利用Windows2000Server的RRAS实现VPN服务器Web服务器教程

一、 VPN服务器端配置
　　要求：一台2000S/AS，是否域成员均可实现，但细节上有差别，后面讨论。两块网卡，一块连Internet，一块连公司企业内部网（Intranet）。
　　操作：
　　1、 开始/程序/管理工具/路由和远程访问/计算机名上右键/配置并启用路由和远程访问。
　　2、 将启动向导，下一步/第三项：虚拟专用网络（VPN）服务器。
说明：如果选第三项VPN服务器，那么它仅仅只接受VPN用户连入，默认VPN端口数为：PPTP端口128个，L2TP端口128个。而且需要说明的是：即使当VPN用户拨通VPN服务器后，已经可以通过VPN网关访问企业内部网资源了，但这时远程VPN用户Ping VPN服务器的对外网卡，仍是不通的，因为它这时已经是隧道的一部分了。但内网用户Ping VPN服务器的对外网卡是通的。
　　如果想使VPN服务器既接受VPN客户连入，也接受非VPN客户（即普通用户）连入，这时可选第二项：远程访问服务器，默认VPN端口数为：PPTP端口5个，L2TP5端口5个；也可以选第五项：手动配置服务器。这时的现象是远程的VPN用户可以Ping通VPN服务器的对外网卡。
　　3、 协议：TCP/IP等。
　　说明：协议一般必须保证有TCP/IP，如果需要其它协议也可以添加上，但用户端也必须有相应协议才能拨通。
　　4、 Internet连接：对外网卡
　　5、 内部网络：对内网卡
注意：对外，对内网卡看清楚，切不可选错。
　　6、 远程客户IP分配：自动或来自一个指定的地址范围
说明：网络中若有可用的DHCP服务器，选自动。如果没有，手动指定一个内部网的合法IP地址段（注意不要冲突）即可。至少2个，因为一个分配给远程VPN用户，VPN服务器对外的虚拟PPP/SLIP网卡还需要一个内部IP。
　　7、 是否使用RADIUS服务器：否
说明：如果不需要统一的验证、不需要记录用户上网情况进行收费，不必使用。
　　若要使用RADIUS（IAS服务器）验证，必须结合域，注意：应以域管理员身份配置IAS，并且在IAS上右键/在AD中注册服务，否则需要手动在AD用户和计算机的“RAS and IAS Servers”组成员中添加IAS服务器的计算机帐号。
　　8、 完成
　　9、 要求配置DHCP中继代理
说明：只有在第6步选自动，且DHCP服务器与VPN服务器不在同一网段，才需要配置DHCP中继代理：指明DHCP服务器的IP。

二、设置用户拨入权限
　　1、如果VPN服务器不在域中，只能让远程VPN用户利用VPN服务器的本地帐号拨入。在VPN服务器上操作如下：
　　　　我的电脑/右键/管理/创建本地帐号/属性/拨入/允许访问
　　2、如果VPN服务器在域中，还可让远程VPN用户利用域帐户拨入，在AD用户和计算机中设置，简单设置方法同上。复杂设置：可利用远程访问策略，需要考虑域是本机模式还是混合模式，这里就不详细说了。
　　注意：应以域管理员身份配置RRAS，否则需要手动在AD用户和计算机的“RAS and IAS Servers”组成员中添加RRAS即VPN服务器的计算机帐号。

三、VPN客户端配置
　　操作如下：
　　1、 网上邻居/右键属性/新建连接/向导：下一步
　　2、 选第三项：通过Internet连接到专用网络（VPN）
　　3、 公用网络：不拨初始连接或自动拨此初始连接
说明：如果用户是拨号上Internet（Modem或ADSL），可设置自动拨此初始连接：到ISP的连接；如果是固定IP上网，选不拨初始连接。
　　4、 目标地址：VPN服务器对外网卡的IP
　　5、 所用用户或仅自己使用此连接
　　6、 是否启用此连接的ICS共享
说明：如果想ICS，上一步必须选所有用户使用此连接。

另外就是关于“虚拟专用连接”属性设置：
　　1、 如果企业内部网是多层域结构，需要指明登录的域，可在“虚拟专用连接”/属性/选项/选中：包含WINDOWS登录域
　　2、 如果需要指明拨入VPN服务器的类型（即所用VPN协议是PPTP、还是L2TP）可在可在“虚拟专用连接”/属性/网络/呼叫VPN服务器类型选择：自动、PPTP、L2TP。需要说明的是如果想使用L2TP，必须在服务器端和客户机上安装来自共同信任CA颁发的证书。否则会出现：错误781，由于没有找到有效的证书，加密尝试失败。