VPN-сервер на Windows Server 2019: пошаговая настройка и выбор протокола

Зачем нужен собственный VPN-сервер на Windows Server 2019

VPN-сервер на Windows Server 2019 позволяет организовать безопасный удаленный доступ к корпоративной сети, объединить несколько офисов или предоставить сотрудникам доступ к внутренним ресурсам из любой точки мира. В отличие от использования сторонних VPN-сервисов, собственный сервер дает полный контроль над политиками безопасности, протоколами шифрования и списком пользователей.

Основные сценарии использования:

• Удаленная работа сотрудников: доступ к файловым серверам, базам данных, внутренним веб-приложениям.
• Объединение офисов: создание защищенного туннеля между филиалами.
• Безопасный доступ к серверам и сетевому оборудованию без открытия RDP-портов в интернет.
• Контроль доступа: можно разрешить или запретить доступ к определенным ресурсам для каждого пользователя.

Windows Server 2019 поддерживает несколько VPN-протоколов, включая PPTP, L2TP/IPsec, SSTP и IKEv2. Каждый из них имеет свои особенности, и выбор зависит от требований безопасности, типа клиентских устройств и возможностей сети. В этой статье мы подробно разберем установку и настройку VPN-сервера на Windows Server 2019, а также дадим рекомендации по выбору протокола.

Подготовка сервера: системные требования и обновления

Перед установкой VPN-роли необходимо убедиться, что сервер соответствует минимальным требованиям и полностью обновлен. Для Windows Server 2019 рекомендуется как минимум 2 ГБ ОЗУ и 32 ГБ дискового пространства, но для VPN-сервера с большим количеством одновременных подключений может потребоваться больше ресурсов.

Важные шаги подготовки:

• Установите все доступные обновления через Центр обновления Windows. Регулярное обновление сервера критически важно для безопасности, так как устраняет известные уязвимости.
• Настройте статический IP-адрес на сетевом интерфейсе сервера. VPN-сервер должен иметь постоянный адрес, иначе клиенты не смогут подключаться после перезагрузки.
• Убедитесь, что на внешнем маршрутизаторе настроено перенаправление портов (NAT) на IP-адрес сервера. Для большинства VPN-протоколов требуется открыть определенные порты (например, UDP 500 и 4500 для IKEv2, TCP 443 для SSTP).
• Если сервер входит в домен Active Directory, настройка должна выполняться администратором домена.

Также рекомендуется настроить часовой пояс и синхронизацию времени (NTP), так как многие протоколы аутентификации чувствительны к расхождению времени между клиентом и сервером.

Установка роли Remote Access (RAS) через Server Manager

Установка роли Remote Access — первый шаг к созданию VPN-сервера. Это можно сделать через графический интерфейс Server Manager или с помощью PowerShell.

Через Server Manager:

1. Откройте Server Manager и выберите «Управление» → «Добавить роли и компоненты».
2. В мастере выберите «Установка ролей и компонентов» и нажмите «Далее».
3. Выберите целевой сервер (обычно локальный) и нажмите «Далее».
4. В списке ролей отметьте «Удаленный доступ» (Remote Access) и нажмите «Далее».
5. На странице «Службы ролей» выберите «DirectAccess и VPN (RAS)». При необходимости добавьте средства управления.
6. Подтвердите установку и дождитесь завершения.

Через PowerShell: Откройте PowerShell от имени администратора и выполните команду:

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools

После установки роли в Server Manager появится раздел «Удаленный доступ». Далее необходимо настроить маршрутизацию и удаленный доступ (RRAS).

Настройка RRAS: включение VPN-доступа и выбор конфигурации

После установки роли Remote Access необходимо настроить службу маршрутизации и удаленного доступа (RRAS). Это можно сделать через консоль «Маршрутизация и удаленный доступ».

1. В Server Manager перейдите в раздел «Удаленный доступ» и выберите «Открыть мастер начала работы».
2. Выберите режим «Только VPN» (Deploy VPN only), чтобы открыть консоль RRAS.
3. Щелкните правой кнопкой мыши на имени сервера и выберите «Настроить и включить маршрутизацию и удаленный доступ».
4. В мастере выберите «Настраиваемая конфигурация» и затем «VPN-доступ».
5. Завершите мастер, нажав «Готово».

После запуска службы RRAS необходимо настроить пул IP-адресов для VPN-клиентов. Для этого:

• В консоли RRAS щелкните правой кнопкой мыши на сервере и выберите «Свойства».
• Перейдите на вкладку «IPv4» и выберите «Пул статических адресов».
• Добавьте диапазон IP-адресов, которые будут выдаваться клиентам (например, 10.10.10.10 – 10.10.10.50).

Важно, чтобы пул адресов не пересекался с адресами локальной сети и не конфликтовал с DHCP.

Выбор VPN-протокола: сравнение PPTP, L2TP/IPsec, SSTP и IKEv2

Windows Server 2019 поддерживает четыре основных VPN-протокола. Выбор зависит от требований безопасности, совместимости с клиентскими устройствами и особенностей сети.

PPTP (Point-to-Point Tunneling Protocol) — самый простой в настройке, но и наименее безопасный. Использует MPPE-шифрование, которое имеет известные уязвимости. Microsoft не рекомендует использовать PPTP, а начиная с Windows Server 2025 новые конфигурации RRAS не принимают PPTP-подключения по умолчанию. Если вы используете Windows Server 2019, PPTP все еще доступен, но его следует избегать.

L2TP/IPsec (Layer 2 Tunneling Protocol over IPsec) — сочетает L2TP и IPsec, обеспечивая высокий уровень безопасности. Требует открытия портов UDP 500 и 4500. Поддерживается большинством современных ОС, включая Windows, macOS, iOS, Android. Однако L2TP может блокироваться в некоторых сетях из-за сложности NAT-траверса.

SSTP (Secure Socket Tunneling Protocol) — использует SSL/TLS-шифрование и работает через порт TCP 443, который обычно открыт в брандмауэрах. Это делает SSTP устойчивым к блокировкам и удобным для подключения из-за прокси-серверов. SSTP поддерживается только в Windows, но обеспечивает надежное соединение.

IKEv2 (Internet Key Exchange version 2) — современный протокол, разработанный для мобильных устройств. Обеспечивает быстрое переподключение при смене сети (например, с Wi-Fi на мобильный интернет). IKEv2 использует IPsec для шифрования и требует порты UDP 500 и 4500. Поддерживается Windows, iOS, Android и другими платформами.

Для большинства сценариев рекомендуется использовать IKEv2 или SSTP. Если нужна максимальная совместимость с не-Windows устройствами, выбирайте L2TP/IPsec. PPTP лучше не использовать из-за слабой безопасности.

Настройка протоколов VPN в RRAS: включение и отключение

После настройки RRAS можно управлять доступными протоколами VPN. По умолчанию все протоколы включены, но для повышения безопасности рекомендуется оставить только необходимые.

Отключение ненужных протоколов:

1. В консоли RRAS щелкните правой кнопкой мыши на «Порты» и выберите «Свойства».
2. В списке устройств выберите «Минипорт WAN (PPTP)», нажмите «Настроить» и снимите флажки «Подключения удаленного доступа (только входящие)» и «Подключения маршрутизации по запросу (входящие и исходящие)».
3. Аналогично для L2TP, если вы не планируете его использовать.
4. Для SSTP и IKEv2 оставьте флажки включенными.

Настройка количества портов: Для IKEv2 и SSTP можно задать максимальное количество одновременных подключений. В свойствах порта укажите нужное число в поле «Максимальное количество портов».

Важно: Если вы отключаете PPTP и L2TP, убедитесь, что клиенты используют поддерживаемые протоколы. Также не забудьте настроить брандмауэр для разрешения трафика на порты, используемые выбранными протоколами.

Настройка брандмауэра и NAT для VPN-трафика

Для корректной работы VPN-сервера необходимо настроить брандмауэр Windows и, при необходимости, внешний маршрутизатор.

Правила брандмауэра Windows:

• Для IKEv2 и L2TP/IPsec: разрешите входящие UDP-порты 500 и 4500.
• Для SSTP: разрешите входящий TCP-порт 443.
• Для PPTP: разрешите TCP-порт 1723 и GRE-протокол (IP-протокол 47).

Вы можете создать правила через PowerShell, например:

New-NetFirewallRule -DisplayName "VPN IKEv2 UDP 500" -Direction Inbound -Protocol UDP -LocalPort 500 -Action Allow
New-NetFirewallRule -DisplayName "VPN IKEv2 UDP 4500" -Direction Inbound -Protocol UDP -LocalPort 4500 -Action Allow
New-NetFirewallRule -DisplayName "VPN SSTP TCP 443" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

Настройка NAT на маршрутизаторе: Если сервер находится за NAT, на внешнем маршрутизаторе необходимо настроить перенаправление портов на внутренний IP-адрес сервера. Например, для IKEv2 перенаправьте UDP 500 и 4500, для SSTP — TCP 443.

Включение маршрутизации и NAT на сервере (если сервер также выполняет функции шлюза): В консоли RRAS можно настроить NAT, чтобы VPN-клиенты имели доступ к интернету или другим подсетям. Для этого добавьте интерфейс NAT и укажите, какой трафик маршрутизировать.

Настройка пользователей и прав доступа к VPN

Для подключения к VPN-серверу пользователи должны иметь учетные записи на сервере или в Active Directory. Также необходимо настроить права доступа.

Создание пользователей:

• Если сервер не входит в домен, создайте локальных пользователей через оснастку «Локальные пользователи и группы».
• Если сервер входит в домен, используйте Active Directory для создания учетных записей.

Разрешение удаленного доступа:

1. В оснастке «Локальные пользователи и группы» или «Active Directory» откройте свойства пользователя.
2. Перейдите на вкладку «Входящие звонки» (Dial-in).
3. Выберите «Разрешить доступ» (Allow access) или «Управление доступом через политику удаленного доступа» (Control access through Remote Access Policy).

Использование групп: Для упрощения управления можно создать группу VPN-пользователей и назначить ей разрешения через политики RRAS. В мастере настройки RRAS можно указать группы, которым разрешен доступ.

Важно: Не забывайте использовать сложные пароли и регулярно их обновлять. Также рекомендуется включить двухфакторную аутентификацию, если это возможно.

Настройка клиентских устройств для подключения к VPN

После настройки сервера необходимо настроить клиентские устройства. В зависимости от выбранного протокола процесс может немного отличаться.

Windows 10/11:

1. Откройте «Параметры» → «Сеть и Интернет» → «VPN».
2. Нажмите «Добавить VPN-подключение».
3. Укажите имя подключения, адрес сервера (внешний IP или DNS-имя), тип VPN (например, IKEv2, SSTP, L2TP/IPsec) и учетные данные.
4. Сохраните и подключитесь.

Мобильные устройства (iOS, Android):

• Для IKEv2 и L2TP/IPsec можно использовать встроенные настройки VPN.
• Для SSTP может потребоваться стороннее приложение, так как SSTP не поддерживается нативно на iOS/Android.

Проверка подключения: После подключения проверьте, что клиент получил IP-адрес из пула, настроенного на сервере, и может получить доступ к ресурсам локальной сети.

Совет: Для упрощения настройки можно использовать профили VPN, распространяемые через групповые политики или SCCM.

Мониторинг, журналирование и устранение неполадок

Для обеспечения стабильной работы VPN-сервера важно регулярно мониторить его состояние и анализировать журналы.

Просмотр журналов:

• В консоли RRAS можно просматривать активные подключения и статистику.
• Журналы событий Windows (Event Viewer) содержат записи об ошибках и предупреждениях, связанных с RRAS.
• Включите подробное журналирование в свойствах RRAS, чтобы получать больше информации о подключениях.

Типичные проблемы и их решение:

• Клиент не может подключиться: проверьте, открыты ли порты на брандмауэре и маршрутизаторе, правильно ли настроен протокол, нет ли блокировок со стороны провайдера.
• Подключение устанавливается, но нет доступа к ресурсам: проверьте маршрутизацию, настройки NAT, права пользователя.
• Медленное соединение: возможно, проблема в пропускной способности канала или в настройках шифрования.
• Ошибки аутентификации: убедитесь, что учетные данные верны, и пользователю разрешен удаленный доступ.

Регулярное обслуживание:

• Устанавливайте обновления Windows.
• Проверяйте журналы на предмет подозрительной активности.
• Периодически меняйте пароли пользователей.

Следуя этим рекомендациям, вы сможете поддерживать VPN-сервер в рабочем состоянии и быстро устранять возникающие проблемы.

Вопросы и ответы