伺服器角色定位
Lan1-Server 同時扮演三重角色：
- VPN 伺服器 (RRAS)：接受遠端用戶端與分公司站對站連線。
- NAT 閘道：將內網 (192.168.40.0/24, 192.168.60.0/24) 隔離於公網 (192.168.50.0/24)，模擬真實企業邊界。
- 內部資源主機：提供檔案共享、資料庫、Web 服務供 VPN 客戶端存取。
第二部分配置步驟
1. 啟用必要服務
- 路由和遠端存取 (RRAS) → 設為「自動」並啟動。
- 依賴服務：DHCP 用戶端、DNS 用戶端、IPsec Policy Agent、Remote Access Connection Manager、Telephony 等同步啟動。
2. RRAS 自訂配置精靈
- 管理工具 → 路由和遠端存取 → 本機伺服器右鍵 → 「配置並啟用路由和遠端存取」。
- 選擇「自訂配置」→ 勾選「VPN 存取」與「NAT 和基本防火牆」。
- 完成精靈，服務啟動。
3. VPN 位址池配置 (靜態)
- RRAS 主控台 → 伺服器右鍵 → 屬性 → IP 索引標籤 → 「靜態位址池」。
- 新增範圍：
10.240.60.1 - 10.240.60.10 (共 10 IP)。
- 關鍵點：第一個 IP (10.240.60.1) 由 VPN 伺服器自身佔用，作為虛擬網關 IP。
4. NAT 服務配置
- RRAS 主控台 → IP 路由 → NAT/基本防火牆 → 右鍵「新增介面」。
- 公網介面 (連接 192.168.50.x) → 選「公用介面連接到這個介面」→ 勾選「在這個介面上啟用 NAT」。
- 內網介面 (連接 192.168.40.x) → 選「私人介面連接到這個介面」。
- 若有第二內網 (192.168.60.x) 同樣新增為私人介面。
5. 使用者帳號與固定 IP 指派
- 電腦管理 → 區域使用者與群組 → 新增使用者 (如
vpnuser、branchuser)。
- 使用者屬性 → 「撥入」索引標籤 → 「允許存取」+「指派靜態 IP 位址」→ 輸入位址池內 IP (如 10.240.60.2, 10.240.60.3)。
- 固定 IP 確保每次撥入獲相同 IP，便於防火牆規則、資源 ACL 綁定。
架構驗證
配置完成後，Lan1-Server 具備：公網 IP 可被 Internet 存取、NAT 讓內網主機主動上網、VPN 虛擬介面 (10.240.60.1) 為客戶端提供閘道、靜態位址池確保 IP 可預測。
