您可以通過無數(shù)種方式構(gòu)建虛擬專用網(wǎng)絡(luò)。最低限度的VPN實(shí)現(xiàn)方案由連接Internet的RAS PPTP服務(wù)器、連接Internet的客戶端以及位于上述服務(wù)器與客戶端之間的PPTP連接所組成。只要ISP服務(wù)或Internet連接處于可用狀態(tài)，客戶端即可從世界上的任意一個(gè)角落與您的服務(wù)器建立連接。然而，大多數(shù)VPN并非僅僅由相互連接的服務(wù)器與客戶端構(gòu)成。通常情況下，VPN服務(wù)器位于一個(gè)可以實(shí)現(xiàn)路由的LAN網(wǎng)段上，并處在防火墻后方；客戶端連接則使用一個(gè)同樣包含路由器與防火墻的ISP網(wǎng)絡(luò)。圖1顯示了一種常見的移動(dòng)客戶端VPN實(shí)現(xiàn)方案。
　　
　　您只需通過幾個(gè)簡單步驟即可以獨(dú)立服務(wù)器或域控制器的方式創(chuàng)建一臺(tái)PPTP服務(wù)器。您需要安裝RAS和PPTP協(xié)議，并按照配置撥號(hào)連接的方式來配置PPTP端口。Windows NT客戶端安裝過程同樣相當(dāng)直接：您只需裝載PPTP并配置通過Internet與PPTP服務(wù)器相連的PPTP連接。由于安裝方式如此簡單，您自然會(huì)認(rèn)為VPN連接將一次調(diào)試通過。然而，實(shí)際情況卻是，VPN連接在某些情況下仍舊需要進(jìn)行調(diào)節(jié)。
　　
　　VPN故障診斷與WAN連通性故障診斷非常相似，由于數(shù)據(jù)在到達(dá)目的地之前需要在許多連接上進(jìn)行傳送，因此，整個(gè)處理過程相當(dāng)復(fù)雜。舉例來說，通常情況下，數(shù)據(jù)需要通過防火墻、ISP網(wǎng)絡(luò)甚至其它ISP網(wǎng)絡(luò)從客戶端傳送至ISP路由器，再由ISP路由器依次傳送至企業(yè)路由器、防火墻或代理服務(wù)器，并最終到達(dá)目標(biāo)PPTP服務(wù)器。
　　
　　當(dāng)客戶端與某個(gè)ISP建立連接時(shí)（這種連接使用VPN連接中的點(diǎn)對(duì)點(diǎn)協(xié)議--PPP--部分），ISP將為客戶端分配一個(gè)TCP/IP地址、一個(gè)DNS服務(wù)器地址以及一個(gè)缺省網(wǎng)關(guān)。當(dāng)客戶端發(fā)起一個(gè)PPTP連接時(shí)，這項(xiàng)操作將創(chuàng)建第二個(gè)TCP/IP會(huì)話（這個(gè)會(huì)話是VPN連接的隧道部分），并將其嵌入到用以提供數(shù)據(jù)包加密與封裝功能的第一個(gè)會(huì)話內(nèi)部。當(dāng)客戶端連接成功后，VPN服務(wù)器將為客戶端分配第二個(gè)IP地址、第二個(gè)DNS服務(wù)器地址、可選WINS服務(wù)器以及另一個(gè)缺省網(wǎng)關(guān)。圖2顯示了組成PPTP會(huì)話的兩部分內(nèi)容--PPP連接和PPTP連接。在連接中的每一條鏈接上，均有可能出現(xiàn)故障。了解常見配置與連通性問題并掌握必要的故障診斷操作步驟將幫助您對(duì)VPN連接進(jìn)行解譯與調(diào)試。
　　
　　VPN服務(wù)器建議
　　
　　如果可能的話，請(qǐng)從一臺(tái)裝有最低限度服務(wù)且僅含TCP/IP與PPTP協(xié)議的NT服務(wù)器開始。NT 4.0 Service Packs 5（SP5）與SP6a修正了大量有關(guān)PPTP連接的問題，其中包括與碎片數(shù)據(jù)包、被丟棄的連接以及被拒絕的連接相關(guān)的性能問題。如果在嘗試對(duì)客戶端連接進(jìn)行調(diào)試之前首先利用服務(wù)軟件包對(duì)服務(wù)器進(jìn)行更新，那么，您將能夠節(jié)省大量時(shí)間。為幫助您保持簡單直接的服務(wù)器配置，以便實(shí)現(xiàn)故障診斷目的，我將為您提供四條建議。
　　
　　配置一臺(tái)多宿主服務(wù)器：如果您的PPTP服務(wù)器配備了兩塊網(wǎng)卡，一塊針對(duì)LAN，一塊針對(duì)WAN，那么，請(qǐng)將LAN適配器上的網(wǎng)關(guān)設(shè)置為空（請(qǐng)注意，這里要求設(shè)置為空而非設(shè)置為0）。在WAN網(wǎng)絡(luò)接口的網(wǎng)關(guān)字段中輸入ISP所定義的TCP/IP地址；網(wǎng)關(guān)地址通常指向ISP所屬的一臺(tái)路由器。您需要保持LAN網(wǎng)關(guān)設(shè)置為空，以便使服務(wù)器能夠?qū)⒕W(wǎng)絡(luò)數(shù)據(jù)包路由至客戶端。當(dāng)您為服務(wù)器配置多個(gè)網(wǎng)絡(luò)適配器時(shí)，保持LAN網(wǎng)關(guān)設(shè)置為空是一種標(biāo)準(zhǔn)實(shí)現(xiàn)方式。如需獲取更多有關(guān)如何為多宿主服務(wù)器配置路由方式的信息，請(qǐng)查看“原先發(fā)布的相關(guān)文章”中的第XX頁。在測(cè)試過程中，我建議您手工輸入LAN NIC的TCP/IP地址與WINS服務(wù)器地址（而不要通過DHCP為其分配這些取值）。
　　
　　配置RAS：當(dāng)您安裝RAS時(shí)，請(qǐng)僅為那些真正需要提供支持的活動(dòng)客戶端連接配置必要數(shù)量的VPN端口。盡管每臺(tái)RAS服務(wù)器能夠支持256條并行連接（假設(shè)您擁有足夠支持所有這些活動(dòng)的網(wǎng)絡(luò)帶寬），然而，在實(shí)際應(yīng)用過程中，您可能只需要為您的漫游用戶提供40條并行連接。接下來，將服務(wù)器配置為通過靜態(tài)地址池而非DHCP服務(wù)器來分配客戶端地址。如果您將RAS配置為從靜態(tài)地址池中分配客戶端地址，那么，客戶端將從RAS服務(wù)器繼承DNS與WINS設(shè)置。如果您的RAS服務(wù)器能夠?yàn)g覽網(wǎng)絡(luò)，那么，客戶端同樣可以利用相同的設(shè)置來瀏覽網(wǎng)絡(luò)。
　　
　　如果您傾向于使用DHCP，請(qǐng)確保DHCP范圍選項(xiàng)44（WINS/NetBIOS名稱服務(wù)器）指向WINS服務(wù)器且范圍選項(xiàng)6顯示您的DNS服務(wù)器地址。如果未能定義這些選項(xiàng)，那么，您將幾乎肯定會(huì)在客戶端瀏覽過程中遇到問題。
　　
　　啟用PPTP過濾功能：由于可以避免測(cè)試與調(diào)試鏈中的某個(gè)連接被防火墻刪除，因此，同對(duì)處在防火墻內(nèi)部的服務(wù)器進(jìn)行測(cè)試相比，對(duì)處于防火墻外部的VPN服務(wù)器進(jìn)行配置與測(cè)試要容易得多。如果在具備高度安全性的環(huán)境中運(yùn)行服務(wù)器，您便可以放心的將服務(wù)器置于防火墻外部并將允許進(jìn)入的唯一VPN通信內(nèi)容限制為PPTP數(shù)據(jù)包。如屏幕快照1所顯示的那樣，如需從控制面板中啟用PPTP過濾功能，請(qǐng)依次選擇“網(wǎng)絡(luò)”、“協(xié)議”、“TCP/IP協(xié)議”、“WAN適配器”、“高級(jí)”，并選中“啟用PPTP過濾功能”復(fù)選框。當(dāng)您啟用PPTP過濾器后，服務(wù)器拒絕所有非PPTP請(qǐng)求。我曾經(jīng)對(duì)這項(xiàng)特性進(jìn)行過專門測(cè)試，事實(shí)證明，這是一種能夠?qū)�進(jìn)入VPN連接會(huì)話加以限制的有效方式。PPTP過濾功能具有一個(gè)重要的副作用：當(dāng)您啟用過濾功能后，由于其阻擋了進(jìn)入的HTTP與FTP通信內(nèi)容，LAN客戶端將無法通過RAS服務(wù)器的WAN連接對(duì)Internet進(jìn)行瀏覽。
　　
　　如果希望VPN服務(wù)器將允許進(jìn)入的數(shù)據(jù)包限制為PPTP數(shù)據(jù)包并托管一個(gè)可以通過Internet進(jìn)行訪問的Web站點(diǎn)，那么，您需要對(duì)注冊(cè)表進(jìn)行修改以便允許其它數(shù)據(jù)包通過過濾接口進(jìn)入本地系統(tǒng)。前往HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services RASPPTPF Parameters注冊(cè)表鍵，添加名為AllowPacketsForLocalMachine且數(shù)據(jù)類型為REG_DWORD的記錄項(xiàng)，并將其取值設(shè)置為1。當(dāng)完成此項(xiàng)修改后，RAS服務(wù)器將暴露在Internet上，然而進(jìn)入VPN服務(wù)器的連接將受到限制，這樣一來，遠(yuǎn)程客戶端將無法看到網(wǎng)絡(luò)上的任何其它資源。
　　
　　使用防火墻端口：在將VPN服務(wù)器置于防火墻后方之前，請(qǐng)首先確認(rèn)您的防火墻軟件能夠接收PPTP數(shù)據(jù)包。當(dāng)您通過網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）對(duì)防火墻進(jìn)行配置時(shí)，防火墻軟件包（包括某些支持檢查點(diǎn)軟件技術(shù)的FireWall-1版本）在某些情況下可能無法接受PPTP連接。這種情況下，嘗試與RAS服務(wù)器建立連接的客戶端將報(bào)出一條事件編號(hào)為721的錯(cuò)誤消息--PPP遠(yuǎn)端未能響應(yīng)。當(dāng)您將VPN服務(wù)器置于防火墻后方時(shí)，請(qǐng)確保啟用編號(hào)為47的IP協(xié)議端口（通用路由封裝--GRE）和以及編號(hào)為1723的TCP端口。VPN連接使用1723端口完成諸如PPTP隧道創(chuàng)建、維護(hù)與終止之類的日常管理工作。47端口則用于在客戶端與服務(wù)器（包含GRE協(xié)議）之間傳送隧道數(shù)據(jù)，如果您希望支持RAS服務(wù)器對(duì)服務(wù)器VPN連接，則同樣需要建立編號(hào)為1723的TCP端口。
　　
　　在嘗試與VPN客戶端建立連接之前，請(qǐng)首先對(duì)通信雙方NIC上的服務(wù)器TCP/IP設(shè)置進(jìn)行驗(yàn)證，并確保您的RAS服務(wù)器能夠執(zhí)行所有典型網(wǎng)絡(luò)操作（例如瀏覽LAN、連接LAN資源、連接Internet或?yàn)g覽Internet等）。此后，請(qǐng)針對(duì)您的測(cè)試帳號(hào)啟用撥號(hào)權(quán)限。另外，您可能還需要在最初測(cè)試過程中啟用PPP日志功能。
　　客戶端故障診斷
　　
　　為確保操作成功，PPTP客戶端必須正確維護(hù)兩套TCP/IP協(xié)議棧設(shè)置：其中一套面向于ISP與Internet連接，另一套面向于VPN服務(wù)器連接，具體情況如圖2所示。客戶端路由表同樣必須包含兩條記錄：其中一條負(fù)責(zé)將網(wǎng)絡(luò)數(shù)據(jù)包定向至提供Internet瀏覽服務(wù)的ISP，另一條指向用于實(shí)現(xiàn)LAN瀏覽的VPN服務(wù)器接口。當(dāng)協(xié)議棧設(shè)置不正確時(shí)，客戶端將會(huì)遇到嚴(yán)重問題。通常情況下，NT客戶端維護(hù)獨(dú)立的TCP/IP協(xié)議棧設(shè)置，然而，當(dāng)同時(shí)配備網(wǎng)卡和調(diào)制解調(diào)器時(shí)，Windows 95客戶端則會(huì)經(jīng)常出現(xiàn)協(xié)議棧設(shè)置問題。在建立PPTP連接后，Windows 9x缺省網(wǎng)關(guān)可能仍舊指向ISP，從而使客戶端無法成功瀏覽LAN。下面，讓我們來看一看五種最為常見的客戶端連接問題。
　　
　　客戶端無法連接PPTP服務(wù)器：您可能遇到的第一種問題是客戶端無法連接到PPTP服務(wù)器。此時(shí)，您需要對(duì)以下三種可能導(dǎo)致這種問題的因素進(jìn)行查看。
　　
　　建立VPN服務(wù)器Internet連通性。在完成客戶端配置工作后，您需要驗(yàn)證VPN服務(wù)器具備一條Internet連接。驗(yàn)證這種連接的最簡單方式是從設(shè)置服務(wù)器TCP/IP地址的客戶端上對(duì)服務(wù)器執(zhí)行ping操作。（如果您的PPTP服務(wù)器位于防火墻后方且防火墻被設(shè)置為阻止Internet控制消息協(xié)議--ICMP--ping消息，那么，這種驗(yàn)證方式將無法使用。）如果ping指令顯示消息請(qǐng)求超時(shí)，則說明服務(wù)器Internet連接可能存在某種問題。如果服務(wù)器通過地址進(jìn)行相應(yīng)，您可以在DUN記錄的電話號(hào)碼字段中輸入TCP/IP地址以便建立PPTP會(huì)話。盡管與通過全面驗(yàn)證的域名（FQDN）相比有些不夠友好，這項(xiàng)技術(shù)在您知道服務(wù)器地址的情況下仍舊非常有效。

　　需要注意的是，使用撥號(hào)連接的服務(wù)器很有可能在每次與ISP建立連接時(shí)獲得不同的地址。如需通過地址進(jìn)行連接，您必須了解服務(wù)器每次建立撥號(hào)連接時(shí)由ISP所分配的地址。通常情況下，您的RAS服務(wù)器將使用一個(gè)永久地址，從而消除了連接過程中的一項(xiàng)細(xì)微可變因素。
　　
　　如果服務(wù)器通過地址進(jìn)行響應(yīng)，請(qǐng)繼續(xù)使用名稱對(duì)其執(zhí)行ping操作。如果服務(wù)器無法通過名稱進(jìn)行響應(yīng)，原因可能有兩種：服務(wù)器可能不具備注冊(cè)域名，或者您的ISP DNS服務(wù)器可能處于停機(jī)狀態(tài)或無法正常工作。
　　
　　查看PPTP過濾功能。當(dāng)服務(wù)器上的PPTP過濾功能處于啟用狀態(tài)時(shí)，您可能會(huì)看到消息“錯(cuò)誤678：無法應(yīng)答”或“錯(cuò)誤650：遠(yuǎn)程訪問服務(wù)器無法響應(yīng)”。此時(shí)，請(qǐng)?jiān)诜��?wù)器上禁用PPTP過濾功能（Net Stop RASPPTPF），并查看是否可以建立非過濾連接。

　　如果能夠在過濾功能處于禁用狀態(tài)的情況下建立連接，請(qǐng)檢查服務(wù)器的過濾器設(shè)置。如果您禁用了編號(hào)為137和138的UPD端口或者編號(hào)為139的TCP端口，NetBIOS數(shù)據(jù)包將無法通過網(wǎng)絡(luò)。對(duì)于單播（點(diǎn)對(duì)點(diǎn)）通信過程，您同樣需要在客戶端與服務(wù)器之間的所有防火墻與路由器上啟用這些端口。
　　
　　過濾GRE協(xié)議。如果服務(wù)器能夠通過地址和名稱進(jìn)行響應(yīng)但您仍舊無法建立連接，那么，您所使用的ISP路由器、內(nèi)部路由器或防火墻可能過濾掉了GRE數(shù)據(jù)包。為建立一條PPTP隧道，客戶端與服務(wù)器之間需要交換GRE數(shù)據(jù)包，然而，由于需要在內(nèi)部利用GRE來管理路由器，某些ISP會(huì)禁用外部GRE數(shù)據(jù)包。盡管GRE過濾功能并不常用，但他的確能夠阻止PPTP連接，因此，請(qǐng)確保您在VPN連接兩端均啟用了編號(hào)為47的IP協(xié)議端口（GRE）以及編號(hào)為1723的TCP端口。您可以利用Microsoft網(wǎng)絡(luò)監(jiān)視器或其它類似的網(wǎng)絡(luò)探測(cè)工具來確定GRE過濾功能是否被啟用。如需獲取更多關(guān)于如何在VPN連接期間對(duì)PPTP數(shù)據(jù)包進(jìn)行監(jiān)控的信息，請(qǐng)查看“原先發(fā)布的相關(guān)文章”中的第XX頁。

　　客戶端能夠連接但無法登錄：您可能遇到的第二種問題是已經(jīng)建立連接的客戶端無法進(jìn)行登錄。此時(shí)，您需要對(duì)以下三種可能導(dǎo)致這種問題的因素進(jìn)行查看。
　　
　　配置域和服務(wù)器帳號(hào)。您可以將RAS服務(wù)器配置為域控制器或獨(dú)立系統(tǒng)。如果您將服務(wù)器配置為域控制器，請(qǐng)確保用戶的域帳號(hào)具備撥入權(quán)限。如果服務(wù)器并非域控制器，缺省情況下，RAS將通過本地SAM對(duì)客戶端授權(quán)憑證進(jìn)行驗(yàn)證。用戶可以通過兩種方式在獨(dú)立服務(wù)器上實(shí)現(xiàn)身份驗(yàn)證：利用RAS服務(wù)器上的本地帳號(hào)或利用強(qiáng)制服務(wù)器通過域SAM對(duì)證書進(jìn)行驗(yàn)證的注冊(cè)表項(xiàng)。無論采用何種方式，您所提供的帳號(hào)都必須具備撥入權(quán)限。

#p#
　　配置計(jì)算機(jī)帳號(hào)。如果客戶端為NT工作站或服務(wù)器，相應(yīng)計(jì)算機(jī)必須在域中擁有一個(gè)帳號(hào)。如果客戶端是一套新的系統(tǒng)，則請(qǐng)?jiān)趯?duì)連接進(jìn)行測(cè)試之前首先在服務(wù)器管理器中創(chuàng)建一個(gè)新的計(jì)算機(jī)帳號(hào)。如果客戶端系統(tǒng)已經(jīng)在網(wǎng)絡(luò)上擁有一個(gè)帳號(hào)，但已有一個(gè)或多個(gè)星期未曾進(jìn)行連接，那么，計(jì)算機(jī)帳號(hào)口令可能不再與服務(wù)器保持同步。每個(gè)計(jì)算機(jī)帳號(hào)都有一個(gè)由PDC自動(dòng)重置的隱藏口令，如果系統(tǒng)長期處于脫機(jī)狀態(tài)，PDC與客戶端上的帳號(hào)口令將不再相同。通常情況下，您可通過刪除并重新添加這個(gè)帳號(hào)的方式解決這種問題。

　　協(xié)商客戶端身份驗(yàn)證方式。RAS服務(wù)器可以通過三種不同身份驗(yàn)證協(xié)議對(duì)PPTP用戶進(jìn)行身份驗(yàn)證。按照由低到高的安全性順序，這三種協(xié)議分別是通過明文方式實(shí)現(xiàn)的口令身份驗(yàn)證協(xié)議（PAP）、通過加密與Hash算法實(shí)現(xiàn)的質(zhì)詢式握手身份驗(yàn)證協(xié)議（CHAP）以及通過加密和帶有校驗(yàn)和的雙重Hash算法實(shí)現(xiàn)的Microsoft質(zhì)詢式握手身份驗(yàn)證協(xié)議（MSCHAP）�？蛻舳伺c服務(wù)器通過協(xié)商方式確定的登錄身份驗(yàn)證協(xié)議取決于您在配置服務(wù)器進(jìn)入端口與客戶端PPTP連接網(wǎng)絡(luò)設(shè)置時(shí)所選擇的加密設(shè)置。服務(wù)器與客戶端上擁有以下可用選項(xiàng)：
　　
　　允許使用任意一種包含明文的身份驗(yàn)證方式。服務(wù)器將通過客戶端所請(qǐng)求的協(xié)議（例如PAP、CHAP或MSCHAP）來完成身份驗(yàn)證。

　　需要加密的身份驗(yàn)證方式，服務(wù)器將通過MSCHAP、數(shù)據(jù)加密標(biāo)準(zhǔn)（DES）或Shiva PAP（SPAP）來完成身份驗(yàn)證。
　　需要Microsoft加密的身份驗(yàn)證方式。服務(wù)器只能通過MSCHAP實(shí)現(xiàn)身份驗(yàn)證。

　　從SP3開始，Microsoft引入了一種更為安全的MSCHAP版本，稱為MSCHAP V2。您可以通過在服務(wù)器和Windows客戶端上創(chuàng)建一條注冊(cè)表項(xiàng)的方式來強(qiáng)制客戶端僅僅使用MSCHAP V2執(zhí)行身份驗(yàn)證。然而，當(dāng)您執(zhí)行此項(xiàng)修改操作時(shí)，那些不具備MSCHAP V2（一種專用Microsoft協(xié)議）支持能力的客戶端將無法成功登錄。因此，這種更改方式將使UNIX和Macintosh系統(tǒng)無法登錄到您的VPN服務(wù)器上。
　　
　　如需獲取有關(guān)登錄失敗情況的故障診斷信息，請(qǐng)?jiān)谟脩艄芾砥髦袉⒂玫卿泴徲?jì)功能并再次嘗試建立連接。當(dāng)您查看NT事件查看器安全日志中所存儲(chǔ)的記錄時(shí)，您將能夠獲得相關(guān)障礙的清晰描述信息。您可以看到用戶名稱是否合法，口令是否錯(cuò)誤或者已經(jīng)過期，計(jì)算機(jī)是否缺少一個(gè)合法帳號(hào)以及是否不存在可用VPN端口。
　　
　　當(dāng)用戶能夠成功登錄后，應(yīng)用程序事件日志將記錄登錄的日期與時(shí)間。此外，您還將能夠在事件日志中找到另一個(gè)用以記錄用戶注銷時(shí)間和會(huì)話持續(xù)時(shí)間的事件。
　　
　　客戶端能夠登錄但無法瀏覽LAN：您還可能會(huì)遇到客戶端能夠登錄但無法瀏覽LAN的情況。如需對(duì)這種問題進(jìn)行故障診斷，請(qǐng)確保已在所有Windows 9x客戶端上將工作組設(shè)置為目標(biāo)NT域的名稱。接下來，如果客戶端數(shù)量超過15或20個(gè)節(jié)點(diǎn)，也有可能造成客戶端無法瀏覽，這是因?yàn)橥ㄟ^低速撥號(hào)連接對(duì)大型網(wǎng)絡(luò)進(jìn)行瀏覽是一項(xiàng)極為困難的任務(wù)。在PPTP會(huì)話建立后預(yù)先定義或手工將統(tǒng)一命名規(guī)范（UNC）連接映射到所需共享內(nèi)容與資源是一項(xiàng)對(duì)于用戶來說非常友好的操作。最后，您還需要理解四種TCP/IP設(shè)置如何對(duì)您的網(wǎng)絡(luò)連接產(chǎn)生影響。（如需獲取更多關(guān)于TCP/IP設(shè)置的信息，請(qǐng)查看工具條“重要客戶端TCP/IP設(shè)置”。）當(dāng)您需要為那些通過永久高速連接在家中進(jìn)行工作的用戶提供支持時(shí)，遠(yuǎn)程LAN瀏覽將是一種可行方案。在對(duì)這些組件進(jìn)行檢查并審核TCP/IP設(shè)置后，您便可以利用以下項(xiàng)目對(duì)瀏覽問題實(shí)施故障診斷。
　　工具條1：重要客戶端TCP/IP設(shè)置
　　
　　面向VPN會(huì)話的TCP/IP設(shè)置將采用與面向LAN連接的TCP/IP設(shè)置相同的方式運(yùn)行。如需對(duì)某種VPN實(shí)施方案進(jìn)行故障診斷，您應(yīng)當(dāng)首先理解四種TCP/IP設(shè)置如何對(duì)網(wǎng)絡(luò)連接與瀏覽方式產(chǎn)生影響：
　　
　　DNS服務(wù)器：這種服務(wù)器能夠?qū)⑼ㄟ^全面驗(yàn)證的域名（FQDN，如www.win200mag.com）轉(zhuǎn)換為相應(yīng)的TCP/IP地址（如207.54.25.03）。當(dāng)您擁有一臺(tái)能夠正常工作的DNS服務(wù)器時(shí)，您的計(jì)算機(jī)將可以通過名稱方式來查詢并連接其它計(jì)算機(jī)。當(dāng)您不具備DNS服務(wù)器（或者DNS服務(wù)器無法正常工作）時(shí)，您將無法通過名稱方式與計(jì)算機(jī)建立連接。此時(shí)，您只能借助目標(biāo)計(jì)算機(jī)TCP/IP地址與其建立連接。
　　
　　WINS服務(wù)器：這種服務(wù)器能夠?qū)�NetBIOS名稱轉(zhuǎn)換為相應(yīng)的TCP/IP地址。在Windows NT 4.0網(wǎng)絡(luò)中，每臺(tái)計(jì)算機(jī)都將通過WINS服務(wù)器或本地瀏覽器（如果無可用WINS服務(wù)器）注冊(cè)一個(gè)NetBIOS名稱。同時(shí)，每臺(tái)計(jì)算機(jī)還將為其所發(fā)布的每個(gè)文件與打印共享注冊(cè)一個(gè)NetBIOS名稱。如果您的客戶端已經(jīng)分配了一臺(tái)WINS服務(wù)器，且假設(shè)您擁有所需的安全證書，那么，您將可以查看并連接網(wǎng)絡(luò)上的共享打印機(jī)。如果您的客戶端尚未分配WINS服務(wù)器，那么，您將無法瀏覽網(wǎng)絡(luò)鄰居，但如果您能夠手工輸入統(tǒng)一命名規(guī)范（UNC）名稱并且您的安全證書允許對(duì)共享資源進(jìn)行訪問，那么，您將可以同文件與打印共享資源建立連接。
　　
　　DHCP服務(wù)器：這種服務(wù)器至少能夠在啟動(dòng)時(shí)為LAN客戶端分配TCP/IP地址并在連接時(shí)為RAS客戶端分配TCP/IP地址。如需將DHCP服務(wù)器配置為指派其它TCP/IP協(xié)議棧設(shè)置內(nèi)容，您可以定義針對(duì)域名、缺省網(wǎng)關(guān)、DNS服務(wù)器以及WINS服務(wù)器等信息的范圍選項(xiàng)。
　　
　　缺省網(wǎng)關(guān)：這種網(wǎng)關(guān)將在數(shù)據(jù)傳輸目標(biāo)為本地子網(wǎng)以外系統(tǒng)時(shí)通知計(jì)算機(jī)將數(shù)據(jù)發(fā)送至一臺(tái)特定計(jì)算機(jī)或路由器。網(wǎng)關(guān)路由顯示在Print Route命令輸出結(jié)果中的表格首行內(nèi)。
　　
　　檢查瀏覽方式。當(dāng)您對(duì)網(wǎng)絡(luò)甚至特定服務(wù)器進(jìn)行瀏覽時(shí)，您經(jīng)常會(huì)收到內(nèi)容為“發(fā)生53號(hào)系統(tǒng)錯(cuò)誤”的消息。此時(shí)，網(wǎng)絡(luò)路徑將無法找到。無法進(jìn)行瀏覽的情況通常意味著客戶端無法解析NetBIOS名稱。請(qǐng)確保已經(jīng)為客戶端指定了一臺(tái)靜態(tài)（在PPTP連接的網(wǎng)絡(luò)設(shè)置中）或動(dòng)態(tài)（針對(duì)所有客戶端使用Ipconfig命令或針對(duì)Windows 9x客戶端使用Winipcfg命令）WINS服務(wù)器。如果客戶端不具備WINS服務(wù)器地址，請(qǐng)手工輸入地址，重新建立連接并再次嘗試進(jìn)行瀏覽。

　　設(shè)置缺省網(wǎng)關(guān)。尋找針對(duì)PPTP連接的缺省網(wǎng)關(guān)設(shè)置或打印路由表（使用Route Print命令）。如果網(wǎng)關(guān)仍舊指向ISP，那么，所有瀏覽LAN的客戶端請(qǐng)求都將前往ISP而非VPN連接，ISP可能會(huì)阻塞NetBIOS名稱廣播所使用的端口。需要注意的是，除非在編號(hào)為137和138的UDP端口以及編號(hào)為139的TCP端口上啟用單播通信方式，否則，路由器與防火墻將禁止傳送NetBIOS名稱。NetBIOS名稱為Microsoft專用，某些ISP可能不允許此類數(shù)據(jù)從他們的基礎(chǔ)架構(gòu)上流過。

　　您可以通過手工方式從路由表中刪除路由記錄并添加針對(duì)VPN服務(wù)器虛擬接口的靜態(tài)路由記錄。服務(wù)器虛擬接口是指分配給VPN接口的地址。這種地址要么是靜態(tài)地址池中的第一個(gè)地址，要么是RAS服務(wù)器配置中的第一個(gè)可用DHCP地址。
　　
　　啟用NetBEUI。如果您并非堅(jiān)持要使用TCP/IP協(xié)議，那么，您一般情況下總是能夠通過在RAS服務(wù)器和遠(yuǎn)程客戶端上安裝NetBEUI的方式來解決客戶端瀏覽問題。為此，您只需在服務(wù)器的VPN端口上針對(duì)進(jìn)入系統(tǒng)的連接啟用NetBEUI，并在客戶端PPTP連接中選擇NetBEUI復(fù)選框。此后，您便可以在TCP/IP上利用NetBEUI將客戶端與服務(wù)器建立連接。盡管如此，我們?nèi)匀粺o法回避基于NetBIOS的NT名稱空間固有限制。盡管從技術(shù)角度考慮容易遭受攻擊，然而，這種NetBEUI方案可能是獲取全面LAN瀏覽能力的最簡單方式。

　　如果在您嘗試上述這些技術(shù)后客戶端仍舊無法進(jìn)行瀏覽，那么，請(qǐng)嘗試通過客戶端與某種網(wǎng)絡(luò)共享資源建立連接。舉例來說，您可以使用net use z: \myservermyshare命令。在處于故障診斷模式中時(shí)，通過手工方式與共享資源建立連接通常是一種允許用戶訪問文件及打印機(jī)的良好工作機(jī)制。
　　
　　如果仍舊無法進(jìn)行瀏覽，您接下來需要審核VPN服務(wù)器配置。許多服務(wù)器上所出現(xiàn)的問題都會(huì)對(duì)客戶端瀏覽產(chǎn)生影響，但由于篇幅所限，本文無法詳細(xì)為您列出所有潛在問題與解決方案。通過在Microsoft知識(shí)庫頁面http://support.microsoft.com/search/default.as上搜索有關(guān)PPTP客戶端瀏覽與多宿主瀏覽的信息，您將能夠發(fā)現(xiàn)許多非常有用的鏈接。這種搜索將返回有關(guān)多宿主服務(wù)器與網(wǎng)絡(luò)瀏覽問題（例如各個(gè)NIC上的瀏覽器無法交換瀏覽列表）、PPTP連接以及WINS服務(wù)器位置等內(nèi)容的文章列表。
　　
　　已經(jīng)建立連接的客戶端無法瀏覽Internet：我曾經(jīng)多次在同時(shí)安裝網(wǎng)卡和調(diào)制解調(diào)器的Windows 95客戶端上遇到過這種問題。當(dāng)出現(xiàn)這種問題時(shí)，盡管VPN會(huì)話處于活動(dòng)狀態(tài)，但客戶端卻無法瀏覽Internet。導(dǎo)致這種問題的常見原因有兩種。首先，當(dāng)遠(yuǎn)程客戶端具備網(wǎng)絡(luò)連接時(shí)，VPN服務(wù)器可能不允許遠(yuǎn)程客戶端訪問Internet。這種情況下，當(dāng)您關(guān)閉VPN連接后，由于缺省網(wǎng)關(guān)恢復(fù)為ISP所定義的網(wǎng)關(guān)，因此，客戶端將能夠?yàn)g覽Internet。其次，當(dāng)客戶端處于連接狀態(tài)時(shí)，Windows 95可能會(huì)使用VPN服務(wù)器所定義的網(wǎng)關(guān)來覆蓋ISP網(wǎng)關(guān)，從而切斷客戶端訪問Internet的路徑。為解決這種問題，您可以通過手工方式面向ISP缺省網(wǎng)關(guān)添加代價(jià)為2（即首先嘗試VPN網(wǎng)關(guān)，其次嘗試ISP網(wǎng)關(guān)）的靜態(tài)路由記錄。
　　
　　已經(jīng)建立連接的客戶端無法顯示在網(wǎng)絡(luò)鄰居中：與我共事過的一名網(wǎng)絡(luò)工程師曾經(jīng)遇到過客戶端（即便使用全功能VPN客戶端連接）無法顯示在LAN端網(wǎng)絡(luò)鄰居中的問題。您僅僅利用TCP/IP協(xié)議來配置客戶端PPTP連接，同時(shí)通過VPN服務(wù)器建立連接并實(shí)現(xiàn)身份驗(yàn)證，此后，客戶端便可以瀏覽所有LAN資源。當(dāng)遠(yuǎn)程客戶端展開網(wǎng)絡(luò)鄰居時(shí)，網(wǎng)絡(luò)鄰居將顯示自身系統(tǒng)以及瀏覽列表中的所有其它客戶端，但遠(yuǎn)程客戶端卻始終無法顯示在LAN上的網(wǎng)絡(luò)鄰居中。如果希望遠(yuǎn)程客戶端出現(xiàn)在LAN瀏覽列表中，您需要在RAS服務(wù)器與RAS客戶端上安裝NetBEUI。這種RAS所特有的一種奇怪問題，但目前這種問題尚無法得到有效解決。
　　
　　最終準(zhǔn)備就緒
　　
　　我向您介紹了大多數(shù)常見的VPN配置與連接問題�，F(xiàn)在，您已經(jīng)掌握了許多故障診斷技巧。這些技術(shù)十分行之有效且極為流行，當(dāng)管理員在Windows 2000（Win2K）中利用標(biāo)準(zhǔn)隧道協(xié)議與IP安全性（IPSec）時(shí)，這些技術(shù)將被廣泛采用。需要注意的是，在學(xué)習(xí)這些技術(shù)的過程中，您應(yīng)當(dāng)做到由淺入深且一步一個(gè)腳印。此后，您便可以高枕無憂了。
　　
　　關(guān)于本文作者

　　Paula Sharick是Windows 2000雜志資深編輯與在線專欄作家，同時(shí)，他還是Windows NT網(wǎng)絡(luò)設(shè)計(jì)、實(shí)施方案與交互能力方面的一名技術(shù)咨詢顧問。如欲同他取得聯(lián)系，敬請(qǐng)致信：paula@win2000mag.com。

最新評(píng)論