您可以通過無數(shù)種方式構建虛擬專用網(wǎng)絡。最低限度的VPN實現(xiàn)方案由連接Internet的RAS PPTP服務器、連接Internet的客戶端以及位于上述服務器與客戶端之間的PPTP連接所組成。只要ISP服務或Internet連接處于可用狀態(tài)，客戶端即可從世界上的任意一個角落與您的服務器建立連接。然而，大多數(shù)VPN并非僅僅由相互連接的服務器與客戶端構成。通常情況下，VPN服務器位于一個可以實現(xiàn)路由的LAN網(wǎng)段上，并處在防火墻后方；客戶端連接則使用一個同樣包含路由器與防火墻的ISP網(wǎng)絡。圖1顯示了一種常見的移動客戶端VPN實現(xiàn)方案。
您只需通過幾個簡單步驟即可以獨立服務器或域控制器的方式創(chuàng)建一臺PPTP服務器。您需要安裝RAS和PPTP協(xié)議，并按照配置撥號連接的方式來配置PPTP端口。Windows NT客戶端安裝過程同樣相當直接：您只需裝載PPTP并配置通過Internet與PPTP服務器相連的PPTP連接。由于安裝方式如此簡單，您自然會認為VPN連接將一次調試通過。然而，實際情況卻是，VPN連接在某些情況下仍舊需要進行調節(jié)。
VPN故障診斷與WAN連通性故障診斷非常相似，由于數(shù)據(jù)在到達目的地之前需要在許多連接上進行傳送，因此，整個處理過程相當復雜。舉例來說，通常情況下，數(shù)據(jù)需要通過防火墻、ISP網(wǎng)絡甚至其它ISP網(wǎng)絡從客戶端傳送至ISP路由器，再由ISP路由器依次傳送至企業(yè)路由器、防火墻或代理服務器，并最終到達目標PPTP服務器。
當客戶端與某個ISP建立連接時（這種連接使用VPN連接中的點對點協(xié)議--PPP--部分），ISP將為客戶端分配一個TCP/IP地址、一個DNS服務器地址以及一個缺省網(wǎng)關。當客戶端發(fā)起一個PPTP連接時，這項操作將創(chuàng)建第二個TCP/IP會話（這個會話是VPN連接的隧道部分），并將其嵌入到用以提供數(shù)據(jù)包加密與封裝功能的第一個會話內(nèi)部。當客戶端連接成功后，VPN服務器將為客戶端分配第二個IP地址、第二個DNS服務器地址、可選WINS服務器以及另一個缺省網(wǎng)關。圖2顯示了組成PPTP會話的兩部分內(nèi)容--PPP連接和PPTP連接。在連接中的每一條鏈接上，均有可能出現(xiàn)故障。了解常見配置與連通性問題并掌握必要的故障診斷操作步驟將幫助您對VPN連接進行解譯與調試。
VPN服務器建議
如果可能的話，請從一臺裝有最低限度服務且僅含TCP/IP與PPTP協(xié)議的NT服務器開始。NT 4.0 Service Packs 5（SP5）與SP6a修正了大量有關PPTP連接的問題，其中包括與碎片數(shù)據(jù)包、被丟棄的連接以及被拒絕的連接相關的性能問題。如果在嘗試對客戶端連接進行調試之前首先利用服務軟件包對服務器進行更新，那么，您將能夠節(jié)省大量時間。為幫助您保持簡單直接的服務器配置，以便實現(xiàn)故障診斷目的，我將為您提供四條建議。
配置一臺多宿主服務器：如果您的PPTP服務器配備了兩塊網(wǎng)卡，一塊針對LAN，一塊針對WAN，那么，請將LAN適配器上的網(wǎng)關設置為空（請注意，這里要求設置為空而非設置為0）。在WAN網(wǎng)絡接口的網(wǎng)關字段中輸入ISP所定義的TCP/IP地址；網(wǎng)關地址通常指向ISP所屬的一臺路由器。您需要保持LAN網(wǎng)關設置為空，以便使服務器能夠將網(wǎng)絡數(shù)據(jù)包路由至客戶端。當您為服務器配置多個網(wǎng)絡適配器時，保持LAN網(wǎng)關設置為空是一種標準實現(xiàn)方式。如需獲取更多有關如何為多宿主服務器配置路由方式的信息，請查看“原先發(fā)布的相關文章”中的第XX頁。在測試過程中，我建議您手工輸入LAN NIC的TCP/IP地址與WINS服務器地址（而不要通過DHCP為其分配這些取值）。
配置RAS：當您安裝RAS時，請僅為那些真正需要提供支持的活動客戶端連接配置必要數(shù)量的VPN端口。盡管每臺RAS服務器能夠支持256條并行連接（假設您擁有足夠支持所有這些活動的網(wǎng)絡帶寬），然而，在實際應用過程中，您可能只需要為您的漫游用戶提供40條并行連接。接下來，將服務器配置為通過靜態(tài)地址池而非DHCP服務器來分配客戶端地址。如果您將RAS配置為從靜態(tài)地址池中分配客戶端地址，那么，客戶端將從RAS服務器繼承DNS與WINS設置。如果您的RAS服務器能夠瀏覽網(wǎng)絡，那么，客戶端同樣可以利用相同的設置來瀏覽網(wǎng)絡。
如果您傾向于使用DHCP，請確保DHCP范圍選項44（WINS/NetBIOS名稱服務器）指向WINS服務器且范圍選項6顯示您的DNS服務器地址。如果未能定義這些選項，那么，您將幾乎肯定會在客戶端瀏覽過程中遇到問題。
啟用PPTP過濾功能：由于可以避免測試與調試鏈中的某個連接被防火墻刪除，因此，同對處在防火墻內(nèi)部的服務器進行測試相比，對處于防火墻外部的VPN服務器進行配置與測試要容易得多。如果在具備高度安全性的環(huán)境中運行服務器，您便可以放心的將服務器置于防火墻外部并將允許進入的唯一VPN通信內(nèi)容限制為PPTP數(shù)據(jù)包。如屏幕快照1所顯示的那樣，如需從控制面板中啟用PPTP過濾功能，請依次選擇“網(wǎng)絡”、“協(xié)議”、“TCP/IP協(xié)議”、“WAN適配器”、“高級”，并選中“啟用PPTP過濾功能”復選框。當您啟用PPTP過濾器后，服務器拒絕所有非PPTP請求。我曾經(jīng)對這項特性進行過專門測試，事實證明，這是一種能夠對進入VPN連接會話加以限制的有效方式。PPTP過濾功能具有一個重要的副作用：當您啟用過濾功能后，由于其阻擋了進入的HTTP與FTP通信內(nèi)容，LAN客戶端將無法通過RAS服務器的WAN連接對Internet進行瀏覽。
如果希望VPN服務器將允許進入的數(shù)據(jù)包限制為PPTP數(shù)據(jù)包并托管一個可以通過Internet進行訪問的Web站點，那么，您需要對注冊表進行修改以便允許其它數(shù)據(jù)包通過過濾接口進入本地系統(tǒng)。前往HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services RASPPTPF Parameters注冊表鍵，添加名為AllowPacketsForLocalMachine且數(shù)據(jù)類型為REG_DWORD的記錄項，并將其取值設置為1。當完成此項修改后，RAS服務器將暴露在Internet上，然而進入VPN服務器的連接將受到限制，這樣一來，遠程客戶端將無法看到網(wǎng)絡上的任何其它資源。
使用防火墻端口：在將VPN服務器置于防火墻后方之前，請首先確認您的防火墻軟件能夠接收PPTP數(shù)據(jù)包。當您通過網(wǎng)絡地址轉換（NAT）對防火墻進行配置時，防火墻軟件包（包括某些支持檢查點軟件技術的FireWall-1版本）在某些情況下可能無法接受PPTP連接。這種情況下，嘗試與RAS服務器建立連接的客戶端將報出一條事件編號為721的錯誤消息--PPP遠端未能響應。當您將VPN服務器置于防火墻后方時，請確保啟用編號為47的IP協(xié)議端口（通用路由封裝--GRE）和以及編號為1723的TCP端口。VPN連接使用1723端口完成諸如PPTP隧道創(chuàng)建、維護與終止之類的日常管理工作。47端口則用于在客戶端與服務器（包含GRE協(xié)議）之間傳送隧道數(shù)據(jù)，如果您希望支持RAS服務器對服務器VPN連接，則同樣需要建立編號為1723的TCP端口。
在嘗試與VPN客戶端建立連接之前，請首先對通信雙方NIC上的服務器TCP/IP設置進行驗證，并確保您的RAS服務器能夠執(zhí)行所有典型網(wǎng)絡操作（例如瀏覽LAN、連接LAN資源、連接Internet或瀏覽Internet等）。此后，請針對您的測試帳號啟用撥號權限。另外，您可能還需要在最初測試過程中啟用PPP日志功能。
客戶端故障診斷
為確保操作成功，PPTP客戶端必須正確維護兩套TCP/IP協(xié)議棧設置：其中一套面向于ISP與Internet連接，另一套面向于VPN服務器連接，具體情況如圖2所示。客戶端路由表同樣必須包含兩條記錄：其中一條負責將網(wǎng)絡數(shù)據(jù)包定向至提供Internet瀏覽服務的ISP，另一條指向用于實現(xiàn)LAN瀏覽的VPN服務器接口。當協(xié)議棧設置不正確時，客戶端將會遇到嚴重問題。通常情況下，NT客戶端維護獨立的TCP/IP協(xié)議棧設置，然而，當同時配備網(wǎng)卡和調制解調器時，Windows 95客戶端則會經(jīng)常出現(xiàn)協(xié)議棧設置問題。在建立PPTP連接后，Windows 9x缺省網(wǎng)關可能仍舊指向ISP，從而使客戶端無法成功瀏覽LAN。下面，讓我們來看一看五種最為常見的客戶端連接問題。
客戶端無法連接PPTP服務器：您可能遇到的第一種問題是客戶端無法連接到PPTP服務器。此時，您需要對以下三種可能導致這種問題的因素進行查看。
建立VPN服務器Internet連通性。在完成客戶端配置工作后，您需要驗證VPN服務器具備一條Internet連接。驗證這種連接的最簡單方式是從設置服務器TCP/IP地址的客戶端上對服務器執(zhí)行ping操作。（如果您的PPTP服務器位于防火墻后方且防火墻被設置為阻止Internet控制消息協(xié)議--ICMP--ping消息，那么，這種驗證方式將無法使用。）如果ping指令顯示消息請求超時，則說明服務器Internet連接可能存在某種問題。如果服務器通過地址進行相應，您可以在DUN記錄的電話號碼字段中輸入TCP/IP地址以便建立PPTP會話。盡管與通過全面驗證的域名（FQDN）相比有些不夠友好，這項技術在您知道服務器地址的情況下仍舊非常有效。
需要注意的是，使用撥號連接的服務器很有可能在每次與ISP建立連接時獲得不同的地址。如需通過地址進行連接，您必須了解服務器每次建立撥號連接時由ISP所分配的地址。通常情況下，您的RAS服務器將使用一個永久地址，從而消除了連接過程中的一項細微可變因素。
如果服務器通過地址進行響應，請繼續(xù)使用名稱對其執(zhí)行ping操作。如果服務器無法通過名稱進行響應，原因可能有兩種：服務器可能不具備注冊域名，或者您的ISP DNS服務器可能處于停機狀態(tài)或無法正常工作。
查看PPTP過濾功能。當服務器上的PPTP過濾功能處于啟用狀態(tài)時，您可能會看到消息“錯誤678：無法應答”或“錯誤650：遠程訪問服務器無法響應”。此時，請在服務器上禁用PPTP過濾功能（Net Stop RASPPTPF），并查看是否可以建立非過濾連接。
如果能夠在過濾功能處于禁用狀態(tài)的情況下建立連接，請檢查服務器的過濾器設置。如果您禁用了編號為137和138的UPD端口或者編號為139的TCP端口，NetBIOS數(shù)據(jù)包將無法通過網(wǎng)絡。對于單播（點對點）通信過程，您同樣需要在客戶端與服務器之間的所有防火墻與路由器上 。
