在现代企业网络架构中，安全、稳定的远程访问是保障业务连续性的关键，Windows Server 2016 提供了强大的内置功能来实现站点到站点（Site-to-Site）虚拟私有网络（VPN），允许两个不同地理位置的网络通过加密隧道安全通信，本文将详细介绍如何在 Windows Server 2016 上配置 Site-to-Site VPN,适用于中小型企业或分支机构之间的互联需求。
第一步：准备工作
确保你拥有以下资源：
- 一台运行 Windows Server 2016 的服务器（建议使用“路由和远程访问服务”角色）。
- 一个公网 IP 地址（用于 Internet 网关）。
- 本地网络子网（如 192.168.1.0/24）和远程网络子网（如 192.168.2.0/24）。
- 路由器支持 IPSec 协议（通常为标准兼容设备）。
第二步：安装“路由和远程访问服务”角色
- 打开“服务器管理器”，选择“添加角色和功能”。
- 在“服务器角色”中勾选“远程访问” → 展开后选择“路由”。
- 安装完成后，打开“路由和远程访问”控制台（RRAS），右键服务器选择“配置并启用路由和远程访问”。
- 向导中选择“自定义配置”，然后勾选“LAN 和 WAN 连接上的 NAT 和路由”，点击完成。
第三步：配置静态路由与 IPsec
- 在 RRAS 控制台中，展开“IP 路由” → “常规”，右键选择“新建静态路由”。
- 目标网络：远程子网（192.168.2.0/24）
- 下一跳：远程路由器的公网 IP
- 接口：连接到互联网的网卡（通常是外网接口）
- 创建 IPsec 策略以加密流量：
- 打开“管理工具” → “本地安全策略” → “IP 安全策略，在本地计算机”。
- 右键创建新策略，命名为“Site-to-Site-VPN”。
- 添加规则：源地址为本地子网（如 192.168.1.0/24），目标地址为远程子网（192.168.2.0/24）。
- 设置加密方法（推荐 AES-256）、身份验证方式（预共享密钥或证书）。
第四步：配置远程端（另一侧路由器）
如果远程端也是 Windows Server 2016，可按相同步骤配置；若为第三方路由器（如 Cisco 或 MikroTik），需在远程设备上配置相同的 IPsec 参数：
- 对等体 IP：本地图服务器公网 IP
- 预共享密钥：与本地设置一致
- 子网掩码匹配（如 192.168.1.0/24 和 192.168.2.0/24）
- 启用 ESP 协议（IPSec 封装安全载荷）
第五步：测试与排错
- 使用
ping测试从本地网络主机到远程子网的连通性（如 ping 192.168.2.100）。 - 查看事件日志中的“Microsoft-Windows-Routing and Remote Access”来源，确认是否建立成功。
- 若失败，检查防火墙规则（UDP 500 和 4500 端口开放）、IPsec 密钥一致性、以及路由表是否正确。
优点与注意事项：
- 优点：成本低（无需额外硬件）、易于维护、支持多站点扩展。
- 注意事项：必须确保两端设备时间同步（NTP）、定期更换预共享密钥增强安全性、避免 NAT 冲突（如启用 NAT-T）。
Windows Server 2016 的 Site-to-Site VPN 功能为企业提供了可靠、低成本的跨地域网络互联方案，通过合理配置路由、IPsec 策略及对端设备参数，可以构建高可用的加密隧道，满足日常办公、数据备份、云接入等多种场景需求，作为网络工程师，掌握此技能不仅提升运维效率,也为企业数字化转型提供坚实基础。
