鍵入希望使用的地址范圍內(nèi)的第一個 IP地址。在“結(jié)束 IP地址”框中鍵入該范圍內(nèi)的最后一個 IP地址。Windows將自動計算地址的數(shù)目。單擊確定以返

8、回到地址范圍分配窗口。單擊下一步繼續(xù)。7.接受“否，使用路由和遠程訪問對連接請求進行身份驗證”的默認設置，然后單擊下一步繼續(xù)。單擊完成以啟用路由和遠程訪問服務并將該服務器配置為遠程訪問服務器。如何配置 VPN服務器若要繼續(xù)根據(jù)需要配置 VPN服務器，請按照下列步驟*作。如何將遠程訪問服務器配置為路由器為讓遠程訪問服務器能在您的網(wǎng)絡中正確地轉(zhuǎn)發(fā)通信量，必須用靜態(tài)路由或路由協(xié)議將其配置為一個路由器，這樣遠程訪問服務器才能訪問到內(nèi)部網(wǎng)中的所有位置。若要將服務器配置為路由器，請按照下列步驟*作： 1.單擊開始，指向管理工具，然后單擊“路由和遠程訪問”。 2.右擊服務器名稱，然后單擊屬性。 3.單擊常規(guī)

9、選項卡，然后單擊選擇“啟用此計算機作為”下的路由器。 4.單擊“局域網(wǎng)和請求撥號路由選擇”，然后單擊確定以關(guān)閉屬性對話框。如何修改同時連接的數(shù)目調(diào)制解調(diào)器撥號連接的數(shù)目取決于安裝在服務器上的調(diào)制解調(diào)器的數(shù)目。例如，如果在服務器上只安裝了一個調(diào)制解調(diào)器，則一次只能有一個調(diào)制解調(diào)器連接。撥號VPN連接的數(shù)目取決于您允許同時訪問的用戶的數(shù)目。默認情況下，如果您運行的是本文描述的步驟，則允許 128個連接。若要更改同時連接的數(shù)目，請按照下列步驟*作： 1.單擊開始，指向管理工具，然后單擊“路由和遠程訪問”。 2.雙擊服務器對象，右擊端口，然后單擊屬性。 3.在端口屬性對話框中，單擊 WAN微型端口 (

10、PPTP)，然后單擊配置。 4.在最多端口數(shù)框中，鍵入要允許的 VPN連接的數(shù)目。 5.單擊確定，再次單擊確定，然后關(guān)閉“路由和遠程訪問”。如何管理地址和名稱服務器VPN服務器必須有可用的 IP地址，以便在連接進程的 IP控制協(xié)議 (IPCP)協(xié)商階段將它們分配給 VPN服務器的虛擬接口和 VPN客戶端。分配給 VPN客戶端的 IP地址實際分配給了 VPN客戶端的虛擬接口。對于基于 Windows Server 2003的 VPN服務器，默認情況下，分配給 VPN客戶端的 IP地址是通過 DHCP獲得的。您也可以配置靜態(tài) IP地址池。VPN服務器還必須配置名稱解析服務器（通常是 DNS和 WI

11、NS服務器）地址，以在 IPCP協(xié)商期間分配給 VPN客戶端。如何管理訪問在用戶帳戶上配置撥入屬性并配置遠程訪問策略，以管理對撥號網(wǎng)絡和 VPN連接的訪問。注意：默認情況下拒絕用戶訪問撥號網(wǎng)絡。通過用戶帳戶訪問如果您按用戶管理遠程訪問，若要向某個用戶帳戶授予撥號訪問權(quán)限，請按照下列步驟*作： 1.單擊開始，指向管理工具，然后單擊“Active Directory用戶和計算機”。 2.右擊用戶帳戶，然后單擊屬性。 3.單擊“版本”選項卡。 4.單擊“允許訪問”以授予用戶撥入的權(quán)限。單擊確定。通過組成員身份訪問如果您按組管理遠程訪問，請按照下列步驟*作： 1.創(chuàng)建一個由允許創(chuàng)建 VPN連接的成員組

12、成的組。 2.單擊開始，指向管理工具，然后單擊“路由和遠程訪問”。 3.在控制臺樹中，展開“路由和遠程訪問”，展開服務器名，然后單擊遠程訪問策略。 4.在右側(cè)窗格中右擊任意位置，指向新建，然后單擊遠程訪問策略。 5.單擊下一步，鍵入策略名稱，然后單擊下一步。 6.對于“虛擬專用訪問”訪問方法，請單擊 VPN，或?qū)τ趽芴栐L問方法，請單擊撥號，然后單擊下一步。 7.單擊添加，鍵入您在步驟 1中創(chuàng)建的組的名稱，然后單擊下一步。 8.按照屏幕上的說明完成該向?qū)У?作。如果 VPN服務器已經(jīng)允許使用撥號網(wǎng)絡遠程訪問服務，則不要刪除默認策略。而是移動其位置，使它成為最后一個起作用的策略。如何從客戶端計算機

13、配置 VPN連接若要建立與 VPN的連接，請按照下列步驟*作。若要設置客戶端進行虛擬專用網(wǎng)絡訪問，請在客戶端工作站上執(zhí)行下列步驟：注意：您必須以管理員組的成員身份登錄才能執(zhí)行這些步驟。注意：因為 Microsoft Windows存在多個版本，所以在您的計算機上執(zhí)行的步驟可能與下面介紹的步驟有所不同。如果是這樣，請參閱產(chǎn)品文檔來完成這些步驟。 1.在客戶計算機上，確認與 Internet的連接配置正確。 2.單擊開始，單擊控制面板，然后單擊網(wǎng)絡連接。單擊網(wǎng)絡任務下的“創(chuàng)建一個新的連接”，然后單擊下一步。 3.單擊“連接到我的工作場所的網(wǎng)絡”以創(chuàng)建撥號連接。單擊下一步繼續(xù)。 4.單擊“虛擬專用網(wǎng)

14、絡連接”，然后單擊下一步。 5.在公司名稱對話框中為連接鍵入一個描述性的名稱，然后單擊下一步。 6.如果計算機永久連接到 Internet，請單擊不撥初始連接。如果計算機通過 Internet服務提供商 (ISP)連接到 Internet，則單擊“自動撥此初始連接”，然后單擊與 ISP連接的名稱。單擊下一步。 7.鍵入 VPN服務器計算機的 IP地址或主機名（例如 VPNServer.SampleD）。 8.如果要允許登錄到該工作站的任何用戶都能訪問此撥號連接，則單擊“任何人使用”。如果要使此連接僅供當前登錄用戶使用，則單擊“只是我使用”。單擊下一步。 9.單擊完成以保存連接。 10.單擊開始

15、，單擊控制面板，然后單擊網(wǎng)絡連接。 11.雙擊新建的連接。 12.單擊屬性以繼續(xù)為連接配置選項。若要繼續(xù)配置連接的選項，請按照下列步驟*作： 如果您要連接到一個域，請單擊選項選項卡，然后單擊選中“包含 Windows登錄域”復選框以指定在嘗試連接前是否要求 Windows Server 2003登錄域信息。 如果想讓該連接在斷線后重新?lián)芴枺瑒t請單擊選項選項卡，然后單擊選中“斷線重撥”復選框。若要使用連接，請按照下列步驟*作： 1.單擊開始，指向“連接到”，然后單擊該新建連接。 2.如果目前沒有到 Internet的連接，Windows可讓您連接到 Internet。 3.建立到 Interne

16、t的連接后，VPN服務器會提示您輸入用戶名和密碼。鍵入用戶名和密碼，然后單擊連接。您必須能夠使用您的網(wǎng)絡資源，就像直接連接到該網(wǎng)絡一樣。注意：若要從 VPN上斷開，請右擊連接圖標，然后單擊斷開連接。疑難解答遠程訪問 VPN的疑難解答無法建立遠程訪問 VPN連接原因：客戶計算機的名稱與網(wǎng)絡上另一臺計算機的名稱相同。解決方案：驗證網(wǎng)絡上的所有計算機和連接到網(wǎng)絡的計算機是否都使用唯一的計算機名稱。原因：VPN服務器上未啟動“路由和遠程訪問”服務。解決方案：驗證 VPN服務器上“路由和遠程訪問”服務的狀態(tài)。原因：VPN服務器上未啟用遠程訪問。解決方案：在 VPN服務器上啟用遠程訪問。原因：未為入站遠程

17、訪問請求打開 PPTP或 L2TP端口。解決方案：為入站遠程訪問請求打開 PPTP或 L2TP端口，或同時打開兩個端口。原因：在 VPN服務器上未啟用 VPN客戶端使用的 LAN協(xié)議來支持遠程訪問。解決方案：在 VPN服務器上啟用 VPN客戶端使用的 LAN協(xié)議以支持遠程訪問。原因：VPN服務器上的所有 PPTP或 L2TP端口已被當前連接的遠程訪問客戶端或請求撥號路由器使用。解決方案：驗證 VPN服務器上的所有 PPTP或 L2TP端口是否都已被使用。為此，請在“路由和遠程訪問”中單擊端口。如果允許的 PPTP或 L2TP端口的數(shù)目不夠高，則可以更改 PPTP或 L2TP端口的數(shù)目以允許更多

18、的同時連接。原因：VPN服務器不支持 VPN客戶端的隧道協(xié)議。默認情況下，Windows Server 2003的遠程訪問 VPN客戶端使用自動服務器類型選項，這意味著他們試圖首先建立一個基于IPSsec的 L2TP VPN連接，然后試圖建立一個基于 PPTP的 VPN連接。如果 VPN客戶端使用點對點隧道協(xié)議 (PPTP)或第 2層隧道協(xié)議 (L2TP)兩者中的一種服務器類型選項，請驗證選中的隧道協(xié)議是否受 VPN服務器支持。默認情況下，一臺運行 Windows Server 2003和“路由和遠程訪問”服務的計算機就是一個有五個 L2TP端口和五個 PPTP端口的 PPTP和 L2TP服務

19、器。若要使創(chuàng)建的服務器只為 PPTP服務器，請將 L2TP端口的數(shù)量設置為零。若要使創(chuàng)建的服務只為 L2TP服務器，請將 PPTP端口的數(shù)量設置為零。解決方案：驗證是否配置了相應數(shù)目的 PPTP或 L2TP端口。原因：VPN客戶端和 VPN服務器以及遠程訪問策略未配置為至少使用一種通用身份驗證方法。解決方案：將 VPN客戶端和 VPN服務器以及遠程訪問策略配置為至少使用一種通用身份驗證方法。原因：VPN客戶端和 VPN服務器以及遠程訪問策略未配置為至少使用一種通用加密方法。解決方案：將 VPN客戶端和 VPN服務器以及遠程訪問策略配置為至少使用一種通用加密方法。原因：VPN連接在用戶帳戶撥入屬

20、性以及在遠程訪問策略中沒有適當?shù)臋?quán)限。解決方案：驗證 VPN連接在用戶帳戶撥入屬性以及在遠程訪問策略中是否有適當?shù)臋?quán)限。若要建立連接，連接嘗試的設置必須：至少滿足一種遠程訪問策略的所有條件。通過用戶帳戶（設置為允許訪問）或通過用戶帳戶（設置為“通過遠程訪問策略控制訪問”）授予遠程訪問權(quán)限，并授予匹配的遠程訪問策略的遠程訪問權(quán)限（設置為“授予遠程訪問權(quán)限”）。與該配置文件的所有設置匹配。與該用戶帳戶的撥入屬性的所有設置相匹配。原因：遠程訪問策略配置文件的設置與 VPN服務器的屬性沖突。遠程訪問策略配置文件的屬性和 VPN服務器的屬性都包含下列設置：多重鏈接。帶寬分配協(xié)議 (BAP)。身份驗證協(xié)議

21、。如果相應的遠程訪問策略的配置文件的設置與 VPN服務器的設置沖突，則連接嘗試將被拒絕。例如，如果相應的遠程訪問策略配置文件指定必須使用可擴展身份驗證協(xié)議傳輸層安全性 (EAP-TLS)身份驗證協(xié)議，而 VPN服務器上未啟用 EAP，則連接嘗試將被拒絕。解決方案：驗證遠程訪問策略配置文件的設置以確保不與 VPN服務器的屬性沖突。原因：應答路由器無法驗證呼叫路由器的憑據(jù)（用戶名、密碼和域名）。解決方案：驗證 VPN客戶端的憑據(jù)（用戶名、密碼和域名）是否正確以及是否可被 VPN服務器驗證。原因：在靜態(tài) IP地址池中沒有足夠的地址。解決方案：如果 VPN服務器配置了靜態(tài) IP地址池，請驗證池中是否有

22、足夠的地址。如果靜態(tài)池中的所有地址都已分配給已連接的 VPN客戶端，則 VPN服務器將無法分配 IP地址，連接嘗試將被拒絕。如果已分配了靜態(tài)池中的所有地址，則修改池。原因：VPN客戶端配置為可請求其自己的 IPX節(jié)點編號，而 VPN服務器配置為不允許 IPX客戶端請求它們自己的 IPX節(jié)點編號。解決方案：配置 VPN服務器使之允許 IPX客戶端請求它們自己的 IPX節(jié)點編號。原因：給 VPN服務器配置了一段 IPX網(wǎng)絡上其他地方正在使用的 IPX網(wǎng)絡編號范圍。解決方案：給 VPN服務器配置一個在 IPX網(wǎng)絡上唯一的 IPX網(wǎng)絡編號范圍。原因：VPN服務器的身份驗證提供程序配置不正確。解決方案：

23、驗證身份驗證提供程序的配置是否正確。您可以配置 VPN服務器使用 Windows Server 2003或遠程身份驗證撥入用戶服務 (RADIUS)來驗證 VPN客戶端的憑據(jù)。原因：VPN服務器無法訪問 Active Directory。解決方案：如果 VPN服務器是混合模式或本機模式 Windows Server 2003域的一個成員服務器而且配置為使用 Windows Server 2003身份驗證，則請驗證：“RAS和 IAS服務器”安全組是否存在。如果不存在，請創(chuàng)建該組并將組類型設置為“安全”并將組作用域設置為“本地域”?！癛AS和 IAS服務器”安全組對“RAS和 IAS服務器訪問檢

24、查”對象有讀取權(quán)限。 VPN服務器計算機的計算機帳戶是“RAS和 IAS服務器”安全組中的一個成員。可以使用“netsh ras show registeredserver”命令查看當前注冊?？梢允褂谩皀etsh ras add registeredserver”命令在指定的域中注冊服務器。如果您向RAS和 IAS服務器安全組添加（或從中去除）VPN服務器計算機，則此更改不會立即生效（這是由 Windows Server 2003緩存 Active Directory信息的方式?jīng)Q定的）。若要使更改立即生效，請重新啟動 VPN服務器計算機。 VPN服務器是該域的一個成員。原因：基于 Window

25、s NT 4.0的 VPN服務器無法驗證連接請求。解決方案：如果 VPN客戶端正在撥入到運行著 Windows NT 4.0的 VPN服務器，而此服務器是 Windows Server 2003混合模式域的成員，則請使用下列命令驗證 Everyone組是否已添加到 Pre-Windows 2000 Compatible Access組中：net localgroup Pre-Windows 2000 Compatible Access如果沒有，則請在域控制器計算機上的命令提示符處鍵入下列命令，然后重新啟動域控制器計算機：net localgroup Pre-Windows 2000 Compa

26、tible Access everyone /add原因：VPN服務器無法與配置的 RADIUS服務器通訊。解決方案：如果只能通過 Internet接口訪問 RADIUS服務器，則執(zhí)行以下*作之一：為 UDP端口 1812的 Internet接口添加一個輸入過濾器和一個輸出過濾器（依據(jù) RFC 2138“遠程身份驗證撥入用戶服務 (RADIUS)”）?；?- 為 UDP端口 1645（針對較早的 RADIUS服務器）以及 RADIUS身份驗證和 UDP端口 1813（基于 RFC 2139“RADIUS計帳”）的 Internet接口添加一個輸入篩選器和一個輸出篩選器。-或 - 為用于 RADIUS計帳的 UDP端口 1646（針對較早的 RADIUS服務器）的 Internet接口添加一個輸入篩選器和一個輸出篩選器。原因：無法使用 Ping.exe實用程序通過 Internet連接到 VPN服務器。解決方案：由于在 VPN服務器的 Internet接口上配置了基于 IPSec的 PPTP和 L2TP數(shù)據(jù)包篩選，ping命令使用的 Internet控制消息協(xié)議 (ICMP)數(shù)據(jù)包被篩選掉了。若要讓 VPN服務器能夠響應 ICMP (ping)數(shù)據(jù)包，請?zhí)砑釉试S IP協(xié)議 1通信量（I