Windows Server 2012 搭建 VPN 服務完整教程與 721 錯誤排查

在 Windows Server 2012 上部署 VPN（PPTP/L2TP/IKEv2）並解決客戶端連線錯誤 721（「遠端電腦沒有回應」）。

核心步驟（以 IKEv2 為例，安全性最高）

1. 安裝角色服務

Server Manager → Add Roles → Remote Access → DirectAccess and VPN (RAS) → VPN
# 勾選 Routing → Next → Install

2. 設定路由與遠端存取

1. Routing and Remote Access → 右鍵伺服器 → Configure and Enable Routing and Remote Access。
2. 選 Custom configuration → 勾選 VPN access + NAT（若伺服器單網卡需上網）。
3. 完成嚮導，服務啟動。

3. IPv4 位址池與驗證

• IPv4 → Static address pool → 新增範圍（如 192.168.100.10-50），勿與區域網衝突。
• Authentication → 選 Windows Authentication 或 RADIUS（企業建議 RADIUS/NPS）。

4. 防火牆與連接埠轉發（關鍵）

伺服器防火牆入站規則允許：

前端路由器/光貓需做連接埠映射（Port Forwarding）至伺服器內網 IP，或開啟 DMZ。

5. 註冊表修正（解決 721/809 錯誤）

# 允許 NAT 後方的 VPN 客戶端建立 IPSec 連線
reg add HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 2 /f
net stop PolicyAgent && net start PolicyAgent

721 錯誤常見原因對照表

驗證步驟

1. 內網機器測試 VPN 連線 → 成功說明伺服器端配置正確。
2. 外網機器測試 → 失敗則為路由器/防火牆/ISP 攔截問題。
3. 查看伺服器事件檢視器：Applications and Services Logs → Microsoft → Windows → NetworkPolicyServer。

生產環境建議

• 採用 IKEv2 + 機器憑證，避免 PPTP/L2TP 弱加密與 NAT 穿透問題。
• 配置 NPS (Network Policy Server) 集中認證、記帳、授權。
• 啟用 VPN 重新連線 與 分流隧道（僅公司資源走 VPN）。

按步驟操作並對照 721 排查表，多數環境可在 30 分鐘內通聯成功。