- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
01-L2TP VPN 典型配置案例
本章节下载： 01-L2TP VPN 典型配置案例 (761.68 KB)
目 录
本文档介绍路由器L2TP VPN的配置方法。
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解L2TP VPN特性。
本配置举例是在MSR1008系列路由器R9141版本上进行配置和验证的。
如图1所示，某企业要求通过创建L2TP隧道来实现出差员工和分部公司员工可以访问搭建在总部内网的服务器。
图1 L2TP VPN典型配置组网图
(1) 配置总部路由器Router A连接Internet，启用L2TP服务器端。
(2) 配置分部路由器Router B连接Internet，启用L2TP客户端。
(3) 在出差员工PC上设置L2TP客户端。
本例中，Router A采用单WAN模式连接外网，WAN接口的连接模式为固定地址。
(1) 在路由器设备Web管理界面，单击导航树中[网络设置/外网配置]菜单项，进入外网配置页面。
(2) 在“场景定义”页面中，进行如下操作：
a. 勾选“单WAN场景”。
b. 在“线路1”配置项处，选择WAN0（GE0/0/0）。
c. 单击<应用>按钮完成场景定义。
图2 场景定义
(3) 单击“WAN配置”页签，进入WAN配置页面。
a. 单击“线路1”所在行的<
>按钮，进入修改WAN配置页面，进行如下配置：
- 连接模式：固定地址
- IP地址：20.1.1.1
- 子网掩码：255.255.255.0
- 网关地址：20.1.1.254
- DNS1：114.114.114.114
- DNS2：223.5.5.5
- NAT地址转换：启用
b. 其它参数保持默认配置，单击<确定>按钮保存配置。
图3 修改WAN配置
本例需要创建两个L2TP组（隧道）分别供出差员工PC和分部路由器连接，名称分别为LNS1和LNS2。
(1) 单击导航树中[虚拟专网/L2TP服务器端]菜单项，进入L2TP配置页面，单击“L2TP配置”页签，勾选“L2TP服务器端”配置项处的开启选项，完成L2TP服务器的启用。
(2) 配置LNS1（供出差员工PC连接）。
a. 单击<添加>按钮，进入“新建L2TP组”配置页面，进行如下配置：
- 对端隧道名称：无需配置（若勾选，需填写出差员工计算机名称）
- 本端隧道名称：LNS1
- 隧道验证：禁用（使用PC作为L2TP客户端，不建议启用隧道验证功能）
- PPP认证方式：CHAP
- 虚拟模板接口地址：172.16.10.1（根据实际情况输入，不要和内网IP地址相同）
- 子网掩码：255.255.255.0（根据实际情况输入）
- 用户地址池：172.16.10.2-172.16.10.5（根据实际情况输入）
b. 其余配置项采用缺省设置，单击<确定>按钮，完成LNS1的添加。
图4 配置LNS1
(3) 配置LNS2（供分部路由器连接）。
a. 在L2TP配置页面，单击“添加”按钮，进入“新建L2TP组”配置页面，进行如下配置：
- 对端隧道名称：LAC（根据情况自定义）
- 本端隧道名称：LNS2
- 隧道验证：启用，并输入隧道验证密码“abc123”
- PPP认证方式：CHAP
- 虚拟模板接口地址：172.16.20.1（根据实际情况输入，不要和内网IP地址在同一网段）
- 子网掩码：255.255.255.0（根据实际情况输入）
- 用户地址池：172.16.20.2-172.16.20.5（根据情况输入）
b. 其余配置项采用缺省设置，单击<确定>按钮，完成LNS2的添加。
图5 配置LNS2
L2TP用户设置主要是为L2TP客户端拨号时提供账号名和密码。
(1) 在路由器设备Web管理界面，单击导航树中[认证管理/用户管理]菜单项。
a. 单击“用户设置”页签，进入用户设置页面，单击“添加”按钮，进入添加用户页面，进行如下配置：
- 账号名：vpdn1（根据实际情况自定义即可）
- 状态：选择“可用”
- 密码：user123（根据实际情况自定义即可）
- 可用服务：PPP
- MAC地址：不绑定
- 最大用户数：1（根据实际需要设置该账号同时可支持多少L2TP客户端连接）
- 有效日期：不配置（若选择“配置”，则需要在日期选择框中选则账号权限到期日期）
b. 其余配置项采用缺省设置，单击“确定”按钮完成配置。
图6 添加L2TP用户
(2) 为出差员工PC添加账号名和密码。
按照同样的步骤为出差员工添加账号名为vpdnuser，密码为：user1234。
本例中，Router B采用单WAN模式连接外网，WAN接口的连接模式为固定地址。
(1) 在路由器设备Web管理界面，单击导航树中[网络设置/外网配置]菜单项，进入外网配置页面。
(2) 在“场景定义”页面中，进行如下操作：
a. 勾选“单WAN场景”。
b. 在“线路1”配置项处，选择WAN0（GE0/0/0）。
c. 单击<应用>按钮完成场景定义。
图7 场景定义
(3) 单击“WAN配置”页签，进入WAN配置页面。
a. 单击“线路1”所在行的<
>按钮，进入修改WAN配置页面，进行如下配置：
- 连接模式：固定地址
- IP地址：20.1.2.1
- 子网掩码：255.255.255.0
- 网关地址：20.1.2.254
- DNS1：114.114.114.114
- DNS2：223.5.5.5
b. 其它参数保持默认配置，单击<确定>按钮保存配置。
图8 修改WAN配置
配置L2TP客户端时相关信息需要和L2TP服务器端保持一致。
(1) 单击导航树中[虚拟专网/L2TP客户端]菜单项，单击“L2TP配置”页签，进入L2TP客户端配置页面，选择L2TP客户端“开启”选项，完成L2TP客户端的启用。
(2) 单击“添加”按钮，进入“新建L2TP组”页面。
a. 进行如下配置：
- 本端隧道名称：LAC
- 地址获取方式：动态
- 隧道验证：启用，并输入LNS2中设置的密码abc123
- PPP认证方式：CHAP，用户名配置项处输入vpdn1，密码配置项处输入user123
- L2TP服务器端地址：20.1.1.1（总部WAN1接口IP地址）
b. 其余配置项采用缺省设置，单击<确定>按钮，完成配置。
图9 配置L2TP客户端
当使用路由器做L2TP客户端时，需要添加到L2TP服务器端子网（10.1.1.0/24）的静态路由。
当使用路由器做L2TP客户端时，如果需要访问L2TP服务器端，则需要添加（20.1.1.0/24）的静态路由。
(1) 选择“高级选项>静态路由”，进入静态路由配置页面，单击“添加”按钮，进入“添加IPv4静态路由”页面。
a. 进行如下配置：
- 目的IP地址：10.1.1.0
- 子网掩码：24
- 下一跳：GE1（对应的L2TP隧道接口）
b. 其余配置项采用缺省设置，单击<确定>按钮，完成配置。
图10 配置静态路由
在出差员工PC上配置L2TP客户端，本例以装有Window 7系统的PC为例。
(1) 登录出差员工PC桌面，单击桌面右下角（即任务栏中）的网络图标
，选择“打开网络和共享中心”。
图11 打开网络和共享中心
(2) 单击“设置新的连接或网络”选项，创建一个L2TP客户端。
图12 设置新的连接或网络
(3) 在弹出的设置连接或网络对话框中，选择“连接到工作区”选项，单击“下一步”按钮。
图13 连接到工作区
(4) 选择“使用我的Internet连接(VPN)(I)”选项，开始配置连接的Internet地址。
图14 使用我的Internet连接(VPN)(I)
(5) 在Internet连接(T)配置项中，输入要连接到的L2TP服务器段WAN1接口的IP地址，本例为20.1.1.1；在目的名称配置项中，输入该L2TP客户端的连接的名称，本例为l2tp，单击“下一步”按钮。
图15 键入要连接的Internet地址
(6) 在用户名和密码配置项中，分别输入L2TP服务器端设置的用户名和密码，本例用户名为vpdnuser，密码为user1234，单击“连接”按钮进行连接。
图16 键入您的用户名和密码
(7) 单击桌面右下角的网络图标
，右键单击L2TP客户端名称（如“l2tp”），选择“属性”选项。
图17 L2TP客户端属性
(8) 在弹出属性对话框中，选择“安全”页签，在“VPN类型(T)”中选择“使用IPsec的第2层隧道协议(L2TP/IPSec)”，在“数据加密(D)”中选择“可选加密（没有加密也可以连接）”，单击“确定”按钮使得配置生效。
图18 安全属性配置
(9) 打开L2TP协议的拨号终端窗口，在弹出连接对话框中输入用户名：vpdnuser，密码：uesr1234，单击“连接”按钮进行连接。
图19 L2TP连接
出差员工PC和分部员工PC都可以访问总部服务器，配置验证成功。登录总部路由器RouterA Web管理界面，选择“虚拟专网>L2TP服务器端”，单击“隧道信息”页签，可以查看对应的L2TP隧道信息。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
