PPTP VPN 客戶端封包篩選器設定全攻略：保護 Windows Server 2003 RRAS

背景：為何要設定 PPTP 篩選器？

Windows Server 2003 的「路由和遠程存取」服務支援 PPTP VPN。若伺服器直接暴露於網際網路，建議啟用封包篩選，依據「最小權限原則」：預設封鎖所有封包，僅允許 PPTP 相關流量通過，保護內部網路免受攻擊。

PPTP 通訊協定關鍵參數

• TCP 埠 1723： PPTP 控制通道（建立/維護隧道）。
• 通訊協定編號 47 (GRE)： PPTP 資料封裝通道。

設定輸入篩選器（允許客戶端發起的連線）

1. 開啟「路由和遠程存取」管理主控台。
2. 展開伺服器 → IP 路由 → 一般 → 右鍵外部介面 → 內容 → 「一般」分頁 → 「輸入篩選器」→ 「新增」。
3. 規則 1（TCP 1723 控制通道）：
   目的地網路：勾選 → IP 位址填外部介面 IP → 子網遮罩 255.255.255.255 → 協定：TCP → 目的地連接埠：1723。
4. 勾選「捨棄所有封包，除非符合下列條件」。
5. 規則 2（GRE 協定 47）：
   目的地網路：勾選 → IP 位址填外部介面 IP → 子網遮罩 255.255.255.255 → 協定：其他 → 協定編號：47。

設定輸出篩選器（允許伺服器回應客戶端）

1. 同樣在外部介面內容 → 「一般」分頁 → 「輸出篩選器」→ 「新增」。
2. 規則 1（TCP 1723 回應）：
   來源網路：勾選 → IP 位址填外部介面 IP → 子網遮罩 255.255.255.255 → 協定：TCP → 來源連接埠：1723。
3. 勾選「捨棄所有封包，除非符合下列條件」。
4. 規則 2（GRE 協定 47 回應）：
   來源網路：勾選 → IP 位址填外部介面 IP → 協定：其他 → 協定編號：47。

驗證與注意事項

• 設定完成後，外部介面僅允許 PPTP 流量進出，所有其他封包被丟棄。
• 若需開放其他服務（如 HTTP、DNS），需額外新增對應篩選規則。
• 設定錯誤可能導致 VPN 連線失敗，請先在測試環境驗證。