前置準備：必須啟動的系統服務
「服務」 (services.msc) 中確認下列服務狀態為「已啟動」/「自動」：
- Workstation
- Telephony
- Remote Access Connection Manager
- Remote Access Auto Connection Manager
- Remote Registry
- Server
- Routing and Remote Access (核心)
防火牆/ICS 服務：停用 或確保開放 TCP 1723 (PPTP) 與 GRE 協定 (IP 47)。
一、配置路由與遠端存取 (RRAS) — 自定義模式支援單網卡
- 「系統管理工具」→「路由和遠端存取」→ 右鍵伺服器名稱 → 「配置並啟用路由和遠端存取」
- 「自定義配置」→ 勾選 VPN 存取 + NAT/基本防火牆 → 完成 → 是 (啟動服務)
關鍵： 預設「虛擬專用網路 (VPN)」模式要求雙網卡；自定義配置可單網卡運作。
二、IP 位址指派方式
- RRAS 主控台 → 右鍵伺服器 →「內容」→「IP」分頁
- 選擇 靜態位址集區 (建議，便於管理)：
起始 IP：192.168.8.2 → 結束 IP：192.168.8.254
(避開實體網卡所在網段，防止路由衝突)
三、啟用 NAT 讓 VPN 用戶上網
- 展開「IP 路由」→「NAT/基本防火牆」
- 右鍵空白處 →「新增介面」→ 選擇連接外網的實體介面 (如「區域連線」)
- 選 公用介面連接到 Internet → ☑ 在這個介面上啟用 NAT
四、建立 VPN 撥入使用者帳號
- 「電腦管理」→「本地使用者和群組」→「使用者」→ 右鍵建立/選擇現有帳號
- 右鍵「內容」→「撥入」分頁 → 「允許存取」→ 確定
五、用戶端連線設定 (Windows 內建)
- 「網路連線」→「建立新連線」→「連線到我的工作場所網路」
- 「虛擬專用網路連線」→ 輸入公司名稱 → 輸入伺服器公網 IP/域名
- 完成 → 輸入帳號密碼 → 連線
六、驗證 VPN 生效
- 連線成功後，命令列
ipconfig /all 應顯示新增 PPP 介面與指派 IP (如 192.168.8.x)
- 瀏覽 ip138.com：
VPN 連線前 → 顯示本地公網 IP
VPN 連線後 → 顯示伺服器公網 IP (流量經伺服器出口)
常見問題排查
| 現象 | 原因 | 解決 |
|---|
| 用戶端連線失敗 (錯誤 800/721) | GRE 協定被防火牆/路由器封鎖 | 防火牆開放 IP 協定 47 (GRE)；路由器啟用 PPTP 穿透 |
| 連線成功但無法上網 | NAT 未正確啟用 / 路由衝突 | 檢查 NAT 介面設定；VPN IP 段勿與本地/遠端網段重疊 |
| 撥入帳號被鎖定 | 密碼錯誤超過原則門檻 | 帳號原則調整 / 解鎖帳號 |
| 單網卡無法啟用 VPN | 未選「自定義配置」 | 重新配置 RRAS 選自定義 + VPN + NAT |
安全加固建議
- 強制複雜密碼 + 帳號鎖定原則
- 啟用 RRAS 記錄 (事件檢視器 → 系統/安全性日誌)
- 考慮改用 L2TP/IPsec (需憑證) 或 SSTP (需 HTTPS 憑證)，比 PPTP 更安全
- 限制 VPN 用戶只能存取必要內部資源 (RRAS 靜態篩選 / 防火牆規則)
結語
Windows 2003 內建 RRAS + NAT 即可零成本架設 VPN 伺服器，單網卡環境選「自定義配置」即可突破雙網卡限制。配合 NAT 實現 VPN 用戶共用伺服器公網 IP 上網，適合中小企業遠程辦公、分支機構互聯。生產環境建議升級至 L2TP/IPsec 或 SSTP 強化加密。
