在企业网络环境中，远程分支机构与总部之间的安全通信至关重要，Windows Server 2016 提供了内置的路由和远程访问（RRAS）功能，支持通过 IPsec 隧道实现站点到站点（Site-to-Site）虚拟私有网络（VPN），从而在不依赖第三方设备的前提下构建安全、可靠的跨网络连接，本文将详细介绍如何在 Windows Server 2016 上配置站点到站点 VPN,适用于中小型企业或需要简化部署架构的场景。
第一步：准备工作
确保你拥有两台运行 Windows Server 2016 的服务器，分别代表本地网络（总部）和远程网络（分支机构），每台服务器需至少配置两个网卡：一个用于内部局域网（LAN），另一个用于连接互联网（WAN），总部服务器的 LAN 网段为 192.168.1.0/24，远程服务器的 LAN 网段为 192.168.2.0/24，两者之间需通过公网 IP 地址建立隧道。
第二步：安装 RRAS 角色
登录到总部服务器，打开“服务器管理器” → “添加角色和功能”，选择“远程访问”角色，并勾选“路由”和“远程访问”选项（包括“DirectAccess 和 VPN（RAS）”）,完成安装后重启服务器。
第三步：配置路由和远程访问
安装完成后，在“服务器管理器”中点击“工具” → “路由和远程访问”，右键主服务器选择“配置并启用路由和远程访问”，向导会引导你选择“自定义配置”，然后选择“LAN 和 WAN 接口”，最后点击“完成”。
第四步：设置站点到站点隧道
进入“路由和远程访问”控制台，右键“IP 路由” → “新建静态路由”，添加一条指向远程网络的路由，例如目标地址为 192.168.2.0/24，下一跳为远程服务器的公网 IP 地址，在“IPv4”节点下右键“接口”，选择“属性”，确保启用“允许此接口上的 IP 路由”和“启用 IP 转发”。
第五步：配置 IPsec 安全策略
使用“本地安全策略”工具（secpol.msc）创建新的 IPsec 策略，新建策略命名为“S2S-VPN”，选择“安全规则”，设置“身份验证方法”为“预共享密钥”，并在“加密和认证”选项中选择“AES-256”、“SHA-256”等现代加密算法，将该策略应用到所有接口（包括 LAN 和 WAN）。
第六步：防火墙配置
确保服务器防火墙允许以下端口通信：UDP 500（IKE）、UDP 4500（NAT-T）、ESP 协议（协议号 50），可使用 PowerShell 或 Windows 防火墙图形界面进行配置,避免因拦截导致隧道无法建立。
第七步：测试与排错
在两端服务器上使用 ping 测试不同子网间的连通性，若失败，可通过事件查看器检查“Routing and Remote Access”日志，确认是否出现 IKE 协商失败、预共享密钥错误或 NAT 问题,建议启用调试日志以获取详细信息。
通过上述步骤，你可以在 Windows Server 2016 上成功搭建站点到站点 VPN，实现两个网络的安全互联，此方案成本低、部署灵活，特别适合预算有限但又需要稳定远程访问的企业，掌握该技能不仅提升了网络工程师的实战能力，也为未来扩展混合云架构打下基础，安全始终是第一位的——定期更新证书、强化密码策略、监控日志,才能保障企业数据在公网中的绝对安全。
