Windows 7 單網卡搭建 VPN + NAT 共享上網完整教程

適用場景與前提

本教程適用於 Windows 7（含 Vista） 系統，利用單張實體網卡，通過「傳入連接」功能建立 VPN 服務器，並配合 NAT 實現內網設備共享上網。適合中小辦公室、家庭實驗室或臨時遠程接入需求。

注意： Windows 桌面版作業系統僅支援單一並發 VPN 連接（一次只能有一個客戶端撥入）。

核心步驟總覽

1. 修改註冊表開啟 IP 轉發
2. 啟動關鍵系統服務
3. 建立「傳入連接」並配置 VPN 用戶/地址池
4. 透過 netsh 配置 NAT 路由
5. （Vista/Win7 專屬）註冊舊版路由 DLL 以相容 netsh routing 指令
6. 客戶端連接優化：取消「使用遠端預設閘道」

詳細操作指南

1. 開啟 IP 轉發（註冊表）

執行 regedit，定位至：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

將 IPEnabledRouter 的值從 0 改為 1。重啟電腦生效（或重啟 Routing and Remote Access 服務）。

2. 啟動必要服務

在 services.msc 中將下列服務設為「自動」並啟動：

• Routing and Remote Access（核心，必須）
• Windows Firewall：建議停用，或在「高級安全性 Windows 防火牆」中新增入站規則，允許 TCP 1723（PPTP）及 GRE 協議（IP 協議號 47）。
• 若需局域網檔案共享：確保 Server、Workstation、TCP/IP NetBIOS Helper 為啟動狀態（預設通常已啟動）。

3. 建立「傳入連接」（VPN 服務端）

1. 開啟「網路和共享中心」→「變更介面卡設定」。
2. 按 Alt 顯示選單列 → 「檔案」→「新增傳入連接」。
3. 勾選允許連接的用戶帳號（或新增專用 VPN 帳號），下一步。
4. 選擇「透過網際網路」（VPN），下一步。
5. 在「網路」頁籤 → 「網際網路通訊協定第 4 版 (TCP/IPv4)」→「內容」：
   • 勾選「允許呼叫者存取我的區域網路」。
   • 指派 IP 位址：選「從以下範圍指派」並設定地址池（如 192.168.100.10-192.168.100.20），或勾選「使用 DHCP」（需本機跑 DHCP 服務）。
6. 完成嚮導，系統會建立一個名為「傳入連接」的虛擬介面卡。

4. 配置 NAT（關鍵步驟）

以系統管理員身份執行 cmd，依序輸入：

netsh
routing ip install
add interface name="本地連接" mode=full
add interface name="內部" mode=private
exit

• 本地連接：替換為您實際連上網路（WAN）的介面卡名稱。
• 內部：即上一步建立的「傳入連接」虛擬介面卡名稱（可用 netsh interface show interface 查看）。

完成後重啟電腦或重啟 Routing and Remote Access 服務。

5. Vista / Windows 7 相容性修補（必做）

Vista/Win7 移除了 netsh routing 模組，需從舊版系統提取兩個 DLL 並註冊：

以管理員身份執行 cmd 註冊：

netsh
delete helper ipmontr.dll
delete helper ippromon.dll
add helper ipmontr.dll
add helper ippromon.dll
exit

註冊完成後，再執行第 4 步的 NAT 指令即可成功。

6. 客戶端連接優化

VPN 客戶端連接屬性 → 「網路」頁籤 → 「網際網路通訊協定第 4 版」→「進階」→ 取消勾選「在遠端網路上使用預設閘道」。這樣客戶端本地上網流量不會強制走 VPN，僅存取遠端 LAN 資源時才走隧道，大幅提升瀏覽速度。

常見問題排查

• 無法撥號/驗證失敗： 確認防火牆放行 TCP 1723、GRE 47；檢查用戶帳號「撥入」權限（在 AD/本地用戶屬性中）。
• 連上 VPN 但無法上網/存取內網： 檢查 NAT 介面名稱是否正確；確認 IPEnabledRouter=1 已生效；客戶端取消「使用遠端預設閘道」。
• netsh 提示「找不到 routing」： 執行第 5 步 DLL 註冊，並確保檔案版本相容（建議用 Server 2008 R2 版本）。

安全性提醒

• VPN 帳號請使用強密碼，並限制「僅允許透過 VPN 登入」（用戶屬性 → 撥入 → 僅允許…）。
• 生產環境建議改用 L2TP/IPsec 或 SSTP 協議（需憑證），PPTP 加密強度較弱。
• 定期檢視「路由和遠端存取」管理主控台中的連線記錄。

完成上述配置，您即擁有一個零成本、基於 Windows 7 內建功能的 VPN + NAT 閘道，滿足遠程辦公與內網共享的雙重需求。