在现代企业网络架构中，远程访问和分支机构互联是保障业务连续性和数据安全的关键环节，Windows Server 2012 R2 提供了强大的内置功能，支持通过Internet协议安全（IPsec）和点对点隧道协议（PPTP）或L2TP/IPsec来构建站点到站点（Site-to-Site）虚拟私有网络（VPN），本文将详细介绍如何在Windows Server 2012 R2上搭建一个稳定、安全的站点到站点VPN连接,适用于中小型企业或混合云环境中的网络扩展需求。
第一步：准备环境
确保两台服务器（本地数据中心和远程分支机构）均运行Windows Server 2012 R2，并已安装“路由和远程访问服务”（RRAS），该服务是实现VPN功能的核心组件，在服务器管理器中添加角色，选择“远程访问”，并勾选“路由”选项,完成后重启服务器以使更改生效。
第二步：配置本地服务器为路由器
打开“路由和远程访问”管理控制台（rrasmgmt.msc），右键点击服务器名称，选择“配置并启用路由和远程访问”，按照向导选择“自定义配置”，然后勾选“LAN 和 Internet 路由（NAT/ICMP转发）”以及“远程访问（拨号或VPN）”，此步骤将启用IP转发和PPP协商,为后续建立安全隧道打下基础。
第三步：创建站点到站点VPN连接
在本地服务器上，右键点击“IPv4” → “配置并启用VPN”，选择“使用静态IP地址”并指定一个用于分配给远程网关的IP池（如192.168.100.100-192.168.100.200），进入“IPsec策略”设置，新建一条策略，允许通过IPsec加密通信（建议使用AES-256加密和SHA-1哈希算法），并指定预共享密钥（PSK）,确保两端一致。
第四步：配置远程端（另一台Windows Server）
远程服务器需做相同操作：安装RRAS角色，启用路由与远程访问，配置相同的IPsec策略和预共享密钥，特别注意：必须在远程服务器上手动添加本地服务器的公网IP地址作为对端网关（称为“隧道终结点”），并在其“静态路由”中添加指向本地子网的路由（192.168.1.0/24 via <本地公网IP>）。
第五步：测试与验证
完成配置后，在本地服务器执行 netstat -an | findstr "1723" 确认PPTP或L2TP监听端口是否开启，使用ping命令从本地网络测试能否到达远程子网，若不通，检查防火墙规则（默认允许UDP 500、4500及ESP协议）、IPsec策略绑定状态,以及双方预共享密钥一致性。
该站点到站点VPN可实现两个局域网之间的透明通信，无需用户干预，适合文件同步、数据库复制、统一身份认证等场景，值得注意的是，Windows Server 2012 R2虽已停止主流支持（2023年10月），但若仍在生产环境中运行，应尽快规划迁移至更新版本（如2019或2022），以获取最新安全补丁和性能优化，对于新项目，推荐使用Azure Site-to-Site VPN或SD-WAN解决方案,以提升灵活性与可扩展性。
