为Munich、Perth申请计算机证书，取消预共享IPSec密钥，然后在Perth上连接VPN进行测试；
在Munich上启用路由和远程访问服务中的远程访问VPN服务
在Munich上以管理员身份登录，然后点击管理工具，选择路由和远程访问，在弹出的路由和远程访问管理控制台，右击服务器名，选择配置并启用路由和远程访问；
在弹出的欢迎使用路由和远程访问服务器安装向导页，点击下一步；
在配置页，选择远程访问（拨号或VPN），然后点击下一步；如果你需要对内部网络提供网络共享服务，则选择虚拟专用网络（VPN）访问和NAT，再根据向导进行配置；
在远程访问页，选择此服务器接受的远程访问类型，在此我仅勾选VPN，然后点击下一步；
在VPN连接页，选择连接到Internet的网络接口，在此我选择对应的接口WAN61，默认情况下，RRAS会设置通过设置静态数据包筛选器来对选择的接口进行保护，这将在此接口上启用只是允许VPN流量的入站筛选器（关于入站筛选器更详细的描述，请参见深入理解路由和远程访问服务中的筛选器和基本防火墙一文），从而保护这台VPN服务器。根据你的需要来决定是否启用此选项，在此我接受默认设置，点击下一步；
在IP地址指定页，选择你指定VPN客户地址的方式。由于在内部网络中并没有部署DHCP服务，所以在此我选择来自一个指定的地址范围，然后点击下一步；
在地址范围指定页，点击新建按钮，输入起止IP地址分别为172.16.0.1和172.16.0.254，然后点击确定，完成后如下图所示，点击下一步；
在管理多个远程访问服务器页，由于在此我不使用RADIUS服务器，所以接受默认的否，然后点击下一步；
最后在正在完成路由和远程访问服务器安装向导页，点击完成。在弹出的提示你需要配置DHCP中继代理的对话框上点击确定；等待片刻后，VPN服务器就部署好了，如下图所示：
默认情况下VPN具有PPTP协议和L2TP协议端口各128个，这代表它允许连接的PPTP协议和L2TP协议类型的VPN客户数量，但是VPN客户的并发连接数还受到Windows系统版本的限制。对于允许的最多端口数和VPN客户并发连接数，根据Windows服务器操作系统版本的不同有以下不同：
你可以对允许的端口数进行设置，在路由和远程访问管理控制台中右击端口，选择属性，然后在弹出的端口属性对话框中，选择端口后点击配置，
然后在弹出的配置设备对话框中修改最多端口数为你需要的数量即可。如果想取消对使用此类协议的VPN客户端的支持，你可以取消选择远程访问连接（仅入站）。
显式允许用户Administrator的远程拨入
现在，我们需要允许用户账户的远程拨入。在此例中，外部客户Perth将使用Munich上的Administrator用户账号来拨入VPN，所以，我们首先需要允许Administrator用户账户的远程拨入。
默认情况下，对于用户账户的拨入权限，根据网络环境的不同而不同：
-
独立服务器巧腤indows Server 2003服务器会设置用户账户拨入权限为通过远程访问策略控制访问；
-
域功能级为Windows 2000 Native或Windows Server 2003的活动目录会设置用户账户拨入权限为通过远程访问策略控制访问；
-
域功能级为Windows 2000 Mix的活动目录通过远程访问策略控制访问此选项不可用，用户账户的拨入设置为拒绝访问；
Munich是独立服务器角色，因此Administrator账户的拨入权限设置为通过远程访问策略控制访问，如下图所示，但是默认情况下没有远程访问策略允许它的拨入。所以在此我修改为允许访问来显式允许它的远程拨入，选择允许访问后点击确定。
在Perth上创建PPTP模式的VPN连接并进行测试
现在我们在外部VPN客户Perth上使用管理员身份登录，在网络连接文件夹中双击新建连接向导以创建VPN连接。
在弹出的欢迎使用新建连接向导页，点击下一步；
在网络连接类型页，选择连接到我的工作场所的网络，然后点击下一步；
在网络连接页，选择虚拟专用网络连接，然后点击下一步；
在连接名中输入公司名后点击下一步；
在VPN服务器选择页，输入VPN服务器Munich的外部IP地址61.139.0.1，然后点击下一步；
在可用连接页，根据自己需要进行选择，在此我接受默认选择只是我使用，点击下一步；
最后在正在完成新建连接向导页，点击完成。
在弹出的连接对话框上，输入用于拨入VPN的用户名和密码，然后点击连接按钮。默认情况下，VPN客户端使用自动VPN类型选项，这意味着VPN客户先尝试建立一个基于L2TP/IPSec的VPN连接，如果不成功则尝试建立一个基于PPTP的VPN连接。
VPN连接成功，你可以点击任务栏弹出的气球以获得VPN连接的详细信息，如下图所示：
上面显示了当前是采用的PPTP协议的VPN连接，使用MS-CHAPv2进行的身份验证，加密方式是MPPE 128位。注意看服务器和客户端的IP地址，VPN服务器使用的是配置的静态IP地址池中的第一个IP地址。此时，由于VPN客户和内部网络不属于相同的子网，为了让VPN客户成功访问内部网络，你需要让内部网络和VPN客户知道如何访问对方（具有到达对方的路由）。在这个试验中由于VPN服务器Munich是内部网络的默认网关，所以无需额外添加内部客户到VPN客户网络的路由。
我们打开浏览器，访问内部网络中的Web服务器Milan（10.1.1.9）上的Web服务试试，访问成功，如下图所示，然后断开VPN连接。
修改VPN连接为L2TP预共享密钥方式，然后在Perth上连接VPN进行测试
现在我们修改VPN连接为L2TP的预共享密钥方式，你需要同时在VPN服务器和VPN客户端上配置使用预定义的共享密钥。由于所有的VPN客户都需要配置为使用相同的L2TP共享密钥，这会极大的降低L2TP/IPSec的安全性，所以不建议你在商用网络中使用预共享密钥的L2TP连接。
首先在VPN服务器的路由和远程访问管理控制台中右击服务器名，然后选择属性；然后点击安全标签，然后勾选预共享的密钥，然后输入预定义的共享密钥，然后点击确定。你输入的共享密钥最好在15位以上，并且使用较为复杂的密码。
然后在VPN客户端Perth上，右击创建的VPN连接，选择属性，然后在安全标签上点击IPSec设置，
在弹出的IPSec设置对话框上，勾选使用预共享的密钥作身份验证，输入和VPN服务器上配置使用的相同密钥，点击确定。
然后点击网络标签，在VPN类型栏，选择为L2TP IPSec VPN，然后点击确定。
此时VPN连接显示的端口类型从PPTP修改为L2TP，双击此VPN连接，然后点击连接按钮。此时，VPN连接成功，详细信息如下图所示，注意看，连接方式为L2TP，加密方式为IPSec, ESP 3DES。
为Munich、Perth申请计算机证书，取消预共享IPSec密钥，然后在Perth上连接VPN进行测试
现在我们为VPN服务器和VPN客户端分别申请服务器身份验证和客户端验证证书。首先需要你在每台计算机上手动创建一个计算机证书管理控制台，创建的步骤如下：
点击开始菜单中的运行，输入mmc，点击确定；
在弹出的控制台1窗口，点击文件菜单下的添加/删除管理单元；
在弹出的添加/删除管理单元对话框，点击添加；然后在弹出的添加独立管理单元对话框，选择证书，点击添加；
在证书管理单元对话框，选择计算机账户，点击下一步；
在选择计算机对话框，接受默认的本地计算机，点击完成；
点击关闭，再点击确定，此时，管理本地计算机证书的管理控制台就设置好了，如下图所示。你可以将它保存起来，以便以后使用。
然后，在VPN服务器Munich上打开浏览器，访问证书服务器Milan的Web注册登录地址http://10.1.1.9/certsrv/，如下图所示，点击申请一个证书链接；
然后点击高级证书申请链接；
然后点击创建并向CA提交一个申请链接；
在高级证书申请页，在姓名栏输入计算机名MUNICH，注意，千万不能输错；在证书类型栏，选择服务器身份验证证书；
然后在下部勾选将证书保存在本地计算机存储中，点击提交；
在弹出的警告提示框上点击是，然后在证书已颁发页，点击安装此证书（如果没有配置CA自动颁发证书则你可能需要在证书颁发机构中手动颁发证书）；
在弹出的安装证书警告提示框上点击是，此时证书会安装完成。此时，回到证书注册页面首页，点击下载一个CA证书，证书链或CRL，
然后点击下载CA证书，
在弹出的文件下载对话框，点击保存将其保存在本地硬盘上。
打开创建的计算机证书管理控制台，然后展开受信任的根证书颁发机构，右击证书，点击所有任务下的导入，
在弹出的欢迎使用证书导入向导页，点击下一步；
然后在要导入的文件页，选择刚才下载的CA证书，点击下一步；
在证书存储页点击下一步；然后在正在完成证书导入向导页，点击完成。此时，提示你证书导入成功。
在计算机证书管理控制台中，展开个人下的证书，你可以看到刚才申请的服务器验证证书，
双击此证书，弹出证书属性对话框，如下图所示。至此VPN服务器上的证书安装完成，VPN服务器已经可以使用此服务器身份验证证书来验证VPN客户端的L2TP/IPSec VPN连接了。
按照同样的方式在VPN客户端Perth上申请客户端身份验证证书和下载CA证书，
完成后的客户端身份验证证书如下图所示，至此VPN客户端就可以使用此客户端身份验证证书来进行L2TP/IPSec VPN连接了。
现在我们分别在VPN服务器和VPN客户端上取消预定义的IPSec共享密钥，然后在VPN客户端上双击VPN连接进行连接，此时，VPN同样连接成功，如下图所示：
至此，整个试验成功完成。
