如何有效建立Win2000 VPN服务器

wyw

（用户是否听说过虚拟专用网VPN）的优越特性？是否准备好在远程访问设备上看看它的优越性了吗？那么，用户应该很高兴的是，Windows 2000提供了一个非常好的VPN平台，尤其是连接小型远程办公，支持远程办工人员（也就是电子通勤族）从家庭工作室进行远程连接。而且，用户将会看到在Windows 2000上建立VPN是非常简单的。同时，Win2K能够从根本上动态提升Windows NT的VPN服务器的性能和安全性。  

在这篇文章中，我介绍一下用户建立自己的VPN所需要的硬件和软件，以及如何在公司网络中配置一台VPN服务器，如何配置远程办工人员的PCs，使他们能够建立到公司LAN网络的VPN连接。文章主要集中于介绍安装VPN的基本过程，不会涉及更高级方面的问题，例如建立一个远程办公网络的服务器对服务器端的VPN连接，配置远程访问策略，或配置VPN连接，使之能够通过防火墙和代理服务器。有了这些认知，我们就开始介绍如何配置Windows 2000服务器远程访问VPN。  

准备基本设备  

用户需要考虑的第一件事就是VPN服务器的硬件设备。要知道Windows 2000本身就需要大量的硬件资源。在一个公司的网络环境中，有可能只希望VPN服务器作为专用的服务器来提供服务，机器上只运行Windows 2000服务器平台或Windows 2000高级服务器平台。对于这样的配置，建议至少要使用奔腾Ⅲ 450-MHz的处理器，256兆字节的RAM。对于小公司网络或只有不超过200个用户，并且支持少于20个远端连接的公司分部网络来说，可以使用奔腾Ⅱ300MHz（或更高）处理器或者至少128兆RAM的赛扬（Celeron）处理器。  

用户的服务器需要两块网卡。一块连接Internet，另一块连接局域网。用户可能会想到，这就意味着VPN服务器的实际功能更像一个VPN路由器，而不仅仅是一台服务器。它要验证用户权限，产生安全通道，然后同任何路由器一样，根据路由表中的信息判断，是否允许用户访问他们所要连接的网络中的子网资源，或其他的子网。用户应该有这样的印象，这些资源也包括非Windows资源，像NetWare 和UNIX服务器。  

最后应该考虑的是用户的Internet 连接。使用一台VPN服务器可能意味着可以抛掉很多当前使用的RAS专用电话线路。但是，就某种意义来说，这无疑是拆东墙补西墙，因为在这种情况下用户有可能要考虑增加公司办公系统的Internet网络带宽。是否要作出这种决定取决于下列因素：起始带宽的大小、当前的带宽利用率、用户数目和连接VPN服务器的远程分部网络的数目。同样，如果在公司网络中已经有一个始终在线的Internet连接的话，VPN会工作的更好。如果有一个拨号Internet连接的话，我所建议的唯一的VPN解决方案就是在公司网络和远程分部网络之间建立服务器到服务器的连接。  

配置VPN服务器  

在考虑过硬件配置问题之后，就需要在机器上安装Windows 服务器和最近的服务包。同时要保证在服务器上没有安装其他不需要的服务，例如DNS服务、DHCP服务和IIS服务。同样要避免装载任何额外的第三方软件，除了那些不得不安装的软件，如备份代理程序。  

安装Windows服务器期间，应该选择静态分配IP地址方式。要为第一块网卡设置一个真实的Internet IP地址和Internet路由器的缺省网关。另一块网卡应该拥有一个分配给局域网的IP地址，而且不应该使用缺省网关。  

还要为VPN服务器设置域/工作组。所作的设置取决于用户服务器进行用户验证的方式。有三个基本选项：VPN服务器在本地验证用户；使用Windows 2000 域安全性；或将安全验证工作转给RADIUS服务器。如果选择VPN服务器在本地验证用户，就要为VPN服务器建立一个工作组——类似于“Internet”这样的名字。如果使用活动目录并且用Windows 2000 域控制器进行验证，就要将VPN服务器加入到Windows 2000的域中。如果有一系列的VPN服务器，可能要使用一个RADIUS服务器（例如微软的Internet验证服务）来完成验证工作。在这个例子中，我们使用VPN服务器本地验证用户方式。  

如果用户已经安装了Windows 2000服务器，那么依次打开“开始”　“程序”　“管理工具”　“路由和远程访问”，打开“路由和远程访问”窗口，如图A所示。然后，在相应服务器名的图标上单击，然后单击“操作”按钮，从结果菜单中选择“配置并启用路由和远程访问”。载入创建一个新服务器的向导。选择“手动配置服务器”，就会进入RRAS开始进行配置。向导可能会提示要选择VPN选项，但是用户可以根据自己的要求进行选择。VPN向导可能有一点古怪，最好在RRAS中手动配置基本的VPN设置，以便在将来可以知道如何进行问题跟踪和纠正。  

图A

[page_break]右击相应VPN服务器图标开始进行配置，选择“属性”。调出用户用来激活VPN服务器的主选项。在“常规”标签中，一定要选择“路由器”和“远程访问服务器”这两个复选框，选择“用于局域网和请求拨号路由选择”选项，如图B所示。切换到“安全”标签，如果VPN服务器自己作验证或者用户使用一个Windows域作验证的话，选择“Window 身份验证”。如果用户使用的是一个RADIUS服务器，选择“RADIUS身份验证”。对于“PPP”和“事件日志”标签中的信息，可以保留缺省设置或者根据需要进行选择。  

在“IP”标签中的设置是非常重要的，如图C所示。需要复选“启用IP路由”和“允许基于IP的远程访问和请求拨号连接”复选框，然后在“IP地址分配”组中选择“动态主机配置协议（DHCP）”方式或“静态地址池”（在希望客户连接的子网内）方式。将“适配器”选项设置为连接用户LAN网络的适配器。“IP”标签中的设置是很重要的，因为这些设置规范了VPN接入客户接收到的IP地址和网络信息。在大多数情况下，建议使用DHCP方式为VPN用户配置地址信息。使用局域网内那个用户用来接收他们的IP信息的DHCP服务器，为VPN客户配置地址信息是特别高效的。VPN客户也能够接受静态IP地址，会在进行客户配置时看到。  

图B  


　图C

wyw

在你创建一个VPN之前，需要做许多规划工作。在这篇文章中，我谈了设计一个VPN必须要做的一些规划，还谈了一些你必须要做出的一些决策。有关VPN客户机的一个常见的错觉是认为它们是在VPN网络上连接到企业网络的工作站。VPN客户机可以是一台计算机，还可以是一台路由器。你的网络需要使用什么类型的VPN客户机确实取决于你的公司的具体需求。

　　选择一个隧道协议

　　当VPN客户机访问一台VPN服务器的时候，它们是通过一个虚拟的隧道进行访问的。一个隧道实际上就是通过一个不安全的媒介(通常是互联网)的安全通道。然而，隧道并不是用魔术变出来的。隧道需要使用一个隧道协议。我以前曾讲过老式的Windows客户机能够通过PPTP(点对点隧道协议)协议连接到一个VPN网络。但是，我建议使用比较新的客户端软件，如Windows 2000和Windows XP，因为它们支持L2TP(2层隧道协议)。事实是这两个协议中的任何一个协议都可以工作，而且客户机都支持这些协议。然而，每一个协议都有其优点和缺点。选择一个适合你的机构的隧道协议是你规划VPN网络时应做出的最重要的决策之一。

　　同PPTP协议相比，L2TP协议最大的优势在于它依赖IPSec。IPSec加密数据，也提供数据身份识别。这意味着IPSec证明这个数据确实是由发送者发送的并且在传输的过程中没有被修改。而且IPSec可以防止重播攻击。重播攻击指的是黑客捕捉身份识别数据包，然后在晚些时候重新发送这个数据包以便获得这个系统的访问权限。

　　L2TP还可以提供比PPTP更强大的身份识别功能。L2TP能够对用户和计算机都进行身份识别。而且在用户级身份识别期间交换的数据包总是被加密的。

　　虽然表面上看L2TP也许是隧道协议的选择，但是，PPTP也有一些超过L2TP的优点。我已经谈到过这些优点之一，就是兼容性。PPTP比L2TP兼容更多的Windows系统。如果你有一些仍在使用版本比较老的Windows操作系统的VPN用户，那么，除了使用PPTP之外，你没有别的选择。

　　PPTP优于L2TP的另一个优势是L2TP是以IPSec为基础的。在L2TP的优点这一节，我谈到IPSec喜欢L2TP是一件好事，而且事情确实如此。然而，使用IPSec有一个重大缺陷。IPSec要求你的网络具有认证中心。

　　这个好消息是Windows Server 2003有自己的认证中心。认证中心的设置是相对简单的。坏消息是，从安全的观点看，认证中心不是你要处理的事情。保持认证中心完整性的惟一方法是在一台安全保护增强到最大限度的专用服务器上运行认证中心。这就意味着必须要额外投资购买一台服务器、额外的Windows服务器软件许可证、以及增加与你的网络增加一台服务器有关的额外管理负担。不过，按照我的意见，额外的成本和管理负担是值得的。L2TP能够为你提供比PPTP更好的安全性。此外，你还可以利用认证中心做其它的事情，如通过IPSec加密本地通信等。

　　身份识别协议

　　在我谈论协议话题的时候，我要用一些时间谈一谈身份识别协议的问题。在设置VPN的过程中，系统将要求你选择一个身份识别协议。大多数人会选择MS-CHAP v2选项。MS-CHAP是一个相对安全的选项，它兼容运行在过去的10年里制作的任何版本的Windows操作系统的VPN客户机。MS-CHAP最大的优点是容易设置。

　　如果你计划使用L2TP并且要更好的安全性，你应该选择EAP-TLS作为你的身份识别协议。只有运行Windows 2003或者Windows XP操作系统的客户机才能支持EAP-TLS协议。而且，必须设置VPN服务器之后认证中心才能办法用户认证。EAP-TLS协议的设置比较复杂，如果最终用户已经获得了智能卡，这个协议会工作得更好。但是，EAP-TLS协议确实能够为你提供最佳的安全。简单地说，MS-CHAP是基于口令的协议。EAP-TLS是基于证书的协议。

　　结论

　　在你创建一个VPN之前，需要做许多规划工作。在这篇文章中，我谈了设计一个VPN必须要做的一些规划，还谈了一些你必须要做出的一些决策。

wyw

Windows Server 2003建立VPN
Windows Server 2003建立VPN

虚拟专网(VPN-Virtual Private Network)指的是在公用网络上建立专用网络的技术。之所以称为虚拟网主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路， 而是架构在公用网络服务商所提供的网络平台(如Internet, ATM, Frame Relay等)之上的逻辑网络，用户数据在逻辑链路中传输。

　　由于通过公用网来建立VPN，就可以节省大量的通信费用，而不必投入大量的人力和物力去安装和维护WAN设备和远程访问设备； VPN产品均采用加密及身份验证等安全技术，保证连接用户的可靠性及传输数据的安全/保密性；连接方便灵活；并且VPN使用户可以利用ISP的设施和服务，同时又完全掌握着自己网络的控制权。用户只利用ISP提供的网络资源，对于其他的安全设置、网络管理变化可由自己管理。在企业内部也可以自己建立VPN。因此，VPN广泛地应用在政府、企事业单位与分支机构内部联网(Intranet-VPN)和商业合作伙伴之间的网络互联（Extranet-VPN）。

　　由于登录到VPN服务器上的用户可以直接访问内部网络资源，因此，许多VPN系统不仅对用户的权限进行严格设定，而且都对登陆的用户进行强制身份验证，以防止不法人员侵入系统而盗取资料。传统的"用户名 密码"的认证方式，由于易扩散性、容易遗忘等诸多缺点，正在被人们所淘汰，各种认证方式相续出现。EPass身份认证锁就是其中的一种。其不仅可以实现强双因子认证，以达到服务器认证用户端的单向身份认证，而且与基于PKI体系的数字证书结合，可以完成服务器端与用户端之间的双向身份认证。通过运用对称和非对称密码体制等密码技术建立起一套严密的身份认证系统，从而保证：信息除发送方和接收方外不被其它人窃取；信息在传输过程中不被篡改；发送方能够通过数字证书来确认接收方的身份；发送方对于自己的信息不能抵赖。

　　数字证书采用公钥体制（PKI），即利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的私有密钥（私钥），用它进行解密和签名；同时设定一把公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的一种是RSA体制。其数学原理是将一个大数分解成两个质数的乘积，加密和解密用的是两个不同的密钥。即使已知明文、密文和加密密钥（公开密钥），想要推导出解密密钥（私密密钥），在计算上是不可能的。按现在的计算机技术水平，要破解目前采用的1024位RSA密钥，需要上千年的计算时间。公开密钥技术解决了密钥发布的管理问题，证书拥有者可以公开其公开密钥，而保留其私有密钥。发送者可以用人人皆知的公开密钥对发送的信息进行加密，安全地传送以证书拥有者，然后由证书拥有者用自己的私有密钥进行解密。

　　用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点：

　　(1) 保证信息是由签名者自己签名发送的，签名者不能否认或难以否认；

　　(2) 保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件。数字签名具体做法是：

　　(A) 将报文按双方约定的HASH算法计算得到一个固定位数的报文摘要。在数学上保证，只要改动报文中任何一位，重新计算出的报文摘要值就会与原先的值不相符。这样就保证了报文的不可更改性。

　　(B) 将该报文摘要值用发送者的私人密钥加密,然后连同原报文一起发送给接收者,而产生的报文即称数字签名。

　　(C) 接收方收到数字签名后，用同样的HASH算法对报文计算摘要值，然后与用发送者的公开密钥进行解密解开的报文摘要值相比较，如相等则说明报文确实来自所称的发送者。

　　利用数字证书确认双方的身份。大大增强了系统的安全性。而作为登陆认证的核心：数字证书以及私钥是存放在ePass当中，不会在电脑中留有备份。不会因为电脑系统的故障或者使用者的误*作而丢失。并且，因为硬件本身有PIN码保护，防止硬件遗失而被他人假冒身份。

　　北京飞天诚信公司在Windows 平台上开发了基于ePass的CSP（cryptographic service provider），在windows 平台上实现了PKI。

　　Windows Server2000/2003 均提供远程拨入/VPN服务。并且提供用智能卡证书登录VPN服务器选择。因此本文结合Windows Server2003向读者介绍如何在VPN系统上面配置、使用ePass。

　　应用拓扑图如下：

配置VPN服务器
　　从管理您的服务器界面上选择"添加或删除角色"选项,后进入配置服务器角色的界面（上图）
　　选择"远程访问/VPN服务器"，选择"下一步（N）>"按钮，出现路由和远程访问
服务器配置

选择"远程访问（拔号或VPN）（R），选择"下一步（N）>"按钮，出现远程访问的配置（上图）

　　选择"VPN（V）"，选择"下一步（N）>"按钮， 根据系统提示完成网卡选择，IP指定及是否使用RADIUS等设置，完成VPN服务器的配置。

　　配置VPN客户端
     选择"新建连接"，出现网络连接类型选择（下图）

选择（连接到我的工作场所的网络（O）"，选择"下一步（N）>"按钮，出现网络连接方式（上图）

　　选择"虚拟专用网络连接（V）", 选择"下一步（N）>"按钮，根据系统提示完成连接名及VPN服务器地址的配置，出现智能卡配置（连接名称和VPN服务器地址）。配置之后进入"选择使用智能卡用于此连接"（下图）。

　　选择"使用我的智能卡（U）"，选择"下一步（N）>"按钮，根据系统提示配置使用权限等，完成VPN客户端的配置。

　　注：下图中"使用我的智能卡"为使用的是通过智能卡证书的方式来验证用户端身份；"不使用我的智能卡"为"用户名 密码"的方式来验证用户端身份。由于"用户名 密码"认证方式有诸多安全隐患，因此建议不要采用。

登录到VPN服务器

　　将含有智能卡证书的ePass插入计算机的USB接口(关于如何申请智能卡证书及配置服务器参见《ePass应用Windows Server 2003 智能卡登录》)，启动VPN客户端，出现VPN连接（上图）

　　选择"连接（C）"，VPN客户端从ePass中的证书中，查到用户的用户名，出现输入用户PIN(下图)

输入用户PIN后，选择"确定"按钮，登录到远程服务器上（上图）

　　选择"确定"按钮后，VPN连接完成。

　　这时在服务器上可以看到登录上来的用户（下图）
这时我们就可以象内部网一样访问远程计算机了，但所有的通讯都是基于加密的方式来进行的

wyw

主机必需要有2块网卡。一块连接外网。一块连接内网。




设置内网IP地址为192.168.1.1




设置外网IP为 10.0.32.8。




打开“路由与远程访问” 默认windows2003 安装这个服务。




下一步




远程访问




选择 VPN




选择外网网卡。 最初可以先把下面的选项勾掉。防止在测试过程中出现问题。




这里可以选择使用DHCP 。或是使用静态地址池。因为没有DHCP。所以选择一个指定的地址范围
这个范围需要与内网的网段一致（这里内网网段为：192.168.1.0)，所以这里必须是这个网段，否则就算VPN拨号了也访问不了VPN服务器所在的局域网资源。





选择地址池范围




没有RADIUS 所以选择 默认选项




完成



建立新用户。用来测试。




设置用户的拨入属性





第二台电脑充当拨入的电脑。因为是测试环境。设置与RAS服务器外网网卡。同一网段。
注意：正常情况下，客户端与VPN服务端都必须能连接到INTERNET，而且客户端的IP段不能与 VPN内网的IP段一致，否则会出现VPN连接后无法访问局域网资源的现象。。。。
还有一点就是，当客户端通过INTERNET访问VPN服务器，而VPN服务器又没有外网IP，而是通过路由上网的话， 那么，在路由器中，还要映射一个虚拟服务器，
1）如果外网是静态IP，设为：59.56.24.23   VPN服务器内网IP为：10.0.32.9 那么，
1723（pptp）连接的话，则就在“路由”中映射 59.56.24.23:1723 ---》10.0.32.9
2)如果ADSL拨号的话，则需要像花生壳这类的来用”域名“定IP来拨VPN了

这里只是测试，故两台机的都没有上网，但客户机必须与VPN服务器通，故设为一个网段。




新建连接向导




选择连接到我的工作场所




虚拟专用网络连接





起个名字




填入RAS 的外网网卡地址(如果是ADSL用了域名来映射，则要输入DNS，而不是IP了，因为IP不固定）




选择供那些用户使用。




完成




拨入




测试。发现PPP分配了IP地址为192.168.1.3。并且可以PING通内网的主机192.168.1.4。




内网测试主机IP配置。




在内网的测试主机上建立一个共享文件夹




并开放Guest 用户访问权限





外网测试主机（IP 10.0.32.8）输入UNC路径




可以访问RAS服务器内部的内网共享的文件了。

wyw

在VPS/VM上遇到"路由和远程访问启动不了"那如何关闭windows防火墙/internet连接共享服务:

最近在windows2003下配置VPN时,在"路由器和远程访问"中选择"配置并启动路由和远程访问"时,出现"关闭windows防火墙/internet连接共享服务"的提示.后打开"服务"管理或直接运行services.msc,将"Windows Firewall/Internet Connection Sharing (ICS)"此选项关闭并禁用后,发现选择"配置并启动路由和远程访问"后,可以继续进行下面的配置工作.

wyw

昨天vps刚建好，晚上就折腾了一宿呀，本来想在windows  vps整个ssh服务器的，也就像搞个ssh的账号，结果发现教程少之又少，有几个还说的不清不楚，操作也特别复杂，其实刚开始搜的时候就注意到windows 2003能搭建VPN服务，开始根本不知道怎么连接，害怕特别复杂仔细做下来却发现其实十分简单，感觉比我之前的ssh账号还要好用用得时候只要像宽带那样链接一下就可以，测试youtube十分给力，好了废话不多说，开始上教程。
在windows2003中VPN服务称之为“路由和远程访问”，默认状态已经安装。只需对此服务进行必要的配置使其生效即可。
首先要做的是“开始”-“管理工具”-“服务” 按字母W找到（windows firewall/internet connection sharing ICS）windows防火墙和ICS共享连接选项 改变其状态为“停用” 启动类型为“禁用”

第一步:依次选择“开始”-“管理工具”-“路由和远程访问”，打开“路由和远程访问”服务窗口;再在窗口右边右击本地计算机名，选择“配置并启用路由和远程访问”，如图所示:

第二步:在出现的配置向导窗口点下一步，进入服务选择窗口，如下图所示。如果你的服务器/VPS有两块网卡，则可有针对性的选择第一项或第三项。大部分小盆友都是玩VPS，也就是只有1张网卡，只能选择“自定义设置”，然后点击下一步，进入“自定义配置”，勾上“VPN访问”。完成后开启配置后即可开始VPN服务了。



第三步:IP地址指派，右击右边树形目录里的本地服务器名，选择“属性”并切换到IP选项卡(如下图)。将IP地址指派设置为静态地址池，然后添加一个IP段，如192.168.1.100-192.168.1.200（根据你的需要设定数量）

然后建立账户： 网络接口（右键）---新建请求拨号接口----下一步----接口名称（设定为用户名）----勾选使用虚拟连接--自动选择---目标地址主机名不填----协议及安全措施（勾选添加一个用户账号...）-----选择静态路由器（不填）----错误615（确定）---拨入凭据（填用户密码）----下一步填用户及密码就ok了。注意：一定在创建好后将网络接口里的用户名接口删掉才能连接成功。因为输入时信息不全。
也可在本地用户和组—用户组里直接创建用户。


第四步:设置账户的VPN权限，右击“我的电脑”—管理—本地用户和组—用户，选择其中的欲开放VPN拨入权限的用户，如33212用户，右击该用户—属性，进入“拨入”选项页（如下图），将远程访问权限设置为允许访问，确定即可。

至此，一个VPN服务器就搭建完成了
有些童鞋会遇到VPN可以连上但是上不了网的情况，这时候还需要一个NAT转发服务。
“路由和远程访问”—“IP路由选择”—右击“常规”，选择“新增路由协议”

在弹出的新路由协议界面选择“NAT/基本防火墙”，下一步。

之后右击“NAT/基本防火墙”，选择“新增接口”，接口选“Local AreaConnection”

最后设置下“Local AreaConnection”的属性，选“公用接口连接到Internet”-“在此接口上使用NAT”

配置完成 你可以利用vpn畅游了

vpn客户端配置
客户端配置较为简单 但是顾及有些童鞋是新手 还是做了个教程
第一步右键点击“网上邻居”或控制面板“显示所有连接 ”查看其属性，选择创建一个新的链接

选择连接到我的工作场所的网络-下一步

选择虚拟专用网络连接-下一步

随便填写一个名，比如：我的VPN连接

这个最好选用不拨初始连接

输入你vps主机的ip

创建完成

输入vpn建立时第四步说的开放VPN拨入权限的用户名和密码


现在你可以用你的浏览器测试了

年代

VPN连接成功,能访问VPN内网却不能访问Internet

使用VPN 客户端远程访问过公司内网的朋友一定有过这种经验，就是当你VPN连接成功之后，能够访问公司内网却再也不能访问Internet了，显然这是一个路由上的问题，因为VPN 客户端是通过Internet连接到VPN服务器的，也就是说Internet实际是可达的，但VPN连接建立后就不能访问了，说明路由表有了变化，导致出现了上面的问题。很多人都是通过取消“在远程网络上使用默认网关”选项来解决这个问题的（这个选项在VPN连接的TCP/IP属性中，如图1），这种解决方法可行吗？是最好的方法吗？也许你很奇怪，这有什么不行的，还会有其他问题？确实如此，因为这样可能解决了一个路由问题，却可能带来新的路由问题，更严重的是，还可能带来安全问题，本来采用VPN就是为了保证安全，结果却可能因为它而让你失去安全，所以千万不要小看这一条设置，不然，微软又何必吃力不讨好地在这里放上你认为是“画蛇添足”的一个选项呢？那怎样才是更好更安全的解决方法呢？要回答这个问题，需要先对VPN 客户端的路由有一个深入的了解，从哪里开始呢？既然是这个问题引起的，那就从刚才这个问题谈起吧。

既然我们认定是路由问题，那么就可以从VPN连接前后路由表的变化找出证据来，首先在VPN没连接之前，用route print命令输出当前的路由表项，然后连接上VPN（这里不取消图1的选项），再次运行route print命令，比较前后两次命令的区别，从中可以看出，连接后多出了几条路由，其中比较重要的有两条（图2中画红线的）：

一条是（这里称之为route1）
0.0.0.0          0.0.0.0      150.0.1.226     150.0.1.226       1
一条是（这里称之为route2）
218.70.201.62 255.255.255.255       150.0.1.43      150.0.1.41       20
其中的150.0.1.226是VPN客户端从VPN服务器上获得的IP地址，而150.0.1.41是本机网卡的地址，而218.70.201.62是VPN服务器的公网地址。从图2还可以看出，原先默认路由的metric值增加了且高于新的默认路由（route1），这样实际上原先的默认路由已不起作用了，起作用的是新的默认路由，因为它的metric值更低，这样到Internet的访问就使用了新的默认路由，而这条路由是把数据包交给VPN的虚拟接口处理的，而VPN虚拟接口的数据最终会发送到远方的VPN服务器（route2），所以这样通常情况下就不能访问Internet上的其他站点了，这就是为什么VPN连接后不能访问Internet的原因。
上面只是简单的说明了为什么VPN连接后不能访问Internet的原因，但还有更多的细节需要我们去了解，下面来看看VPN客户端的路由决策及数据报封装的过程。众所周知，VPN就是虚拟的点对点链路，这个VPN虚拟接口也就是一个虚拟的点对点链路接口（从图2也可以看出，VPN连接成功后在Interface list中多出了一个WAN(PPP/SLIP) 接口，这就是一个虚拟的VPN点对点链路接口），当VPN虚拟接口收到数据包时，由于这个虚拟接口是一个虚拟的点对点接口，所以它将把从网络层得到的数据包封装成PPP点对点数据帧并进行加密等操作，然后把它送到网关(route1指出)，而这里的网关正是VPN客户端自己，所以这个被封装的PPP点对点数据帧又被返回给本机再次处理，这次处理其实就是再次封装的过程，为什么要再次封装，上面第一次封装好以后送上网络不就行了吗？这是因为第一次封装的帧只能通过虚拟的VPN接口，而要把数据通过实际的接口进行传输，还必须在实际的链路层上进行再次封装才行。而在最终封装成链路层数据帧之前，其实需要对第一次封装成的PPP数据帧进行其他的多级封装，因为规范中是不能直接把PPP帧封装在另一个链路层帧中的，需要在它们之间添加一些报头（实际上最简单的PPTP封装就是在PPP帧前添加了一个GRE头和IP头，如图3，深色部分加上前面的PPP报头是第一次VPN虚拟接口封装的，GRE和IP头是后来多级封装的），在封装到网络层比如IP报头的时候，又需要进行路由决策了，由于这个数据包要明确地发送到远方的VPN服务器，所以它将寻找一条到达远方VPN服务器的路由，由于在VPN连接建立时就同时创建了一条到达VPN服务器的路由（route2），于是再次封装成PPTP格式或L2TP格式的IP数据报将交由这条路由所指定的接口进行处理，如果是以太网接口，这个数据报就加上以太网报头，如果是点对点，就加上点对点链路报头，然后发送到物理网络上，在这里，由于route2所指定的接口是150.0.1.41，也就是网卡接口，所以它将加上以太网帧头，然后发送到物理网络上去。

从上面我们可以得出一点，要使用VPN连接，必须让需要通过VPN连接传输的数据包先到达VPN虚拟接口进行“处理”，如果绕过了VPN虚拟接口，那么你这个VPN连接就不是真正的“VPN”了，因为这样的数据包是没经过加密等措施就直接发送到了Internet上，所以你的安全性根本就没得到保证。开篇我们不是说了当取消了图1中的“在远程网络上使用默认网关”选项可能带来新的路由问题和安全问题吗？这里就来看看，仍然在VPN连接后看看此时VPN客户端的路由表，如图4：

从上面可以看出，默认路由没有变，而添加了一条VPN虚拟接口IP对应的分类网络路由条目：
150.0.0.0      255.255.0.0      150.0.1.226     150.0.1.226       1
假定我现在要通过VPN连接访问远程公司内网的192.168.0.0/24子网，根据上面的路由表，匹配的路由只有第一条默认路由，但默认路由是通过本地网卡到达网关后直接发送到192.168.0.0/24去的，很显然这个目的地是不能到达的，因为这是一个私有网络，因特网上的路由器不会转发到达此类网络的数据包，从另一方面说，如果你的远程子网能够通过Internet到达，但由于绕过了VPN虚拟接口，数据是没有加密的，所以不能保证数据的安全性，这并不是真正的VPN。但如果是选中了“在远程网络上使用默认网关”选项，同样是采用默认路由（图2中），却不会出现上面的路由问题和安全问题。有的朋友可能要说了，为什么不为你的VPN客户端分配192.168.0.0/24子网的IP呢？这样取消图1的选项不也行吗?我先不回答对与否，先假设VPN客户端也正位于一个192.168.0.0/24网络中，情况将会怎样呢？很显然根据前面的路由表，又会出现路由问题，所有发送到本地子网的数据包将被路由到远程子网中，而如果是没有取消这个选项，那么发送到远程子网的数据也不可能到达，因为它们直接发送到了本地的子网中。所以为了避免客户端的这种路由问题，我们为VPN客户端分配IP范围时不要与客户端所处的网络范围相同，以免出现问题。
那怎样来解决这个问题呢？取消这个选项又不能保证安全性且可能带来新的路由问题，而不取消这个选项又不能同时上网？这确实是一个两难的决策，而且不同的网络环境可能有不同的解决方法，没有一个统一的设置。总的来说，由于取消图1的选项可能导致安全问题，所以尽量不要取消他它，对于那些既想通过VPN连接访问远程内网又想访问Internet的用户可以采用这样一种方法，就是配置它们使用代理访问Internet，比如设置它们使用HTTP代理或Socks代理，这两项功能是现今大多数代理服务器都提供的；如果VPN客户端的IP与VPN服务器内网卡位于同一个逻辑子网，且只访问这个逻辑子网时，并且不与本地连接的网络属于同一个逻辑子网时，就可以取消图1的选项。