- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
01-L2TP VPN 典型配置案例
本章节下载： 01-L2TP VPN 典型配置案例 (695.59 KB)
目 录
本文档介绍路由器L2TP VPN的配置方法。
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解L2TP VPN特性。
本配置举例是在MSR1008系列路由器 ESS 9141L10版本上进行配置和验证的。
如图1所示，某企业要求通过创建L2TP隧道来实现出差员工和分部公司员工可以访问搭建在总部内网的服务器。
图1 L2TP VPN典型配置组网图
(1) 配置总部路由器Router A连接Internet，启用L2TP服务器端。
(2) 配置分部路由器Router B连接Internet，启用L2TP客户端。
(3) 在出差员工PC上设置L2TP客户端。
本例中Router A外网的接口模式为单WAN模式，WAN接口的连接模式为固定地址。
# 选择“网络设置 > 外网配置”，进入外网配置页面：
(1) 在“场景定义”页面中勾选“单WAN模式”。
(2) 在“线路1”配置项处，选择WAN0（GE0/0/0）。
(3) 单击<应用>按钮，完成场景定义。
图2 场景定义
(4) 点击“WAN配置”页签，进入WAN配置页面。
(5) 单击WAN0接口对应操作列编辑图标，进入修改WAN配置页面。
(6) 在“连接模式”配置项处，选择固定地址。
(7) 在“IP地址”配置项处，输入20.1.1.1。
(8) 在“子网掩码”配置项处，输入255.255.255.0。
(9) 在“网关地址”配置项处，输入20.1.1.254。
(10) 在“DNS1”和“DNS2”配置项处，输入主备DNS，本例输入114.114.114.114和8.8.8.8。
(11) 在“NAT地址转换”配置项处，选择启用。
(12) 其它参数保持默认配置即可，单击<确定>按钮保存配置。
图3 配置WAN0接口连接Internet
本例需要创建两个L2TP组（隧道）分别供出差员工PC和分部路由器连接，名称分别为LNS1和LNS2。
#选择“虚拟专网>L2TP服务器端”，进入L2TP配置服务器端配置页面，勾选“L2TP服务器端”配置项处的开启选项，完成L2TP服务器的启用。
(1) 配置LNS1（供出差员工PC连接）
# 单击<添加>按钮，进入“新建L2TP组”配置页面，完成如下参数配置：
· 对端隧道名称：不勾选复选框，无需配置（若勾选，需填写出差员工计算机名称）
· 本端隧道名称：LNS1
· 隧道验证：选择“禁用”（使用PC作为L2TP客户端，不建议启用隧道验证功能）
· PPP认证方式：选择“CHAP”
· 虚拟模板接口地址：172.16.10.1（根据实际情况输入，不要和内网IP地址相同）
· 子网掩码：255.255.255.0（根据实际情况输入）
· 用户地址池：172.16.10.2-172.16.10.5（根据实际情况输入）
· 其它配置项本例保持缺省配置，单击<确定>按钮，完成LNS1的添加
图4 配置LNS1
(2) 配置LNS2（供分部路由器连接）
#在L2TP配置页面，单击<添加>按钮，进入“新建L2TP组”配置页面，完成如下参数配置：
· 对端隧道名称：LAC（根据情况自定义）
· 本端隧道名称：LNS2
· 隧道验证：选择“启用”，并输入隧道验证密码“abc123”
· PPP认证方式：选择“CHAP”
· 虚拟模板接口地址：172.16.20.1（根据实际情况输入，不要和内网IP地址在同一网段）
· 子网掩码：255.255.255.0（根据实际情况输入）
· 用户地址池：172.16.20.2-172.16.20.5（根据情况输入）
· 其它配置项本例保持缺省配置，单击<确定>按钮，完成LNS2的添加
图5 配置LNS2
L2TP用户设置主要是为L2TP客户端拨号时提供账号名和密码。
(1) 为分部路由器做客户端添加账号名和密码
#选择“认证管理 >用户管理”，进入用户管理页面，单击<添加>按钮，进入添加用户页面，配置下面参数：
· 账号名：vpdn1（根据实际情况自定义即可）
· 状态：选择“可用”
· 密码：user123（根据实际情况自定义即可）
· 可选服务：选择PPP
· MAC地址：选择不绑定
· 最大用户数：1（根据实际需要设置该账号同时可支持多少L2TP客户端连接）
· 有效日期：不配置（若选择“配置”，则需要在日期选择框中选则账号权限到期日期）
· 单击“确定”按钮，完成配置
图6 添加L2TP用户
(2) 为出差员工PC添加账号名和密码
按照同样的步骤为出差员工添加账号名为vpdnuser，密码为：user1234。
本例中Router B外网的接口模式为单WAN模式，WAN接口的连接模式为固定地址。
# 选择“网络设置 > 外网配置”，进入外网配置页面：
(1) 在“场景定义”页面中勾选“单WAN模式”。
(2) 在“线路1”配置项处，选择WAN0（GE0/0/0）。
(3) 单击<应用>按钮，完成场景定义。
图7 场景定义
(4) 点击“WAN配置”页签，进入WAN配置页面。
(5) 单击WAN0接口对应操作列编辑图标，进入修改WAN配置页面。
(6) 在“连接模式”配置项处，选择固定地址。
(7) 在“IP地址”配置项处，输入20.1.2.1。
(8) 在“子网掩码”配置项处，输入255.255.255.0。
(9) 在“网关地址”配置项处，输入20.1.2.254。
(10) 在“DNS1”和“DNS2”配置项处，输入主备DNS，本例输入114.114.114.114和8.8.8.8。
(11) 在“NAT地址转换”配置项处，选择启用。
(12) 其它参数保持默认配置即可，单击<确定>按钮保存配置。
图8 配置WAN0接口连接Internet
配置L2TP客户端时相关信息需要和L2TP服务器端保持一致。
#选择“虚拟专网>L2TP客户端”，单击“L2TP客户端”页签，进入L2TP客户端配置页面，勾选L2TP配置项处开启选项，完成L2TP客户端的启用。单击<添加>按钮，进入“新建L2TP组”页面，配置下面参数：
· 本端隧道名称：LAC
· 地址获取方式：选择“动态”
· 隧道验证：选择“启用”，并输入LNS2中设置的密码abc123
· PPP认证方式：选择“CHAP”，用户名配置项处输入vpdn1，密码配置项处输入user123
· NAT地址转换：选择“启用”（若选择“不启用”，需要总部添加到分部的静态路由）
· L2TP服务器端地址：20.1.1.1（总部WAN0接口IP地址）
· 其它配置项本例保持缺省配置，单击<确定>按钮，完成配置。
图9 配置L2TP客户端
当使用路由器做L2TP客户端时，需要添加到L2TP服务器端子网（10.1.1.0/24）的静态路由。
#选择“高级选项>静态路由”，进入静态路由配置页面，单击“添加”按钮，进入“添加IPv4静态路由”页面，配置下面参数：
· 目的IP地址：10.1.1.0
· 子网掩码：24
· 下一跳：VPPP0（对应的L2TP隧道接口）
· 其它选项保持默认即可，单击“确定”按钮，完成配置
图10 配置静态路由
在出差员工PC上配置L2TP客户端，本例以装有Window 7系统的PC为例。
#登录出差员工PC桌面，单击桌面右下角（即任务栏中）的网络图标
，选择“打开网络和共享中心”。
单击“设置新的连接或网络”选项，创建一个L2TP客户端。
在弹出的设置连接或网络对话框中，选择“连接到工作区”选项，单击“下一步”按钮。
选择“使用我的Internet连接(VPN)(I)”选项，开始配置连接的Internet地址。
在Internet连接(T)配置项中，输入要连接到的L2TP服务器段WAN1接口的IP地址，本例为20.1.1.1；在目的名称配置项中，输入该L2TP客户端的连接的名称，本例为l2tp，单击“下一步”按钮。
在用户名和密码配置项中，分别输入L2TP服务器端设置的用户名和密码，本例用户名为vpdnuser，密码为user1234，单击“连接”按钮进行连接。
单击桌面右下角的网络图标
，右键单击L2TP客户端名称（如“l2tp”），选择“属性”选项。
在弹出属性对话框中，选择“安全”页签，在“VPN类型(T)”中选择“使用IPsec的第2层隧道协议(L2TP/IPSec)”，在“数据加密(D)”中选择“可选加密（没有加密也可以连接）”，单击“确定”按钮使得配置生效。
打开L2TP协议的拨号终端窗口，在弹出连接对话框中输入用户名：vpdnuser，密码：uesr1234，单击“连接”按钮进行连接。
出差员工PC和分部员工PC都可以访问总部服务器，配置验证成功。登录总部路由器RouterA Web管理界面，选择“虚拟专网>L2TP服务器端”，单击“隧道信息”页签，可以查看对应的L2TP隧道信息。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
