Windows Server 2019 单网卡 PPTP+端口映射 VPN搭建

背景:

1. 不想局域网资源暴露在公网,只允许在局域网内访问到;

2. 希望实现VPN拨入局域网,让外地用户能够访问我局域网资源;

3. 手头的宽带路由器并没有VPN服务功能;

4. 保证各Windows防火墙启用状态下,主要验证新版VPN客户端(Win10/11)连接设置都要求服务端侦听哪些端口,放行哪些远程访问策略.

只好在局域网搭个便于管理的VPN,并把端口映射到公网供用户拨入.

拓扑环境:

此文记录VMWare虚拟环境下模拟上述网络条件下的配置要点.拓扑图如下:

(用Packet Tracer简单地画的,请无视设备型号)

网关路由器Win2(WindowsServer2008R2)双网卡的 ipConfig:

Windows IP 配置
以太网适配器 LAN:
   连接特定的 DNS 后缀 . . . . . . . :
   本地链接 IPv6 地址. . . . . . . . : fe80::88c1:1108:3186:79c1%18
   IPv4 地址 . . . . . . . . . . . . : 192.168.10.1
   子网掩码  . . . . . . . . . . . . : 255.255.255.0
   默认网关. . . . . . . . . . . . . :

以太网适配器 WAN:
   连接特定的 DNS 后缀 . . . . . . . :
   本地链接 IPv6 地址. . . . . . . . : fe80::913d:a36d:3698:e2f5%11
   IPv4 地址 . . . . . . . . . . . . : 192.168.174.74
   子网掩码  . . . . . . . . . . . . : 255.255.255.0
   默认网关. . . . . . . . . . . . . : 192.168.174.2

VPN服务器Win3(WindowsServer2019)单网卡的 ipConfig:

Windows IP 配置
以太网适配器 Ethernet0:
   连接特定的 DNS 后缀 . . . . . . . :
   本地链接 IPv6 地址. . . . . . . . : fe80::8884:39b6:43ba:b983%5
   IPv4 地址 . . . . . . . . . . . . : 192.168.10.140
   子网掩码  . . . . . . . . . . . . : 255.255.255.0
   默认网关. . . . . . . . . . . . . : 192.168.10.1

网关路由器的搭建:

说实话,这部分的配置步骤跟WindowsServer2003一模一样,只不过套在了服务器管理器的角色里面而已.网上这样的图文并茂文章太多了,在此不再赘述,主要步骤截图有:

走完向导,启动后属性:

逐一勾选IKE,IKE NAT,L2TP和PPTP四项,每勾一项弹出的对话框都将VPN服务器(即Win3)的IP地址填入其中:

单网卡VPN服务器的搭建:

勾选角色中的远程访问中的VPN,默认会带上IIS一些组件,遵从默认即可

进入真正的配置界面后发现,跟WindowsServer旧版相比,变化太多了,差点儿找不到北了.

曾经那个远程访问策略,挪到NPS里了

老规矩:创建组,把待拨入的用户加入该组:

net localgroup zu-vpn /add
net user v1 1.c /add
net localgroup zu-vpn v1 /add
net user v2 1.c /add
net localgroup zu-vpn v2 /add

在NPS中默认没有放行的策略,有两条都是红叉的拒绝:

右击,新建,

指定条件,添加,选择'用户组',

下一步,'已授予访问权限',

下一步,'配置身份验证方法',得主动添加上EAP那俩,我就是栽这儿了,否则默认总是拨不通(见下图蓝底黄字):

约束,根据企业条件设置吧,比如空闲自动断开,我这里设置15分钟,虚拟环境测试可调整为2分钟或其它较短时间:

其它走默认值,完成配置即可.

测试拨入:

在PC端的'网络和共享中心'创建'连接到工作区'的连接:

VPN地址一定要填写WAN口IP:

勾选记住凭据,会在首次或变更密码后询问用户名及其密码;

上图,看到了吗,默认是个IKEv2的,没关系,手动改不改都行.它会在首次协商并拨入成功后改为正确的协议,虽然首次有点儿慢:

测试成功:

乒通内部IP了,并且过了一跳.

三层网络没问题,剩下的高层网络应该也不再话下,就不再赘述了.

总结关键点:

路由器上仍旧是IKE(udp500),IKE NAT(udp4500),L2TP(udp1701)和PPTP(tcp1723)四项,没啥变化;如果不用L2TP,还可以省一项:-)

此外,开放在公网,一定要注意安全,谨防恶意嗅探风险:

除了密码复杂性外,把默认账号改名,也是个必需的步骤: