在现代企业网络架构中,安全、稳定的远程访问是保障业务连续性的关键，Windows Server 2022 提供了强大的内置功能，支持通过 Internet Protocol Security (IPsec) 和路由与远程访问服务（RRAS）搭建站点到站点（Site-to-Site）虚拟私有网络（VPN），本文将详细介绍如何在 Windows Server 2022 上配置一个安全可靠的 Site-to-Site VPN 连接，适用于连接两个不同地理位置的分支机构或数据中心。
确保你的 Windows Server 2022 已安装并启用“远程访问”角色，打开服务器管理器，点击“添加角色和功能”，选择“远程访问”角色，并勾选“路由”和“远程访问”选项，然后完成安装，该过程会自动安装必要的组件，包括 RRAS、IPsec 策略引擎和证书服务（如果需要数字证书认证）。
配置本地网络接口,你需要为服务器分配一个公网 IP 地址，该地址必须可从对端站点访问，建议使用静态公网 IP，避免因 IP 变更导致连接中断，在防火墙上开放 UDP 端口 500（IKE）、UDP 端口 4500（NAT-T）以及 ESP 协议（协议号 50），这些是 IPSec 协议通信必需的端口。
创建站点到站点的隧道,进入“服务器管理器” → “工具” → “路由和远程访问”，右键点击服务器名称，选择“配置并启用路由和远程访问”，按照向导选择“自定义配置”，勾选“LAN 路由器”选项，完成后启动服务。
配置 IPsec 策略，在“路由和远程访问”控制台中，右键点击“IPv4” → “属性”，切换到“IPSec 策略”标签页，新建一条策略，命名为“Site-to-Site-VPN”，设置“筛选器列表”以匹配两端子网（本地子网 192.168.1.0/24，远程子网 192.168.2.0/24），在“安全方法”中选择“主模式”或“快速模式”，推荐使用主模式以增强安全性，若使用证书认证，需部署 PKI（公钥基础设施）并导入客户端证书；否则可用预共享密钥（PSK）方式，但安全性较低。
配置完 IPsec 策略后，需要在对端设备（如另一台 Windows Server 或 Cisco 设备）上做对应配置，双方必须一致地定义加密算法（如 AES-256）、哈希算法（SHA-256）和密钥交换方式（IKEv2），特别注意：两端的 IPsec 安全参数必须完全匹配，否则无法建立隧道。
验证连接状态,在 Windows Server 2022 上，打开“事件查看器”，查看“系统”日志中是否有 IPSec 相关的成功记录（如事件 ID 4336），使用命令 netsh ipsec static show policies 查看当前策略配置是否生效，还可以从本地子网主机 ping 对端子网地址，确认数据包能通过加密隧道传输。
Windows Server 2022 支持灵活、高效且成本低的 Site-to-Site VPN 架构，适合中小型企业跨地域办公需求，虽然配置步骤较多，但其图形化界面和模块化设计降低了运维门槛，建议在生产环境前先在测试环境中演练，并结合监控工具（如 PowerShell 脚本或 SCOM）持续追踪隧道状态，确保高可用性与安全性。
