Настройка VPN-сервера на Windows Server 2019: пошаговое руководство

Зачем нужен VPN-сервер на Windows Server 2019

VPN-сервер на Windows Server 2019 позволяет организовать безопасный удалённый доступ к корпоративной сети, объединить офисы и защитить трафик сотрудников при работе из дома или в поездках. Встроенные средства Windows Server — служба маршрутизации и удалённого доступа (RRAS) — поддерживают несколько протоколов VPN, включая PPTP, L2TP/IPSec, SSTP и IKEv2. Это даёт гибкость при выборе способа подключения в зависимости от клиентских устройств и требований безопасности.

Использование VPN-сервера на базе Windows Server 2019 особенно актуально для небольших и средних организаций, которые уже используют экосистему Microsoft и не хотят внедрять дополнительные сторонние решения. Встроенная интеграция с Active Directory упрощает управление доступом: можно использовать существующие учётные записи и групповые политики. Кроме того, RRAS поддерживает как удалённый доступ «клиент-сервер», так и подключения «сеть-сеть» для объединения филиалов.

Важно понимать, что выбор протокола VPN напрямую влияет на безопасность и совместимость. Например, PPTP считается устаревшим и небезопасным, а L2TP/IPSec требует настройки сертификатов или предварительного общего ключа. SSTP и IKEv2 считаются более современными и надёжными, при этом IKEv2 обеспечивает лучшую производительность и автоматическое восстановление соединения при смене сети. В этой статье мы рассмотрим все основные варианты, чтобы вы могли выбрать оптимальный для своей инфраструктуры.

Подготовка сервера и установка роли RRAS

Перед настройкой VPN-сервера необходимо убедиться, что Windows Server 2019 имеет статический IP-адрес, обновления установлены, а брандмауэр не блокирует необходимые порты. Также рекомендуется назначить серверу понятное DNS-имя, которое будут использовать клиенты для подключения.

Установка роли Remote Access (удалённый доступ) выполняется через диспетчер серверов или PowerShell. В PowerShell достаточно выполнить команду:

Install-WindowsFeature -Name RemoteAccess -IncludeManagementTools

Эта команда устанавливает службу маршрутизации и удалённого доступа (RRAS) вместе с оснасткой управления. После установки необходимо запустить мастер настройки RRAS. В оснастке «Маршрутизация и удалённый доступ» выберите сервер и запустите мастер, указав, что сервер будет использоваться для удалённого доступа и NAT, либо только для VPN. Если планируется предоставлять клиентам доступ в интернет через VPN, потребуется настроить NAT.

Важно: роль RRAS включает также службу DirectAccess, но для классического VPN-сервера она не обязательна. DirectAccess — это технология всегда-включённого VPN, которая требует более сложной инфраструктуры и обычно используется в крупных организациях. Для простого удалённого доступа достаточно настроить VPN-подключения через RRAS.

Выбор протокола VPN: сравнение PPTP, L2TP, SSTP и IKEv2

Windows Server 2019 поддерживает четыре основных протокола VPN: PPTP, L2TP/IPSec, SSTP и IKEv2. У каждого из них есть свои особенности, преимущества и недостатки.

PPTP — самый старый протокол, использующий шифрование MPPE. Он прост в настройке, но считается небезопасным из-за известных уязвимостей. Microsoft не рекомендует использовать PPTP, и в новых версиях Windows Server (начиная с 2025) он отключён по умолчанию. Для Windows Server 2019 PPTP ещё доступен, но его использование оправдано только в крайних случаях, например для совместимости с очень старыми устройствами.

L2TP/IPSec — более безопасный протокол, который комбинирует L2TP для туннелирования и IPSec для шифрования. Он требует настройки сертификатов или предварительного общего ключа (PSK). L2TP/IPSec хорошо поддерживается большинством операционных систем, включая Windows, macOS, iOS и Android. Однако он может блокироваться некоторыми файрволами, так как использует UDP-порты 500 и 4500.

SSTP — проприетарный протокол Microsoft, который работает поверх HTTPS (порт 443). Это делает его идеальным для обхода файрволов, так как трафик выглядит как обычный HTTPS. SSTP поддерживается только в Windows, но обеспечивает высокий уровень безопасности и простоту настройки. Для работы SSTP требуется SSL-сертификат.

IKEv2 — современный протокол, также использующий IPSec для шифрования. Он отличается высокой производительностью, поддержкой мобильности (автоматическое переподключение при смене сети) и хорошей совместимостью с Windows, iOS и Android. IKEv2 также требует сертификаты или PSK. Microsoft рекомендует IKEv2 как наиболее предпочтительный протокол для новых развёртываний.

При выборе протокола учитывайте типы клиентских устройств, требования к безопасности и особенности сетевой инфраструктуры. Для максимальной совместимости можно включить несколько протоколов одновременно.

Настройка L2TP/IPSec VPN на Windows Server 2019

L2TP/IPSec — один из самых распространённых протоколов для VPN на Windows Server. Рассмотрим пошаговую настройку с использованием PowerShell и оснастки RRAS.

1. Установите роль Remote Access, как описано выше.
2. В оснастке «Маршрутизация и удалённый доступ» запустите мастер настройки и выберите «Настройка VPN-сервера».
3. Укажите, будет ли сервер предоставлять доступ к локальной сети и интернету (NAT).
4. В свойствах портов (правый клик на «Порты» -> «Свойства») выберите «Минипорт WAN (L2TP)» и настройте максимальное количество портов (по умолчанию 128). Убедитесь, что включены «Подключения удалённого доступа (только входящие)».
5. Для аутентификации можно использовать предварительный общий ключ (PSK) или сертификаты. Для PSK выполните команду:

Set-VpnServerConfiguration -IPsecSharedSecret "ВашСекретныйКлюч"

1. Создайте учётную запись пользователя, который будет подключаться к VPN. Это можно сделать через оснастку «Локальные пользователи и группы» или PowerShell:

New-LocalUser -Name "vpnuser" -Password (ConvertTo-SecureString "Пароль" -AsPlainText -Force)

1. Разрешите пользователю доступ к VPN: в свойствах пользователя на вкладке «Входящие звонки» выберите «Разрешить доступ».
2. Настройте брандмауэр Windows для разрешения входящих подключений на порты UDP 500 и 4500 (IPSec), а также UDP 1701 (L2TP).

После этого клиенты смогут подключаться, указав IP-адрес или DNS-имя сервера, тип VPN — L2TP/IPSec, и предварительный общий ключ. В Windows 10/11 настройка выполняется в разделе «Параметры» -> «Сеть и Интернет» -> «VPN».

Настройка SSTP VPN: преимущества и особенности

SSTP (Secure Socket Tunneling Protocol) — это протокол VPN от Microsoft, который работает поверх HTTPS. Благодаря этому SSTP-трафик неотличим от обычного веб-трафика, что позволяет обходить большинство файрволов и прокси-серверов. SSTP поддерживается только в Windows, но для организаций, использующих Windows-клиенты, это отличный выбор.

Для настройки SSTP на Windows Server 2019 необходимо:

1. Установить роль Remote Access и настроить RRAS как VPN-сервер.
2. Получить SSL-сертификат для сервера. Это может быть сертификат от внутреннего центра сертификации (AD CS) или публичный сертификат от доверенного центра. Сертификат должен быть установлен в хранилище сертификатов компьютера.
3. В оснастке RRAS открыть свойства сервера, перейти на вкладку «SSTP» и указать, что SSTP включён. Также нужно выбрать сертификат, который будет использоваться для шифрования.
4. Убедиться, что порт 443 (TCP) открыт в брандмауэре и доступен извне.

Клиенты Windows подключаются к SSTP VPN, указав адрес сервера (обычно это DNS-имя, соответствующее сертификату) и тип VPN — SSTP. Аутентификация может выполняться по паролю или с использованием смарт-карт.

SSTP обеспечивает высокий уровень безопасности, так как использует SSL/TLS для шифрования. Однако он менее производителен, чем IKEv2, из-за дополнительных накладных расходов на HTTPS. Если у вас есть возможность использовать IKEv2, он может быть более предпочтительным, но SSTP остаётся надёжным решением для сред, где другие протоколы блокируются.

Настройка IKEv2 VPN: современный и быстрый протокол

IKEv2 (Internet Key Exchange version 2) — это современный протокол VPN, который использует IPSec для шифрования. Он отличается высокой производительностью, поддержкой мобильности и автоматическим восстановлением соединения при переключении между сетями (например, с Wi-Fi на мобильный интернет). IKEv2 поддерживается Windows, iOS, Android и большинством современных операционных систем.

Для настройки IKEv2 на Windows Server 2019:

1. Установите роль Remote Access и настройте RRAS как VPN-сервер.
2. Настройте сертификаты для аутентификации. IKEv2 может использовать сертификаты компьютера или предварительный общий ключ. Для корпоративной среды рекомендуется использовать сертификаты, выпущенные внутренним центром сертификации.
3. В оснастке RRAS откройте свойства сервера, перейдите на вкладку «IKEv2» и включите протокол. Укажите метод аутентификации (сертификаты или EAP).
4. Убедитесь, что порты UDP 500 и 4500 открыты в брандмауэре.

Клиенты Windows подключаются к IKEv2 VPN, выбрав тип VPN «IKEv2» в настройках. Для автоматического подключения можно настроить профиль VPN через PowerShell или групповые политики.

IKEv2 особенно удобен для мобильных пользователей, так как он быстро переподключается при смене сети. Это делает его идеальным для сотрудников, которые часто перемещаются. Microsoft рекомендует IKEv2 как основной протокол для новых VPN-развёртываний на Windows Server.

Настройка OpenVPN на Windows Server 2019 как альтернатива

OpenVPN — это популярное open-source решение для организации VPN, которое можно развернуть на Windows Server 2019. В отличие от встроенных протоколов RRAS, OpenVPN использует собственную реализацию SSL/TLS и поддерживает широкий спектр платформ, включая Windows, Linux, macOS, iOS и Android. OpenVPN часто выбирают за гибкость настройки и высокий уровень безопасности.

Для установки OpenVPN на Windows Server 2019:

1. Скачайте установщик OpenVPN Community Edition с официального сайта. Установщик включает как серверную, так и клиентскую части.
2. При установке выберите компоненты: OpenVPN Service, OpenSSL Utilities и драйвер Data Channel Offload (рекомендуется для новых версий).
3. После установки перейдите в каталог C:\Program Files\OpenVPN\easy-rsa и инициализируйте инфраструктуру открытых ключей (PKI) с помощью скриптов Easy-RSA.
4. Сгенерируйте корневой сертификат CA, сертификат сервера и ключи для клиентов.
5. Создайте конфигурационный файл сервера server.ovpn в каталоге config-auto, указав порт (по умолчанию 1194/UDP), протокол, сертификаты и настройки пула IP-адресов.
6. Настройте брандмауэр для разрешения входящих подключений на порт 1194.

OpenVPN позволяет гибко настраивать маршрутизацию, NAT и доступ к локальным сетям. Он также поддерживает функцию tls-crypt для дополнительной защиты управляющего канала. Однако OpenVPN требует больше ручной настройки по сравнению со встроенными протоколами RRAS, и для управления сертификатами необходимо использовать Easy-RSA или аналогичные инструменты.

Если вам нужна максимальная совместимость с не-Windows устройствами или вы хотите использовать open-source решение, OpenVPN — отличный выбор. Для сред, где важна простота управления и интеграция с Active Directory, лучше использовать встроенные протоколы Windows Server.

Настройка брандмауэра и NAT для VPN-сервера

Для корректной работы VPN-сервера необходимо настроить брандмауэр Windows и, при необходимости, NAT на маршрутизаторе. Вот основные порты, которые нужно открыть для каждого протокола:

• PPTP: TCP 1723 и GRE (протокол 47).
• L2TP/IPSec: UDP 500 (IKE), UDP 4500 (IPSec NAT-T), UDP 1701 (L2TP).
• SSTP: TCP 443 (HTTPS).
• IKEv2: UDP 500 и UDP 4500.
• OpenVPN: UDP 1194 (или другой порт, если изменён).

В брандмауэре Windows можно создать правила с помощью оснастки «Брандмауэр в режиме повышенной безопасности» или PowerShell. Например, для L2TP:

New-NetFirewallRule -DisplayName "L2TP VPN" -Direction Inbound -Protocol UDP -LocalPort 500,4500,1701 -Action Allow

Если VPN-сервер находится за NAT-маршрутизатором, необходимо настроить проброс портов (port forwarding) на внешнем интерфейсе. Например, для L2TP/IPSec нужно пробросить UDP 500 и 4500 на внутренний IP-адрес сервера. Для SSTP — TCP 443. Если используется OpenVPN, пробросьте UDP 1194.

Также важно настроить NAT на самом сервере, если вы хотите предоставить VPN-клиентам доступ в интернет. В RRAS для этого используется компонент NAT. В мастере настройки RRAS выберите «Доступ к локальной сети и Интернету» и укажите интерфейс, подключённый к интернету. Это позволит клиентам VPN использовать интернет-соединение сервера.

Управление пользователями и безопасность VPN

Безопасность VPN-сервера зависит от правильного управления пользователями и настройки политик аутентификации. В Windows Server 2019 можно использовать локальные учётные записи или учётные записи Active Directory. Для каждого пользователя, которому разрешён VPN-доступ, необходимо настроить права на входящие подключения.

В оснастке «Локальные пользователи и группы» или «Active Directory — пользователи и компьютеры» откройте свойства пользователя, перейдите на вкладку «Входящие звонки» и выберите «Разрешить доступ». Также можно настроить статический IP-адрес для пользователя или ограничить время доступа.

Для повышения безопасности рекомендуется:

• Использовать сложные пароли и включить политику блокировки учётной записи после нескольких неудачных попыток.
• Использовать сертификаты для аутентификации вместо паролей, особенно для L2TP и IKEv2.
• Включить многофакторную аутентификацию (MFA) с помощью Azure AD или сторонних решений.
• Ограничить доступ к VPN только для определённых групп пользователей.
• Регулярно обновлять сервер и устанавливать обновления безопасности.

Также важно настроить политики шифрования. Для L2TP/IPSec можно указать уровень шифрования «Требуется шифрование» в свойствах портов. Для SSTP и IKEv2 шифрование настраивается автоматически через SSL/TLS и IPSec.

Не забывайте про аудит: включите журналирование событий VPN-подключений, чтобы отслеживать попытки доступа и выявлять подозрительную активность. Журналы можно просматривать в «Просмотре событий» или настроить отправку в SIEM-систему.

Типичные проблемы и их решение

При настройке VPN-сервера на Windows Server 2019 могут возникать различные проблемы. Рассмотрим наиболее частые из них и способы их решения.

Клиент не может подключиться к VPN-серверу.

• Проверьте, что на сервере запущена служба маршрутизации и удалённого доступа. В оснастке RRAS убедитесь, что сервер запущен и порты активны.
• Проверьте правила брандмауэра: убедитесь, что нужные порты открыты и не блокируются другими программами.
• Проверьте, что на маршрутизаторе настроен проброс портов, если сервер находится за NAT.
• Проверьте, что у пользователя есть разрешение на входящие подключения.

Ошибка аутентификации при подключении L2TP/IPSec.

• Убедитесь, что предварительный общий ключ (PSK) совпадает на сервере и клиенте.
• Если используется сертификат, проверьте, что он установлен в доверенные корневые центры сертификации на клиенте.
• Попробуйте изменить метод аутентификации на EAP или MS-CHAPv2.

SSTP не работает, хотя порт 443 открыт.

• Проверьте, что SSL-сертификат действителен и не истёк.
• Убедитесь, что DNS-имя, которое используют клиенты, соответствует имени в сертификате.
• Проверьте, что служба SSTP включена в свойствах RRAS.

IKEv2 не подключается на мобильных устройствах.

• Убедитесь, что на сервере настроен сертификат для IKEv2.
• На клиенте iOS/Android может потребоваться указать тип VPN как IKEv2 и ввести имя пользователя и пароль.

Низкая скорость VPN-соединения.

• Проверьте, какой протокол используется. IKEv2 обычно быстрее, чем SSTP.
• Убедитесь, что на сервере достаточно ресурсов (CPU, память).
• Проверьте качество интернет-канала и задержки.

Если проблема не решается, проверьте журналы событий на сервере и клиенте. В «Просмотре событий» найдите записи, связанные с RRAS или VPN, чтобы получить более детальную информацию об ошибке.

Вопросы и ответы