Trong hướng dẫn này bạn sẽ tìm thấy hướng dẫn từng bước để thiết lập L2TP VPN Access Server trên Windows Server 2016. Mạng riêng ảo (VPN) cho phép bạn kết nối an toàn đến mạng riêng của bạn từ các vị trí Internet và bảo vệ bạn khỏi tấn công Internet và chặn bắt dữ liệu. Để cài đặt và cấu hình truy cập L2TP/IPSec VPN trên Server 2016 là quy trình nhiều bước, vì bạn phải cấu hình nhiều cài đặt phía VPN server để đạt được hoạt động VPN thành công.
Cách Cài đặt L2TP/IPSec VPN Server 2016 với Custom Preshared Key
Trong hướng dẫn từng bước này, chúng ta sẽ thực hiện thiết lập L2TP VPN Server 2016 sử dụng Layer Two Tunneling Protocol (L2TP/IPSEC) với PreShared key tùy chỉnh, cho kết nối VPN an toàn hơn.
Bước 1. Cài đặt vai trò Routing and Remote Access trên Server 2016
Bước 2. Cấu hình và Bật Routing and Remote Access trên Server 2016
Bước 3. Cấu hình Preshared Key cho kết nối L2TP/IKEv2
Bước 4. Mở các cổng cần thiết trong Windows Firewall
Bước 5. Cấu hình VPN Server cho phép truy cập mạng
Bước 6. Bật kết nối L2TP/IPsec phía sau NAT
Bước 7. Kiểm tra các dịch vụ L2TP bắt buộc đang chạy
Bước 8. Chọn người dùng VPN
Bước 9. Cấu hình Firewall ISP cho phép truy cập L2TP VPN
Bước 10. Thiết lập kết nối L2TP/IPSec VPN trên Client
Bước 1. Cách Thêm vai trò Remote Access (VPN Access) trên Server 2016
Bước đầu tiên để thiết lập Windows Server 2016 làm VPN server là cài đặt vai trò Remote Access {Direct Access & VPN (RAS) services} cho Server 2016. *
* Thông tin: Ví dụ này chúng ta sẽ thiết lập VPN trên máy Windows Server 2016, tên "Srv1" và IP "192.168.1.8".
1. Để cài vai trò VPN trên Windows Server 2016, mở 'Server Manager' và nhấp Add Roles and Features.
2. Màn hình đầu 'Add Roles and Features wizard', giữ Role-based or feature-based installation và nhấp Next.
3. Màn hình tiếp, giữ mặc định "Select server from the server pool" và nhấp Next.
4. Chọn vai trò Remote Access và nhấp Next.
5. Màn hình 'Features' giữ mặc định và nhấp Next.
6. Màn hình 'Remote Access' thông tin, nhấp Next.
7. 'Remote Services', chọn Direct Access and VPN (RAS) role services và nhấp Next.
8. Nhấp Add Features.
9. Nhấp Next lại.
10. Giữ mặc định và nhấp Next (hai lần) ở màn hình 'Web Server Role (IIS)' và 'Role Services'.
11. Màn hình 'Confirmation', tick Restart the destination server automatically (if required) và nhấp Install.
12. Màn hình cuối, đảm bảo cài đặt vai trò Remote Access thành công và Close wizard.
13. Sau đó (từ Server Manager) menu Tools, nhấp Remote Access Management.
14. Chọn Direct Access and VPN bên trái và nhấp Run the Getting Started Wizard.
15. Nhấp Deploy VPN chỉ.
16. Tiếp tục bước 2 dưới để cấu hình Routing and Remote Access.
Bước 2. Cách Cấu hình và Bật Routing and Remote Access trên Server 2016
Bước tiếp theo là bật và cấu hình truy cập VPN trên Server 2016. Để làm điều đó:
1. Chuột phải vào tên Server và chọn Configure and Enable Routing and Remote Access. *
* Lưu ý: Bạn cũng có thể mở cài đặt Routing and Remote Access, bằng cách sau:
1. Mở Server Manager và từ menu Tools, chọn Computer Management.
2. Mở rộng Services and Applications
3. Chuột phải vào Routing and Remote Access chọn Configure and Enable Routing and Remote Access.
2. Nhấp Next ở 'Routing and Remote Access Server Setup Wizard'.
3. Chọn Custom configuration và nhấp Next.
4. Chọn VPN access chỉ trong trường hợp này và nhấp Next.
5. Cuối cùng nhấp Finish.
6. Khi nhắc Start service nhấp Start.
7. Bây giờ bạn sẽ thấy mũi tên xanh bên cạnh tên Server (ví dụ: "Svr1" ở ví dụ này).
Bước 3. Cách Bật Custom IPsec policy cho kết nối L2TP/IKEv2
Bây giờ là lúc, cho phép Custom IPsec Policy trên Routing and Remote Access server và chỉ định Pre-shared key tùy chỉnh.
1. Ở bảng Routing and Remote access , chuột phải vào tên server và chọn Properties.
2. Tab Security, chọn Allow custom IPsec policy for L2TP/IKEv2 connection và gõ Pre-shared key (ví dụ này gõ: "TestVPN@1234").
3. Sau đó nhấp nút Authentication Methods (bên trên) và đảm bảo Microsoft encrypted authentication version 2 (MS-CHAP v2) được chọn và nhấp OK.
4. Chọn tab IPv4, chọn Static address pool và nhấp Add.
5. Tại đây gõ dải IP Address sẽ gán cho client VPN kết nối và nhấp OK (hai lần) để đóng tất cả cửa sổ.
ví dụ: Ví dụ này dùng dải IP: 192.168.1.200 – 192.168.1.202.
6. Khi xuất hiện thông báo: "To enable custom IPsec policy for L2TP/IKEv2 connections you must restart Routing and Remote Access", nhấp OK.
7. Cuối cùng chuột phải vào server (ví dụ: "Svr1") chọn All Tasks > Restart.
Bước 4. Mở các Cổng cần thiết trong Windows Firewall
1. Vào Control Panel > All Control Panel Items > Windows Firewall.
2. Nhấp Advanced settings bên trái.
3. Bên trái, chọn Inbound Rules.
4a. Double-click vào Routing and Remote Access (L2TP-In)
4b. Tab 'General', chọn Enabled, Allow the connection và nhấp OK.
5. Bây giờ, chuột phải vào Inbound Rules bên trái chọn New Rule.
6. Màn hình đầu, chọn Port và nhấp Next.
7. Chọn giao thức UDP và ở 'Specific local ports' gõ: 50, 500, 4500.
Xong nhấp Next.
8. Giữ mặc định "Allow the Connection" nhấp Next.
9. Màn hình tiếp, nhấp Next lại.
10. Gõ tên cho rule mới (ví dụ: "Allow L2PT VPN") và nhấp Finish.
11. Đóng cài đặt Firewall.
Bước 5. Cách Cấu hình Network Policy Server cho phép truy cập mạng
Để cho phép người dùng VPN truy cập mạng qua kết nối VPN, tiến hành sửa Network Policy Server như sau:
1. Chuột phải vào Remote Access Logging and Policies chọn Launch NPS
2. Tab 'Overview', chọn cài đặt sau và nhấp OK:
-
- Grant access: If the connection request matches this policy.
- Remote Access Server (VPN-Dial up)
3. Mở policy Connections to other access servers, chọn cùng cài đặt và nhấp OK.
-
- Grant access: If the connection request matches this
policy. - Remote Access Server (VPN-Dial
up)
- Grant access: If the connection request matches this
4. Đóng cài đặt Network Policy Server.
Bước 6. Cách Bật kết nối L2TP/IPsec phía sau NAT
Mặc định, Windows Client hiện đại (Windows 10, 8, 7 hoặc Vista) và Windows Server 2016, 2012 & 2008 không hỗ trợ kết nối L2TP/IPsec nếu máy tính Windows hoặc VPN server nằm sau NAT. Để vượt qua vấn đề này, bạn phải sửa registry như sau, ở VPN Server và Client:
1. Nhấn đồng thời phím Windows 
+ R mở hộp thoại Run.
2. Gõ regedit nhấn Enter.
3. Bên trái, điều hướng khóa:
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Sevices\PolicyAgent
4. Chuột phải vào PolicyAgent chọn New –> DWORD (32 bit) Value.
5. Tên khóa mới gõ: AssumeUDPEncapsulationContextOnSendRule nhấn Enter.
* Lưu ý: Giá trị phải nhập đúng như trên và không có khoảng trắng.
6. Double-click khóa DWORD mới nhập Value data: 2
7. Đóng Registry Editor. *
* Quan trọng: Để tránh vấn đề khi kết nối VPN server từ Windows client (Windows Vista, 7, 8, 10, và 2008 Server), bạn phải áp dụng sửa registry này cho client nữa.
8. Khởi động lại máy.
Bước 7. Xác minh dịch vụ IKE & IPsec Policy Agent đang chạy
Sau khởi động lại, vào services control panel đảm bảo các dịch vụ sau đang chạy. Để làm điều đó:
1. Nhấn đồng thời phím Windows + R mở hộp thoại Run.
2. Hộp thoại Run, gõ: services.msc nhấn Enter.
3. Đảm bảo các dịch vụ sau chạy: *
-
- IKE and AuthIP IPsec Keying Modules
- IPsec Policy Agent
* Ghi chú:
1. Nếu dịch vụ trên không chạy, double-click từng dịch vụ đặt Startup Type thành Automatic. Nhấp OK và khởi động lại server.
2. Bạn phải đảm bảo dịch vụ trên cũng chạy trên máy client Windows.
Bước 8. Cách Chọn người dùng có quyền truy cập VPN
Bây giờ là lúc chỉ định người dùng nào có thể kết nối VPN server (Dial-IN permissions).
1. Mở Server Manager.
2. Từ menu Tools, chọn Active Directory Users and Computers. *
* Lưu ý: Nếu server không thuộc domain, vào Computer Management -> Local Users and Groups.
3. Chọn Users double-click người dùng muốn cho phép VPN Access.
4. Chọn tab Dial-in chọn Allow access. Nhấp OK.
Bước 9. Cách Cấu hình Firewall cho phép L2TP VPN Access (Port Forwarding)
Bước tiếp theo là cho phép kết nối VPN trong Firewall.
1. Đăng nhập giao diện web router.
2. Trong cấu hình router, forward cổng 1701, 50, 500 & 4500 đến IP của VPN Server. (Xem manual Router cách cấu hình Port Forward).
- Ví dụ, nếu VPN Server có IP "192.168.1.8" thì forward tất cả cổng trên đến IP đó.
Hỗ trợ thêm:
- Để kết nối VPN server từ xa, bạn phải biết Public IP của VPN server. Để tìm Public IP (từ PC VPN Server) truy cập: https://www.whatismyip.com/
- Để luôn kết nối được VPN server, tốt hơn có Static Public IP. Liên hệ ISP để có Static Public IP. Nếu không muốn trả phí static IP, có thể cài Dynamic DNS miễn phí (ví dụ no-ip.) trên router (VPN Server).
Bước 10. Cách Thiết lập kết nối L2TP VPN trên máy Client Windows
Bước cuối là tạo kết nối L2TP/IPSec VPN mới đến VPN Server 2016 trên máy client, làm theo hướng dẫn:
- Bài viết liên quan: Cách Thiết lập PPTP VPN Connection trên Windows 10.
CHÚ Ý: Trước khi tạo VPN Connection, tiến hành áp dụng sửa registry bước 6 trên máy client.
1. Mở Network and Sharing Center.
2. Nhấp Set up a new connection or network
3. Chọn Connect to workplace và nhấp Next.
4. Chọn Use my Internet connection (VPN).
5. Màn hình tiếp gõ Public IP Address của VPN Server và VPN Port đã gán ở router và nhấp Create.
ví dụ: Nếu external IP là: 108.200.135.144, gõ: "108.200.135.144" ở Internet Address và 'Destination name' gõ tên bất kỳ (ví dụ: "L2TP-VPN").
6. Gõ username và password cho VPN connection và nhấp Connect.
7. Nếu thiết lập VPN trên Windows 7 client nó sẽ thử kết nối. Nhấn Skip rồi Close, vì cần chỉ định cài đặt thêm cho VPN.
8. Network and Sharing center nhấp Change adapter settings bên trái.
9. Chuột phải vào VPN connection mới (ví dụ: "L2TP-VPN") chọn Properties.
10. Tab Security chọn Layer 2 (Tunneling Protocol with IPsec (L2TP/IPsec) rồi nhấp Advanced settings.
11. 'Advanced settings' gõ Pre-shared key (ví dụ: "TestVPN@1234") nhấp OK
12. Nhấp Allow these protocols chọn Microsoft CHAP Version 2 (MS-CHAP v2)
13. Chọn tab Networking. Double-click Internet Protocol Version 4 (TCP/IPv4) mở Properties.
14. Preferred DNS server gõ Local IP của VPN Server (ví dụ: "192.168.1.8"). *
* Lưu ý: Cài đặt này tùy chọn, chỉ áp dụng nếu cần.
15. Nhấp Advanced và bỏ tick Use default gateway on remote network vì tách duyệt web PC khỏi VPN.
16. Cuối cùng nhấp OK liên tục đóng tất cả cửa sổ.
17. Double-click VPN connection mới và nhấp Connect, để kết nối đến nơi làm việc.
Xong! Hãy cho tôi biết hướng dẫn này có giúp được bạn không bằng cách để lại bình luận về trải nghiệm của bạn. Vui lòng like và chia sẻ hướng dẫn này để giúp đỡ người khác.