RRAS配置难点在于服务启动依赖网络连通性、NAT接口需手动启用、NAT不提供DHCP需额外配置、防火墙策略易误拦流量。须先验证外网IP与网关连通性，再依次检查NAT属性、IP转发注册表、DHCP或静态网关设置及防火墙规则。
windows server 2019 中 rras 配置的难点，主要集中在服务启动依赖、接口绑定逻辑、nat 与路由功能混淆、以及防火墙/策略联动这几个环节。真正卡住运维人员的，往往不是步骤本身，而是隐含前提没满足或状态未校验。
RRAS 服务无法启动：先检查网络连接状态
RRAS（RemoteAccess 服务）默认设计为“有网才启”。若服务器开机时外网网卡未获取到有效 IP（比如 DHCP 超时、线路未通、ISP 未分配），服务会直接失败并保持停止状态——这不是故障，是微软明确声明的设计行为。
- 务必在配置前确认：外网网卡已获取有效 IPv4 地址（非 169.254.x.x），且能 ping 通网关或公网 DNS（如 8.8.8.8）
- 服务启动后，再断开网络不会导致服务自动停止；但首次启用必须联网
- 验证命令：Get-Service RemoteAccess 查看状态；若为 Stopped，先运行 Start-Service RemoteAccess，再检查是否因网络缺失被拒
NAT 功能不生效：重点核对外网接口是否被正确识别
RRAS 向导中选择“网络地址转换（NAT）”时，它只会把所选网卡设为“公网出口”，但不会自动开启 IP 转发或启用 NAT 表项。很多问题源于外网接口实际未参与 NAT 流程。
- 打开 rrasmgmt.msc → 展开 IPv4 → NAT → 右键外网接口 → “属性” → 确保勾选“启用基本防火墙”和“在此接口上启用 NAT”
- 内网接口必须单独添加为“专用接口”，不能只靠向导默认设置；右键 NAT 节点 → “新增接口” → 选内网网卡 → 属性中设为“专用接口”
- 检查注册表项：HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\IPEnableRouter 值应为 1（RRAS 启用时通常自动写入，但手动改过或重装后可能丢失）
DHCP 与网关不协同：NAT 本身不提供地址分发
这是最常被误解的一点：RRAS 的 NAT 功能只做地址转换，不带 DHCP 服务。内网客户端若无 IP 或网关指向错误，NAT 再正确也无济于事。
- 两种可行路径：启用 Windows DHCP 服务器角色（作用域网关填 RRAS 内网 IP，如 192.168.100.1），或为每台客户端手动配置静态 IP + 子网掩码 + 网关（必须是 RRAS 内网接口地址）
- 客户端 DNS 不必设为 RRAS 本机，但需确保能解析（例如设为 114.114.114.114 或 8.8.8.8）；若 RRAS 同时承担 DNS 转发，需额外启用“DNS 客户端”服务并配置转发器
- 测试连通性顺序：客户端 ping 网关（192.168.100.1）→ ping 外网 IP（如 8.8.8.8）→ nslookup www.baidu.com
防火墙与策略干扰：别让安全机制挡住合法流量
Windows 防火墙默认会拦截 ICMP 和部分出站 TCP 流量，而 RRAS 依赖这些基础通信完成地址解析、路由通告和状态检测。
- 至少放行以下规则：文件和打印机共享（回显请求 - ICMPv4-In）、远程桌面（TCP-In，端口 3389，仅管理需要）、DNS 客户端（UDP-Out，端口 53）
- 若启用“启用基本防火墙”选项，RRAS 会自动限制非 NAT 流量，此时需确认客户端访问目标端口（如 HTTP 80、HTTPS 443）未被该内置防火墙拦截
- 组策略中检查：计算机配置 → 管理模板 → 网络 → 网络连接 → Windows 防火墙 → 域配置文件，确保未强制禁用所有入站规则
