在企业网络环境中,远程访问和安全通信是保障业务连续性的关键，Windows Server 2012 R2 提供了强大的路由和远程访问（RRAS）功能，支持多种类型的虚拟专用网络（VPN）配置，其中站点到站点（Site-to-Site）VPN 是最常用于连接两个不同地理位置的局域网（LAN）的方式，本文将详细介绍如何在 Windows Server 2012 R2 上搭建一个稳定、安全的 Site-to-Site VPN 连接，适用于中小型企业或分支机构之间的私有网络互联。
第一步：准备工作
确保你拥有两台运行 Windows Server 2012 R2 的服务器，分别位于不同的物理位置（例如总部和分公司），每台服务器都需具备公网 IP 地址（建议使用静态 IP），确认两端网络的子网段不冲突（例如总部为 192.168.1.0/24，分公司为 192.168.2.0/24），防火墙（如 Windows 防火墙或硬件防火墙）必须允许 UDP 端口 500（IKE）和 UDP 端口 4500（ESP）通过。
第二步：安装并配置 RRAS 角色
登录到其中一台服务器（以总部为例），打开“服务器管理器” → “添加角色和功能”，选择“远程访问”，然后勾选“路由”和“DirectAccess 和 VPN（RAS）”，安装完成后，系统会提示你配置路由和远程访问服务，选择“自定义配置”，然后启用“远程访问/Internet 连接共享（ICS）”和“NAT”选项，注意：如果要实现站点到站点，应选择“路由”作为角色类型。
第三步：创建站点到站点连接
进入“服务器管理器” → “工具” → “路由和远程访问”，右键点击服务器名，选择“配置并启用路由和远程访问”，向导中选择“自定义配置”，然后选择“LAN 仅”或“LAN 和 WAN”模式（推荐后者），完成配置后，右键点击“IP 路由” → “新建隧道” → “站点到站点（IPSec）”。
在此步骤中,你需要输入对端服务器的公网 IP 地址，以及本地和远端的子网信息（如 192.168.1.0/24 和 192.168.2.0/24），接着设置预共享密钥（PSK），这是两端验证身份的关键，务必保持一致且足够复杂（如包含字母、数字和特殊字符）。
第四步：配置 IPSec 安全策略
在“路由和远程访问”中，展开“IP 路由” → “常规”，右键“IPSec 策略” → “新建 IPSec 策略”，命名为“Site-to-Site-VPN”，添加规则：源地址为本地子网，目标地址为对端子网，协议选择“IP 协议号 50（ESP）”和“UDP 端口 500（IKE）”，加密算法建议使用 AES-256，哈希算法用 SHA-256，DH 组用 Group 14（2048 位），最后将该策略应用到新创建的隧道上。
第五步：测试与排错
在两端服务器上执行 ping 命令测试互通性，若失败，请检查防火墙规则、IPSec 状态（可通过命令 netsh ipsec policy show all 查看）和日志文件（事件查看器 → Windows 日志 → 系统），建议开启详细日志记录以便快速定位问题。
通过上述步骤，你可以在 Windows Server 2012 R2 上成功搭建一个基于 IPSec 的站点到站点 VPN，实现跨地域网络的安全通信，该方案成本低、部署灵活，适合预算有限但需要可靠内网互联的企业，建议定期更新证书、监控性能，并结合多路径冗余提高可用性。
