在现代企业网络架构中,安全、可靠的远程访问是保障业务连续性的关键，Windows Server 2022 提供了强大的内置功能，支持通过路由和远程访问（RRAS）服务搭建站点到站点（Site-to-Site）虚拟私有网络（VPN），实现不同地理位置分支机构之间的加密通信，本文将详细介绍如何在 Windows Server 2022 上配置一个稳定、安全的 Site-to-Site VPN，适用于中小型企业或混合云部署场景。
第一步：准备工作
确保你拥有以下条件：
- 一台运行 Windows Server 2022 的服务器（建议使用标准版或数据中心版）。
- 两个或多个网络设备（如路由器或防火墙），分别位于不同物理位置，且各自拥有公网IP地址。
- 有效的证书（可选但推荐用于 IKEv2 认证，提升安全性）。
- 公网IP地址可访问性,确保两端路由器能互相通信（开放 UDP 端口 500 和 4500 用于 IPSec/IKE 协议）。
第二步：安装 RRAS 角色
- 打开“服务器管理器”，选择“添加角色和功能”。
- 在“服务器角色”中勾选“远程访问”，并确保包含“路由”子功能（这是实现 Site-to-Site 的核心组件）。
- 安装完成后重启服务器。
第三步：配置路由与远程访问
- 进入“服务器管理器” → “工具” → “路由和远程访问”。
- 右键服务器名称,选择“配置并启用路由和远程访问”。
- 选择“自定义配置”，勾选“LAN 路由器”（用于转发流量）和“NAT/基本防火墙”（如果需要）。
- 启动服务后,右键服务器 → “属性”，切换到“IP”选项卡，确认 IP 地址池已设置（192.168.100.100–192.168.100.200），用于分配给对端站点的客户端（虽然 Site-to-Site 不常用此池，但保留更灵活）。
第四步：创建站点到站点连接
- 在“路由和远程访问”控制台中，展开服务器 → “IP 路由” → “常规”。
- 右键“常规” → “新建静态路由”。
- 目标网络：对端站点的子网（如 192.168.20.0/24）
- 下一跳：对端路由器公网 IP
- 接口：WAN 接口（通常为外网网卡）
- 然后进入“IPSec”策略配置：右键“IPSec” → “新建 IPSec 策略”，命名为 “SiteToSite_VPN”。
- 添加规则：源地址（本地子网）→ 目标地址（对端子网）
- 设置加密算法：AES-256 + SHA256（推荐）
- 启用 IKEv2（比旧版 IKE 更安全且兼容性好）
- 保存策略后,在“IPSec 策略”下启用该策略。
第五步：配置对端路由器（以 Cisco 或 MikroTik 为例）
对端设备需配置相同 IPSec 参数（预共享密钥、加密套件、子网掩码等），确保两端协商成功，建议使用 Wireshark 或 Windows Server 的“事件查看器”检查 IPSec 日志（路径：应用程序和服务日志 → Microsoft → Windows → RemoteAccess）。
第六步：测试与优化
- 使用
ping和tracert验证跨站点连通性。 - 查看“性能监视器”中 RRAS 的带宽使用情况，避免瓶颈。
- 若出现延迟高或丢包,调整 MTU 值（通常设为 1400 字节）以适应隧道封装开销。
通过以上步骤，你可以在 Windows Server 2022 上快速搭建一个企业级 Site-to-Site VPN，实现多站点安全互联，此方案无需额外硬件或第三方软件，成本低、易维护，特别适合希望利用现有基础设施构建私有云或混合办公环境的企业，后续可根据需求扩展至点对点（P2P）或 Azure Hybrid Connections，进一步增强灵活性。
