基于Client的L2TP VPN拨号场景

最新推荐文章于 2025-12-02 16:53:48 发布

原创最新推荐文章于 2025-12-02 16:53:48 发布 · 482 阅读

7 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

可以理解为客户端和总部之间通过VPN建立联系，帮助用户在PC或手机上触发建立一条直通公司总部网络的隧道，实现用户自由访问公司总部的资源。

实现过程

1、配置IP地址池
[FW]ip pool l2tp
[FW-ip-pool-l2tp]section 0 172.16.1.2 172.16.1.10  ---设定地址池范围
2、业务方案及用户信息
[FW]aaa
[FW-aaa]service-scheme l2tp --服务方案
[FW-aaa-service-l2tp]ip-pool l2tp ---服务任务为分配IP地址信息
[FW-aaa]domain default   ---进入默认认证域
[FW-aaa-domain-default]service-type l2tp
[FW]user-manage user user0001  ---创建用户名
[FW-localuser-user0001]parent-group /default
[FW-localuser-user0001]password Password123
3、设定VT接口
[FW]interface Virtual-Template 1
[FW-Virtual-Template1]ip address 172.16.1.1 24  ---该地址必须与地址池处于相同网
段，但是在地址池中不能包含该IP地址
[FW-Virtual-Template1]ppp authentication-mode chap 
[FW-Virtual-Template1]remote service-scheme l2tp  ----绑定服务方案
[FW]firewall zone dmz 
[FW-zone-dmz]add int Virtual-Template 1
4、配置L2TP
[FW]l2tp enable 
[FW]l2tp-group aa  ---创建L2TP组
[FW-l2tp-aa]allow l2tp virtual-template 1 remote client domain default
[FW-l2tp-aa]tunnel authentication   ---开启隧道认证
[FW-l2tp-aa]tunnel  password cipher Hello123
5、安全策略
安全策略总结：
用户与LNS之间的L2TP报文
U--->L
用户访问企业资源的报文
VT接口将报文解封装后发送给内网：VT接口区域--->T
内网回复报文给VT接口：T--->VT接口区域

安全策略示意图

配置参数

报文信息

移动办公用户与LNS建立L2TP VPN隧道

第一步，由Client发送，名称为SCCRQ，告知LNS使用158作为Tunnel ID进行通信。此时Client本地
的Tunnel ID为0。
LNS设备，Tunnel ID就是用来区分不同用户申请并建立的隧道。
L2TP报文，使用UDP发送，初始化时，源端口随机数，而目的端口为1701端口。
如果LNS收到报文
并回复后，则双方的端口选定了。
第二步，LNS返回SCCRP报文，告知Client使用1作为Tunnel ID进行通信。
第三步，Client发送SCCCN报文，进行确认回复。此时L2TP VPN隧道建立完毕。
仅仅交互三个报文，用来协商参数--->隧道ID，UDP端口、主机名称、L2TP版本...

移动办公用户与LNS建立L2TP会话

用户与LNS之间建立PPP连接，L2TP会话用来记录和管理它们之间的PPP连接。L2TP会话的功能---> 为后续建立PPP连接来进行参数协商。

移动办公用户与LNS建立PPP连接

前两步，完成了隧道ID和会话ID的协商，Client终于可以和LNS进行对话了。

该步，才是真正L2TP的工作过程：认证和地址分配。

选择PPP协议的原因，就是因为PPP协议本身具备认证和地址分配机制。只不过这个IP地址是由L2TP 协议选择出来的。

VT接口：VT接口是一个虚拟接口，这个接口用途与企业内部网络的终端设备进行通信。VT用来对 L2TP和PPP协议内容进行封装和解封装。VT接口IP--->1.地址池中的IP需要与VT接口IP处于相同网段，但是地址池中不能包含VT接口IP地址；2.VT接口IP地址，不能使用内网真实用到的网段。

1. 移动用户向总部发送数据时，
应用层数据+私有IP封装
会被L2TP VPN进行封装--->
使用PPP头部进行第一次封装
使用L2TP头部进行第二次封装
使用UDP头部进行封装
使用公网IP，即用户的网卡信息和LNS的公网地址信息---VPN隧道两端的地址信息
2. LNS收到报文后，先通过安全策略检查，U--->L
使用VT接口进行解封装，接触公网IP头部、UDP头部、L2TP头部、PPP头部
查找路由表确定转发接口
根据安全策略进行检查，是否允许从VT接口发往内部Trust网络。
3. 内网回复报文

标签