Windows Server 2003 VPN 實作系列 (三)：遠端用戶端 VPN 連線與驗證

實驗場景

模擬外勤人員透過網際網路 (模擬 192.168.50.0/24) 使用預建帳號撥號連入總部 VPN 伺服器 (Lan1)，存取內部資源。

第三部分核心內容

1. VPN 用戶端連線建立：在獨立用戶端虛擬機 (非 Lan1/Lan2) 建立 VPN 連線項目，指定伺服器公網 IP (192.168.50.x)，協定選 PPTP/L2TP。
2. 認證與授權：輸入委派帳號 (如 vpnuser) 密碼，RRAS 驗證通過，指派靜態虛擬 IP (10.240.60.3)。
3. 連線成功驗證：
   • ipconfig 顯示虛擬網卡已獲 IP、子網路遮罩、無預設閘道 (分流模式)。
   • Ping 總部 VPN 伺服器虛擬 IP (10.240.60.1) 成功。
   • Ping 總部內部檔案伺服器 (192.168.40.10) 成功。
   • 瀏覽內部 Web 入口、存取共享資料夾、連線 SQL Server 均正常。
4. 斷線隔離驗證：斷開 VPN 後，所有內部資源 Ping 失敗、存取被拒，確認通道加密與存取控制邊界清晰。
5. 分公司模擬測試：在 Lan2-XP-Client 嘗試存取 Lan1 內部資源，因未建立站對站 VPN，預期失敗 (為第四部分鋪墊)。

關鍵截圖說明

包含 12 張截圖：用戶端建立連線精靈、協定選擇、伺服器 IP 輸入、連線屬性 TCP/IP 進階設定、撥號認證對話框、連線成功狀態、虛擬網卡 IP 詳細資訊、路由表新增靜態路由、內部資源 Ping 成功、共享資料夾存取、Web 入口登入、斷線後 Ping 失敗對比。

最佳實踐提醒

• 生產環境強制使用 L2TP/IPsec 或 SSTP (需憑證)，避免 PPTP 已知弱點。
• 啟用 NAP (網路存取保護) 強制用戶端健康檢查 (防毒、修補程式、防火牆)。
• 設定閒置逾時斷線 (如 30 分鐘) 與最大連線時數 (如 8 小時) 降低風險。
• 定期稽核 RRAS 事件日誌 (Event ID 20000 系列) 追蹤異常連線。