基于LAC拨号的L2TP VPN实验

实验拓扑

实验配置

FW1

[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add int g 1/0/0
不用配置IP，等会可以自动获取
[USG6000V1]security-policy 
[USG6000V1-policy-security]default action permit 

FW2

[USG6000V1]int g 1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip ad 20.1.1.1 24
[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add int g 1/0/0
[USG6000V1]firewall z untrust 
[USG6000V1-zone-untrust]add int g 1/0/1

FW3

[USG6000V1]int g 1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip ad 20.1.1.2 24
[USG6000V1-GigabitEthernet1/0/0]int g 1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip ad 192.168.1.254 24
[USG6000V1]firewall  zone  untrust 
[USG6000V1-zone-untrust]add int g 1/0/0
[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add int g 1/0/1

第一步：建立PPPoE连接，设定拨号接口VT接口

PPPoE发明了两个虚拟接口，Dialer接口(客户端)，VT接口(服务端)。

client

创建拨号接口

[PPPoE Client]interface Dialer 1
[PPPoE Client-Dialer1]dialer user user1  ---设定拨号用户名
[PPPoE Client-Dialer1]dialer-group 1  ---创建拨号组
[PPPoE Client-Dialer1]dialer bundle 1  ---设定拨号程序捆绑包
[PPPoE Client-Dialer1]ip address ppp-negotiate   ---设定IP地址获取方式为PPP邻居
分配，PPP邻居通过IPCP协议进行分配，即PPP的NCP协商过程所用协议
[PPPoE Client-Dialer1]ppp chap user user1
[PPPoE Client-Dialer1]ppp chap password cipher password123

[PPPoE Client]dialer-rule 1 ip permit   ---配置拨号访问控制列表，允许所有IPv4报文
通过拨号口，数字1必须与拨号组编号相同。

[PPPoE Client]int g 1/0/0
[PPPoE Client-GigabitEthernet1/0/0]pppoe-client dial-bundle-number 1  ---在物
理接口上启动PPPoE Client程序，绑定拨号程序包，编号为1

sever

[NAS]interface Virtual-Template 1
[NAS-Virtual-Template1]ppp authentication-mode chap
[NAS-Virtual-Template1]ip address 2.2.2.2 24

[NAS]firewall zone dmz  
[NAS-zone-dmz]add interface  Virtual-Template 1

        说明：1.该VT接口的IP地址不参与报文封装，只需要指定一个合法的IP地址即可，但需要注意跟其 他接口IP地址区分；2.该VT接口需要加入到任意安全区域，否则VT接口不能正常运行，但是安全区域可 以随意选择，因为该接口不参与数据转发，即不受到安全策略控制。

[NAS-GigabitEthernet1/0/0]pppoe-server bind virtual-template 1  ---将VT接口绑定在物
理接口
[NAS]aaa
[NAS-aaa]domain default 
[NAS-aaa-domain-default]service-type l2tp

[NAS]user-manage user user1 domain default

[NAS-localuser-user1]password Password123

        用户的IP地址，都是由总部LNS进行统一分配的，所以在LAC上不需要配置地址池信息。即使你配 置了地址池，在L2TP隧道建立的情况下，也会优先使用总部的地址进行分配。而如果是普通的PPPoE配 置，则必须配置地址池

建立L2TP

lac配置

[NAS]l2tp enable 
[NAS]l2tp-group 1
 [NAS-l2tp-1]tunnel authentication 
[NAS-l2tp-1]tunnel password cipher hello123
 [NAS-l2tp-1]tunnel name lac  ---隧道名称
[NAS-l2tp-1]start l2tp ip 20.1.1.2 fullusername user1  ---设定LAC模式，以及LNS地址，
以及认证用户名的方式为“完全用户认证”，并指定用户名

web查看

lns配置

[USG6000V1]ip pool l2tp	
[USG6000V1-ip-pool-l2tp]section 0 172.16.0.2 172.16.0.100
[USG6000V1]aaa
[USG6000V1-aaa]service-scheme l2tp	
[USG6000V1-aaa-service-l2tp]ip-pool l2tp
[USG6000V1-aaa-service-l2tp]q
[USG6000V1-aaa]domain default 
Info: The domain default is for common users.
[USG6000V1-aaa-domain-default]service-type l2tp
[USG6000V1]user-manage user user1
[USG6000V1]user-manage user user1 domain default 	
[USG6000V1-localuser-user1]password password123
[USG6000V1]int Virtual-Template 1	
[USG6000V1-Virtual-Template1]ppp authentication-mode chap 
[USG6000V1-Virtual-Template1]ip ad 172.16.0.1 24
[USG6000V1-Virtual-Template1]remote service-scheme l2tp	
[USG6000V1]firewall zone dmz 	
[USG6000V1-zone-dmz]add int Virtual-Template 1	
[USG6000V1]l2tp enable 
[USG6000V1]l2tp-group 1	
[USG6000V1-l2tp-1]allow  l2tp virtual-template 1 remote lac domain default
[USG6000V1-l2tp-1]tunnel authentication 
[USG6000V1-l2tp-1]tunnel password cipher hello123