Windows Server 2003 整合路由與遠端存取服務 (RRAS)，支援 NAT 網路位址轉譯與 VPN 虛擬私人網路，無需第三方軟體即可實現「雙網卡伺服器共享 ADSL/光纖上網」與「遠程員工安全存取內網」。本文圖文示範完整部署流程。
硬體需求
- 雙網路卡：一張連接 ADSL Modem/光纖猫 (WAN)，一張連接區域網路交換器 (LAN)
- 固定 IP 或 PPPoE 撥號帳號 (WAN 介面)
- 內網規劃：如 192.168.1.0/24，伺服器 LAN IP 192.168.1.1
部署步驟
- 建立 VPN 使用者帳號：
我的電腦 → 管理 → 本機使用者和群組 → 使用者 → 新增使用者 (如 vpnuser) → 允許遠端連線
- 安裝 RRAS 角色：
控制台 → 系統管理工具 → 管理您的伺服器 → 新增或移除角色 → 「遠端存取/VPN」
- 配置 NAT：
管理您的伺服器 → 路由與遠端存取 → 右鍵伺服器 → 設定並啟用路由與遠端存取 → 「網路位址轉譯 (NAT)」→ 選擇連接 Internet 的介面 (WAN 網卡) → 選擇連接內網的介面 (LAN 網卡)
- 配置 ADSL 撥號 (若為 PPPoE)：
NAT 精靈會彈出「建立新的 Internet 要求撥號介面」→ 依照 ISP 提供帳號密碼設定
- 配置 VPN 連接埠與 IP 池：
路由與遠端存取 → 連接埠 → 右鍵內容 → 預設 PPTP 5、L2TP 5，可依需求調整
伺服器內容 → IP 指派 → 靜態位址池 → 新增範圍 (如 192.168.1.200-220) 或啟用 DHCP 轉送
- 配置防火牆開放 VPN 埠：
區域連線 (WAN) → 內容 → 進階 → 設定 → 服務 → 勾選「VPN 伺服器 (PPTP)」→ 必要時新增 L2TP/IPSec 埠 (UDP 500, 4500, IP 協定 50)
- 動態 DNS (選配)：
安裝動態 DNS 更新用戶端 (如 DynDNS、No-IP)，固定網域名稱對應動態公網 IP，方便 VPN 客戶端連線
客戶端連線驗證
- Windows 內建 VPN 客戶端：網路連線 → 建立新連線 → 連線到工作場所網路 → 輸入伺服器公網 IP/動態網域 → 輸入
vpnuser 帳號密碼 → 連線
- 連線成功後，客戶端獲得內網 IP (如 192.168.1.201)，可存取內網檔案伺服器、資料庫、內部 Web 系統
- NAT 功能：內網主機透過伺服器共享上網，外部無法直接存取內網主機
安全性強化建議
- 強制 L2TP/IPSec（比 PPTP 安全），部署電腦憑證或預共用金鑰
- VPN 使用者帳號強制複雜密碼 + 帳號鎖定原則
- 啟用 RRAS 記錄：稽核登入/登出/連線失敗事件
- 前端防火牆僅開放 VPN 必要埠，啟用 IPSec 通道模式保護管理流量
- 考慮部署 NPS (網路原則伺服器) 實現 RADIUS 集中驗證、帳單、條件存取
適用場景
- 中小企業分公司/遠程辦公室上網共享
- 外勤/居家辦公人員安全存取內網資源
- 測試/開發環境隔離網段模擬
- 預算有限無法採購專業路由器/防火牆設備
Windows Server 2003 RRAS 雖功能不及專業網路設備，但對中小規模部署具備極高性價比，且整合於熟悉的 Windows 管理介面中。
