將 Windows Server 設定為 AWS Site-to-Site VPN 客戶閘道裝置

在 https://console.aws.amazon.com/vpc/ 開啟 Amazon VPC 主控台。

在導覽窗格中，選擇 Site-to-Site VPN Connections (Site-to-Site VPN 連接)。

選取您的 VPN 連接，並選擇 Download Configuration (下載組態)。

選取 Microsoft 為開發廠商、Windows Server 為平台，以及 2012 R2 為軟體。選擇 Download (下載)。您可以開啟或儲存檔案。

登入您的 Windows Server。

前往開始選單，然後選擇伺服器管理員。

安裝路由及遠端存取服務：

1. 從管理選單選擇新增角色及功能。

2. 在 Before You Begin (開始之前) 頁面上，確認您的伺服器符合事前準備，然後選擇 Next (下一步)。

3. 選擇 Role-based or feature-based installation (角色型或功能型安裝)，然後選擇 Next (下一步)。

4. 選擇 Select a server from the server pool (從伺服器集區選取伺服器)，選取您的 Windows Server，然後選擇 Next (下一步)。

5. 在清單中選取 Network Policy and Access Services (網路政策和存取服務)。在顯示的對話方塊中，選擇 Add Features (新增功能)，確認這些是此角色所需要的功能。

6. 在相同的清單中，選擇 Remote Access (遠端存取)、下一步。

7. 在選取功能頁面上，選擇下一步。

8. 在 Network Policy and Access Services (網路政策和存取服務) 頁面上，選擇 Next (下一步)。

9. 在遠端存取頁面上，選擇下一步。在下一個頁面上，選取 DirectAccess and VPN (RAS) (DirectAccess 和 VPN (RAS))。在顯示的對話方塊中，選擇 Add Features (新增功能)，確認這些是此角色服務所需要的功能。在相同的清單中，選取 Routing (路由)，然後選擇 Next (下一步)。

10. 在 Web Server Role (IIS) (Web 伺服器角色 (IIS)) 頁面上，選擇 Next (下一步)。保留預設選項，然後選擇 Next (下一步)。

11. 選擇 Install (安裝)。完成安裝時，請選擇 Close (關閉)。

在儀表板上，選擇 Notifications (通知) (標記圖示)。應有完成部署後組態的任務。選擇 Open the Getting Started Wizard (開啟入門精靈) 連結。

選擇 Deploy VPN only (僅部署 VPN)。

在 Routing and Remote Access (路由及遠端存取) 對話方塊中，選擇伺服器名稱，然後選擇 Action (動作)，再選取 Configure and Enable Routing and Remote Access (設定及啟用路由及遠端存取)。

在 Routing and Remote Access Server Setup Wizard (路由及遠端存取伺服器設定精靈) 中，在第一個頁面上，按一下 Next (下一步)。

在 Configuration (組態) 頁面上，選擇自訂設定、下一步。

選擇 LAN routing (LAN 路由)、Next (下一步)、Finish (完成)。

當 Routing and Remote Access (路由及遠端存取) 對話方塊顯示提示時，請選擇 Start service (啟動服務)。

開啟 Server Manager (伺服器管理員)，選擇 Tools (工具)，然後選取 Windows Defender Firewall with Advanced Security (具有進階安全性的 Windows Defender Firewall)。

選取 Connection Security Rules (連線安全規則)、選擇 Action (動作) 然後 New Rule (新增規則)。

在 New Connection Security Rule (新增連線安全規則) 精靈中，在 Rule Type (規則類型) 頁面上，選擇 Tunnel (通道)，再選擇 Next (下一步)。

在 Tunnel Type (通道類型) 頁面上，在 What type of tunnel would you like to create (您要建立的通道類型) 下，選擇 Custom configuration (自訂組態)。在 Would you like to exempt IPsec-protected connections from this tunnel (您要從此通道排除 IPsec 保護的連線嗎) 下，保持選取預設值 (No. Send all network traffic that matches this connection security rule through the tunnel (不，透過通道傳送符合此連線安全規則的所有網路流量))，然後選擇 Next (下一步)。

在需求頁面上，選擇需要對傳入連線進行身分驗證。請勿為傳出連線建立通道，然後選擇下一步。

在 通道端點頁面上，在哪些電腦是在端點 1 下，選擇新增。輸入您網路的 CIDR 範圍 (位於 Windows Server 客戶閘道裝置後方，例如 172.31.0.0/16)，然後選擇確定。此範圍可包括您客戶閘道裝置的 IP 地址。

在 What is the local tunnel endpoint (closest to computer in Endpoint 1) (什麼是本機通道端點 (最接近端點 1 中的電腦)) 下，選擇 Edit (編輯)。在 IPv4 address (IPv4 地址) 欄位中，輸入您 Windows Server 的私有 IP 地址，然後選擇 OK (確定)。

在 What is the remote tunnel endpoint (closest to computers in Endpoint 2) (什麼是遠端通道端點 (最接近端點 2 中的電腦)) 下，選擇 Edit (編輯)。在 IPv4 address (IPv4 地址) 欄位中，輸入組態檔通道 1 的虛擬私有閘道 IP 地址 (請參閱 Remote Tunnel Endpoint)，然後選擇 OK (確定)。

在 Which computers are in Endpoint 2 (端點 2 下的電腦) 下，選擇 Add (新增)。在 This IP address or subnet field (此 IP 地址或子網路欄位) 中，輸入您 VPC 的 CIDR 區塊，然後選擇 OK (確定)。

確認您指定的所有設定皆正確無誤，然後選擇下一步。

在驗證方法頁面上，選取進階，然後選擇自訂。

在 First authentication methods (第一個身分驗證方法) 下，選擇 Add (新增)。

選取預先共用金鑰，輸入組態檔案的預先共用金鑰值，然後選擇確定。

確定未選取 First authentication is optional (第一個身分驗證為選用)，然後選擇 OK (確定)。

選擇 Next (下一步)。

在設定檔頁面上，全部選取下列三個核取方塊：網域、Private (私有) 和 Public (公有)。選擇 Next (下一步)。

在 Name (名稱) 頁面上，輸入您連線規則的名稱 (例如 VPN to Tunnel 1)，然後選擇 Finish (完成)。

開啟 Server Manager (伺服器管理員)，選擇 Tools (工具)，選取 Windows Firewall with Advanced Security (具有進階安全性的 Windows 防火牆)，然後選取 Connection Security Rules (連線安全規則)。

為兩個通道驗證下列項目：

選取第一條規則，然後選擇 Properties (屬性)。

在Authentication (身分驗證) 索引標籤的 Method (方法) 下，選擇 Customize (自訂)。確認 First authentication methods (第一個身分驗證方法)包含通道組態檔案中的正確預先共用金鑰，然後選擇 OK (確定)。

在 Advanced (進階) 標籤上，確認全選 Domain (網域)、Private (私有) 和 Public (公有)。

在 IPsec tunneling (IPsec 通道) 下，選擇 Customize (自訂)。確認下列 IPsec 通道設定，然後選擇 OK (確定)，再選擇一次 OK (確定) 關閉對話方塊。

開啟您第二個通道的 properties (屬性)。為此通道重複步驟 4 到 7。

在您的 Windows Server 中，開啟新的命令提示視窗。

輸入下列命令，以您命名的第一條連線規則名稱取代 rule_name。

netsh advfirewall consec set rule name="rule_name" new QMPFS=dhgroup2 QMSecMethods=ESP:SHA1-AES128+60min+100000kb

對第二個通道重複步驟 2，這次以您命名的第二條連線規則名稱取代 rule_name。

開啟 Server Manager (伺服器管理員)，選擇 Tools (工具)，然後選取 Windows Defender Firewall with Advanced Security (具有進階安全性的 Windows Defender Firewall)，再選擇 Properties (屬性)。

在 IPsec Settings (IPsec 設定) 標籤上，在 IPsec exemptions (IPsec 排除) 下，確認 Exempt ICMP from IPsec (從 IPsec 排除 ICMP) 為 No (default) (否 (預設值))。確認 IPsec tunnel authorization (IPsec 通道授權) 為 None (無)。

在 IPsec defaults (IPsec 預設值) 下，選擇 Customize (自訂)。

在 Key exchange (Main Mode) (金鑰交換 (主要模式)) 下，選取 Advanced (進階)，然後選擇 Customize (自訂)。

在自訂進階金鑰交換設定的安全性方法下，確認第一個項目使用下列預設值：

這些設定會對應到組態檔案中的這些項目。

MainModeSecMethods: DHGroup2-AES128-SHA1,DHGroup2-3DES-SHA1
MainModeKeyLifetime: 480min,0sec

在 Key exchange options (金鑰交換選項) 下，選取 Use Diffie-Hellman for enhanced security (使用 Diffie-Hellman 增強安全)，然後選擇 OK (確定)。

在 Data protection (Quick Mode) (資料保護 (快速模式)) 下，選取 Advanced (進階)，再選擇 Customize (自訂)。

選取 Require encryption for all connection security rules that use these settings (所有使用這些設定的連線安全規則需要加密)。

在 Data integrity and encryption (資料完整性和加密) 下，保留預設值：

這些值會對應到組態檔中的以下項目。

QuickModeSecMethods: 
ESP:SHA1-AES128+60min+100000kb

選擇 OK (確定) 傳回 Customize IPsec Settings (自訂 IPsec 設定) 對話方塊，再選擇 OK (確定) 儲存組態。

從您的 Windows Server 啟動命令提示或 PowerShell 工作階段，然後輸入 regedit 啟動登錄編輯器。

依續展開 HKEY_LOCAL_MACHINE、SYSTEM、CurrentControlSet、Services (服務)、Tcpip 及 Parameters (參數)。

從 Edit (編輯) 選單，選取 New (新增)，然後選取 DWORD (32-bit) Value (DWORD (32 位元) 值)。

輸入名稱 EnableDeadGWDetect。

選取 EnableDeadGWDetect，然後選擇編輯、修改。

在 Value data (值資料) 中，輸入 1，然後選擇 OK (確定)。

關閉登錄編輯器並重新開機伺服器。