Windows Server 2019 VPN: настройка, протоколы и безопасность

Зачем нужен VPN на Windows Server 2019

VPN-сервер на базе Windows Server 2019 позволяет организовать безопасный удалённый доступ к корпоративным ресурсам для сотрудников, работающих вне офиса. Это особенно актуально для компаний, где часть команды работает из дома или в командировках. Встроенные средства Windows Server избавляют от необходимости покупать сторонние VPN-решения, что снижает затраты и упрощает инфраструктуру.

Использование встроенного VPN-сервера уменьшает количество компонентов, которые могут выйти из строя: нет отдельного программного обеспечения, которое нужно обновлять и поддерживать. Кроме того, интеграция с операционной системой упрощает управление доступом и мониторинг подключений. Для небольших организаций это часто становится оптимальным выбором, так как не требует дополнительных лицензий и сложной настройки.

Однако важно понимать, что встроенный VPN — это не панацея. Он требует грамотной настройки, выбора подходящих протоколов и регулярного обновления системы. В противном случае безопасность удалённого доступа может оказаться под угрозой. В этой статье мы разберём все этапы настройки, от установки роли до выбора протоколов и управления доступом.

Подготовка сервера и установка роли Remote Access

Перед началом настройки убедитесь, что Windows Server 2019 установлен и активирован, а сервер имеет статический IP-адрес. Если сервер входит в домен, учётная запись должна обладать правами администратора. Для установки роли Remote Access выполните следующие шаги:

Откройте Server Manager.
В меню Manage выберите Add Roles and Features.
В мастере установки выберите Role-based or feature-based installation.
Укажите ваш сервер и на шаге выбора ролей отметьте Remote Access.
Нажмите Next, затем на шаге Role Services выберите DirectAccess and VPN (RAS).
Система предложит добавить необходимые компоненты — согласитесь и нажмите Add Features.
Завершите установку, нажав Install.

После завершения установки может потребоваться перезагрузка сервера. Затем в Server Manager появится уведомление о необходимости пост-установочной настройки. Откройте Getting Started Wizard, где нужно выбрать вариант Deploy VPN Only, если вы не планируете использовать DirectAccess. Это запустит консоль Routing and Remote Access, где будет виден ваш сервер с красным значком, указывающим на отсутствие конфигурации.

Настройка Routing and Remote Access (RRAS)

После установки роли необходимо настроить службу RRAS. В консоли Routing and Remote Access щёлкните правой кнопкой мыши по имени сервера и выберите Configure and Enable Routing and Remote Access. Откроется мастер настройки:

На первом шаге выберите Remote access (dial-up or VPN).
Укажите, что будет использоваться только VPN (снимите флажок с dial-up).
Выберите сетевой интерфейс, который смотрит в интернет.
Для назначения IP-адресов клиентам выберите Automatically, если у вас есть DHCP-сервер, или From a specified range of addresses, если хотите задать статический пул.
На вопрос о RADIUS-сервере выберите No, use Routing and Remote Access to authenticate connection requests, если у вас нет RADIUS-инфраструктуры.
Просмотрите сводку и нажмите Finish.

После завершения мастера служба RRAS запустится, и сервер начнёт принимать VPN-подключения. Однако для корректной работы необходимо настроить протоколы и порты, а также права пользователей на удалённый доступ.

Выбор VPN-протокола: SSTP, IKEv2, L2TP или PPTP

Windows Server 2019 поддерживает четыре основных VPN-протокола: PPTP, L2TP/IPsec, SSTP и IKEv2. Каждый из них имеет свои особенности, и выбор зависит от требований безопасности и совместимости.

PPTP — самый старый протокол, который легко настраивается, но считается небезопасным из-за слабого шифрования. Microsoft не рекомендует использовать его в новых конфигурациях, особенно если требуется защита конфиденциальных данных.

L2TP/IPsec — более безопасный, чем PPTP, так как использует IPsec для шифрования. Однако он может блокироваться некоторыми файрволами из-за использования UDP-портов 500 и 1701. Настройка требует обмена сертификатами или предварительным ключом.

SSTP — протокол на основе SSL/TLS, который использует порт 443, что позволяет обходить большинство файрволов. Он прост в настройке и обеспечивает хороший уровень безопасности, но требует наличия SSL-сертификата на сервере.

IKEv2 — современный протокол, который поддерживает мобильность (переключение между сетями без разрыва соединения). Он также использует IPsec и считается одним из самых безопасных вариантов. IKEv2 рекомендуется Microsoft для новых развёртываний.

При выборе протокола учитывайте, какие клиентские устройства будут подключаться. Например, IKEv2 поддерживается Windows, macOS, iOS и Android, а SSTP — в основном только Windows. Для максимальной совместимости можно включить несколько протоколов одновременно, но помните, что каждый из них требует настройки портов и сертификатов.

Настройка портов и файрвола для VPN-подключений

Чтобы VPN-сервер был доступен из интернета, необходимо открыть соответствующие порты на файрволе. Для каждого протокола используются свои порты:

PPTP: TCP 1723 и IP-протокол 47 (GRE).
L2TP/IPsec: TCP 1701, UDP 500 и UDP 4500 (для NAT-трафика).
SSTP: TCP 443 (обычно уже открыт для HTTPS).
IKEv2: UDP 500 и UDP 4500.

Если сервер находится за NAT-устройством, необходимо настроить проброс портов на внутренний IP-адрес сервера. Также убедитесь, что встроенный файрвол Windows разрешает входящие подключения для выбранных портов. Это можно сделать через оснастку Windows Defender Firewall with Advanced Security, создав новые правила для входящего трафика.

Важно помнить, что открытие портов увеличивает поверхность атаки. Поэтому рекомендуется ограничить доступ по IP-адресам, если это возможно, и использовать сложные пароли или сертификаты для аутентификации.

Настройка статического пула IP-адресов и DHCP

Если в вашей сети нет DHCP-сервера, вы можете настроить статический пул IP-адресов для VPN-клиентов. Это делается в свойствах VPN-сервера в консоли RRAS:

Щёлкните правой кнопкой мыши по серверу и выберите Properties.
Перейдите на вкладку IPv4.
Выберите Static address pool и нажмите Add.
Укажите диапазон IP-адресов, например, 192.168.1.100–192.168.1.200, и маску подсети.

Убедитесь, что выбранный диапазон не пересекается с адресами, используемыми в локальной сети. Также важно, чтобы VPN-клиенты могли взаимодействовать с внутренними ресурсами — для этого может потребоваться настройка маршрутизации или добавление статических маршрутов.

Если у вас есть DHCP-сервер, вы можете выбрать автоматическое назначение адресов. В этом случае RRAS будет запрашивать адреса у DHCP, что упрощает управление, но требует корректной настройки DHCP-области.

Управление доступом пользователей и аутентификацией

Для того чтобы пользователи могли подключаться к VPN, им необходимо разрешить удалённый доступ. Это делается в оснастке Active Directory Users and Computers (если сервер в домене) или в Local Users and Groups (для рабочей группы).

В свойствах пользователя на вкладке Dial-in выберите Allow access. Если вы используете NPS (Network Policy Server), можно настроить более гибкие политики, например, ограничить доступ по времени или по группам.

Для аутентификации можно использовать пароли, сертификаты или смарт-карты. Для повышения безопасности рекомендуется включить многофакторную аутентификацию, если это поддерживается вашей инфраструктурой. Также стоит настроить политику паролей и срок действия учётных записей.

Важно регулярно проверять журналы событий на предмет неудачных попыток входа и подозрительной активности. Это поможет вовремя обнаружить попытки несанкционированного доступа.

Always On VPN как альтернатива DirectAccess

Windows Server 2019 включает функцию Always On VPN, которая позиционируется как замена DirectAccess. Always On VPN предоставляет более гибкие возможности управления: можно настраивать правила доступа на основе приложений и трафика, использовать современные методы аутентификации, включая Azure AD, и поддерживать как RSA, так и эллиптические кривые для шифрования.

В отличие от DirectAccess, Always On VPN работает через стандартные VPN-протоколы (IKEv2, SSTP), что упрощает развёртывание и совместимость с мобильными устройствами. Microsoft рекомендует организациям, использующим DirectAccess, рассмотреть переход на Always On VPN, так как эта технология более перспективна и лучше интегрируется с современными облачными сервисами.

Однако настройка Always On VPN сложнее, чем обычного VPN-сервера: требуется развёртывание инфраструктуры сертификатов, настройка NPS и профилей VPN на клиентских устройствах. Для небольших организаций это может быть избыточно, но для крупных компаний с высокими требованиями к безопасности — оправдано.

Безопасность VPN-сервера: рекомендации и ограничения

Настройка VPN-сервера — это только первый шаг. Чтобы обеспечить безопасность, необходимо принять дополнительные меры:

Используйте современные протоколы: отключите PPTP и L2TP, если они не нужны, и оставьте только SSTP и IKEv2.
Настройте файрвол: ограничьте доступ к портам VPN только с доверенных IP-адресов, если это возможно.
Регулярно обновляйте сервер: устанавливайте обновления безопасности для Windows Server.
Используйте сертификаты: для SSTP и IKEv2 требуется SSL-сертификат, который должен быть действительным и не просроченным.
Включите аудит и мониторинг: настройте журналирование подключений и отслеживайте аномалии.

Также важно помнить, что VPN-сервер — это точка входа в вашу сеть, поэтому он должен быть защищён не хуже, чем другие критически важные серверы. Рассмотрите возможность использования NPS для централизованного управления политиками доступа и интеграции с системами SIEM.

Ограничения встроенного VPN-сервера включают отсутствие встроенной поддержки некоторых современных функций, таких как split tunneling на уровне приложений (хотя это можно настроить вручную), и ограниченную масштабируемость для очень больших организаций. В таких случаях может потребоваться стороннее решение.

Часто задаваемые вопросы о VPN на Windows Server 2019

Вопрос: Можно ли использовать Windows Server 2019 VPN без домена?

Да, можно. Если сервер не входит в домен, вы можете настроить VPN с использованием локальных учётных записей. Однако управление пользователями будет менее централизованным, и вам придётся вручную настраивать доступ для каждой учётной записи.

Вопрос: Какой протокол VPN самый безопасный для Windows Server 2019?

IKEv2 и SSTP считаются наиболее безопасными. IKEv2 поддерживает современные методы шифрования и мобильность, а SSTP использует SSL/TLS, что обеспечивает хорошую защиту и совместимость с файрволами.

Вопрос: Нужно ли открывать порт 443 для SSTP, если на сервере уже работает IIS?

Да, порт 443 используется SSTP, и если IIS также использует его, возможен конфликт. В этом случае можно настроить SSTP на другой порт или использовать отдельный сервер для VPN.

Вопрос: Как ограничить доступ к VPN по времени?

Это можно сделать с помощью NPS (Network Policy Server), настроив политики, которые разрешают подключения только в определённые часы. Также можно использовать скрипты или групповые политики.

Вопрос: Можно ли использовать VPN-сервер Windows Server 2019 для подключений «сеть-сеть»?

Да, RRAS поддерживает VPN-подключения «сеть-сеть» (site-to-site). Для этого необходимо настроить соответствующие интерфейсы запросов и ответов, а также маршрутизацию между сетями.

Вопрос: Что делать, если VPN-клиенты не могут получить IP-адрес?

Проверьте настройки DHCP или статического пула адресов. Убедитесь, что диапазон адресов не пересекается с другими подсетями, и что служба RRAS запущена. Также проверьте, разрешён ли удалённый доступ для пользователя.

Вопрос: Как отключить неиспользуемые VPN-протоколы?

В консоли RRAS откройте свойства портов, выберите нужный протокол (например, PPTP) и снимите флажок Remote access connections (inbound only). Затем перезапустите службу RRAS.

Вопросы и ответы

Можно ли использовать Windows Server 2019 VPN без домена?

Какой протокол VPN самый безопасный для Windows Server 2019?

Нужно ли открывать порт 443 для SSTP, если на сервере уже работает IIS?

Как ограничить доступ к VPN по времени?

Можно ли использовать VPN-сервер Windows Server 2019 для подключений «сеть-сеть»?

Что делать, если VPN-клиенты не могут получить IP-адрес?

Как отключить неиспользуемые VPN-протоколы?