尽管术语“虚拟专用网络 (VPN)”定义相当广泛，但大多数业内专家使用 VPN 代表的是通过公用网络（比如 Internet）建立专用虚拟隧道。通过 VPN，数据被封装成数据包，经由公用网络安全地传输，数据包标头包含路由信息。Windows 2000 支持第 2 层（数据链路层）隧道协议，比如 PPTP 和 L2TP，这些协议先将数据封装进 PPP 帧，然后再通过线路进行传输。第 3 层（网络层）隧道协议（如 IPSec）也受支持，在这里 IP 数据包在传输前先被封装进 IP 标头。
　　VPN 方案
　　利用 VPN 有许多种方式。但可能最通常的方案是远程用户通过 VPN 隧道访问企业网络。在其他方案中，远程办公室可以使用持续的或请求拨号 VPN 连接方式连接企业网络。VPN 还可以部署在外部网方案中以便与商业伙伴进行安全通讯。本文将讨论第一种方案下的 VPN 部署，即远程用户通过 VPN 隧道连接企业网络。
　　为 VPN 配置 Windows 2000 Server
　　要配置 VPN 服务器，计算机必须至少有两个接口。要设置 Windows 2000 server 用于 VPN，请使用以下步骤：
　　打开“管理工具”中的“路由和远程访问”控制台
　　右键单击服务器，然后单击配置并启用路由和远程访问
　　“安装向导”启动，单击“下一步”
　　选择手动配置服务器，如图 1 所示，单击“下一步”
　　单击“完成”结束安装向导
　　　
　　图 1 在服务器上启用 VPN
　　请不要使用虚拟专用网络 (VPN) 服务器选项。“路由和远程访问”向导不允许路由，解释请见 Microsoft Knowledge Base 文章 Q243374。VPN 选项为传入 VPN 连接配置服务器，并通过配置筛选器只允许 PPTP 或 L2TP 通信来保护服务器。如果这正是您所需要的，则不必担心。但请注意，使用该选项将导致“路由和远程访问”阻止除 PPTP 和 L2TP 之外的所有数据包。
　　在用户能够使用 VPN 连接您的服务器前，还需要采取一个步骤。即需要给用户相应的拨入权限以访问网络。这可以通过在“远程访问策略”中授予用户远程访问权限来实现，如图 2 所示；也可以通过在 Active Directory“用户和计算机”中基于每用户配置拨入权限来实现。
　　　
　　图 2 授予远程访问权限
　　默认情况下，所创建的 VPN 端口数目有所不同，具体取决于是否选择最后一个选项手动配置服务器。如果选择了该选项，则只创建 5 个 PPTP 和 5 个 L2TP 端口，如果选择了中间选项虚拟专用网络 (VPN) 服务器，则创建 128 个 PPTP 和 128 个 L2TP 端口。通过选择“路由和远程访问”控制台中的“端口属性”，您始终可以调整端口数。
　　备注 如果 VPN 客户端要通过路由器或防火墙，并且使用的是 PPTP，请确保允许 TCP 端口 1723 和 IP 协议 ID 47（GRE - 常规路由封装）通过路由器或防火墙。如果使用的是 L2TP，则需要打开 UDP 端口 500 (IKE)、协议 ID 50 (IPSec ESP) 和协议 ID 51 (IPSec AH)。
　　客户端配置
　　要连接企业端的 VPN 服务器，首先需要保证能够通过拨入 ISP 连接 Internet，除非拥有对 Internet 的专用连接（比如 DSL）才不需要拨号。连接到 Internet 即让您置身于企业 VPN 服务器所连接的同一全球 Internet 主干网上。然后您建立第二连接以创建 VPN 隧道。
　　要创建到企业服务器的第二连接，请按以下步骤操作：
　　转到“开始”，“设置”，“网络和拨号连接”，然后选择“建立新连接”来启动“网络连接向导”。
　　在“网络连接类型”屏幕上选择通过 Internet 连接到专用网络，如图 3 所示。
　　在“公用网络”屏幕上，您可以如此配置：建立到企业 VPN 服务器的第二连接之前，首先自动拨叫 ISP。只有在使用调制解调器或 ISDN“拨入”ISP 以连接 Internet 时才可使用该选项。

[1] [2] 下一页