有关VPN连接的15项故障诊断提示(3) 建立VPN服务器Internet连通性。在完成客户端配置工作后，您需要验证VPN服务器具备一条Internet连接。验证这种连接的最简单方式是从设置服务器TCP/IP地址的客户端上对服务器执行ping操作。（如果您的PPTP服务器位于防火墙后方且防火墙被设置为阻止Internet控制消息协议--ICMP--ping消息，那么，这种验证方式将无法使用。）如果ping指令显示消息请求超时，则说明服务器Internet连接可能存在某种问题。如果服务器通过地址进行相应，您可以在DUN记录的电话号码字段中输入TCP/IP地址以便建立PPTP会话。尽管与通过全面验证的域名（FQDN）相比有些不够友好，这项技术在您知道服务器地址的情况下仍旧非常有效。 需要注意的是，使用拨号连接的服务器很有可能在每次与ISP建立连接时获得不同的地址。如需通过地址进行连接，您必须了解服务器每次建立拨号连接时由ISP所分配的地址。通常情况下，您的RAS服务器将使用一个永久地址，从而消除了连接过程中的一项细微可变因素。 如果服务器通过地址进行响应，请继续使用名称对其执行ping操作。如果服务器无法通过名称进行响应，原因可能有两种：服务器可能不具备注册域名，或者您的ISP DNS服务器可能处于停机状态或无法正常工作。 查看PPTP过滤功能。当服务器上的PPTP过滤功能处于启用状态时，您可能会看到消息“错误678：无法应答”或“错误650：远程访问服务器无法响应”。此时，请在服务器上禁用PPTP过滤功能（Net Stop RASPPTPF），并查看是否可以建立非过滤连接。 如果能够在过滤功能处于禁用状态的情况下建立连接，请检查服务器的过滤器设置。如果您禁用了编号为137和138的UPD端口或者编号为139的TCP端口，NetBIOS数据包将无法通过网络。对于单播（点对点）通信过程，您同样需要在客户端与服务器之间的所有防火墙与路由器上启用这些端口。 过滤GRE协议。如果服务器能够通过地址和名称进行响应但您仍旧无法建立连接，那么，您所使用的ISP路由器、内部路由器或防火墙可能过滤掉了GRE数据包。为建立一条PPTP隧道，客户端与服务器之间需要交换GRE数据包，然而，由于需要在内部利用GRE来管理路由器，某些ISP会禁用外部GRE数据包。尽管GRE过滤功能并不常用，但他的确能够阻止PPTP连接，因此，请确保您在VPN连接两端均启用了编号为47的IP协议端口（GRE）以及编号为1723的TCP端口。您可以利用Microsoft网络监视器或其它类似的网络探测工具来确定GRE过滤功能是否被启用。如需获取更多关于如何在VPN连接期间对PPTP数据包进行监控的信息，请查看“原先发布的相关文章”中的第XX页。 客户端能够连接但无法登录：您可能遇到的第二种问题是已经建立连接的客户端无法进行登录。此时，您需要对以下三种可能导致这种问题的因素进行查看。 配置域和服务器帐号。您可以将RAS服务器配置为域控制器或独立系统。如果您将服务器配置为域控制器，请确保用户的域帐号具备拨入权限。如果服务器并非域控制器，缺省情况下，RAS将通过本地SAM对客户端授权凭证进行验证。用户可以通过两种方式在独立服务器上实现身份验证：利用RAS服务器上的本地帐号或利用强制服务器通过域SAM对证书进行验证的注册表项。无论采用何种方式，您所提供的帐号都必须具备拨入权限。
