L2TP OVER IPSEC 无法拨入的排查和处理

L2TP OVER IPSEC常用于外部的笔记本电脑（或者手机）远程拨入公司内部，访问内网的各种网络资源。

虽然方便，安全性也高，但是因配置略微复杂，所以经常有无法拨入，或者拨入后无法正常访问网络资源的问题。

今天我们就三个案例来讲解一下，L2TP over IPSEC常用的排错技巧。

案例1、华为路由器配置了L2TP OVER IPSEC，但是用Win10自建的L2TP客户端拨入的时候，提示：L2TP连接尝试失败，因为安全层在初始化与远程计算机的协商时遇到一个处理错误。

协商时遇到错误，看上去像是认证协议的问题，于是打开确认一下参数：

没问题啊，与路由器配置一致。

反复看了几遍，配置肯定没问题，换台Win11的笔记本电脑，还是一样无法拨入。

突然想起来，有一次华为原厂高级工程师说过，Win10或11自带的L2TP拨号端，可能有兼容性问题，于是通知客户改用华为的客户端软件SecoClient（也可以用华为官方认可的UniVPN）.

客户很快反馈，华为的客户端软件SecoClient就没没问题了，秒连传输也快。    

案例2、华为防火墙上配置L2TP OVER IPSEC，之前一直正常，某天什么都没改的前提下，就突然发现无法连接了。

经询问；统一使用的客户端软件是UniVPN，报错信息为：与对方建立连接超时，配置错误或网络故障。

分析：连接超时，应该是客户端软件配置的认证模式和防火墙上配置的L2TP认证模式不匹配，如果一边是PAP，另外一边却是CHAP，模式不匹配，当然就连接超时了。

但是看了UniVPN的截图，和华为防火墙里面的配置，都是PAP，很明显，不是这个问题，而且客户说什么也没改，突然所有用户都不能连接了，那问题一定是出在防火墙上。

登录防火墙继续排查，发现这客户用的是域账号直接作为远程拨入用户，但在防火墙的用户里面，根本搜索不到域账号，看来这就是问题所在了。

再仔细看，发现域用户组倒是有的，但里面的域用户是一个也没有，全部丢失了，用户没了，当然无法拨入，尝试手动同步，报错：管理员绑定失败。

“修改AD服务器”，随便选一个域账户来检测，结果失败了，同样提示：管理员绑定失败。

根据提示，在此处重新填写域管理员账号和密码，确认与域控一致，再次检测，提示通过。

原因分析：防火墙上绑定的域管理员密码过期了，域服务器上修改过后，防火墙上没有及时更新所致。

然后，“修改服务器导入策略”，把全部导入改为只导入OU，“确定”后，再次尝试手动导入域用户，提示导入成功。

通知客户端用UniVPN软件再次尝试远程拨入，成功，内网资源可以访问。

案例3、同样是华为防火墙配置的L2TP over IPSEC，同样是用UniVPN远程拨入失败，但是错误信息不同，这次是显示警告：“隧道保活超时或协商超时。”

华为官方的资料提示，可能的原因有：1、安全策略未放行自身到L2TP报文；2、防火墙上未启用L2TP功能；3、UniVPN上配置的“隧道名称”与防火墙上的“对端隧道名称”不符；4、两端“隧道密码认证”设置不同；5、两端IPSEC安全协议配置不同；6、路由不可达。    

根据官方资料，逐一排查，很遗憾，与以上原因无关。

当客户端软件UniVPN警告报错的时候，防火墙上是显示连接已经建立，此时执行命令：dis ike error，也没有报错信息，但是实际上，远端PC与内网是无法通讯的。

而且，一旦点击下面图片中的“确定”按钮，防火墙中已建立的连接，立刻就会消失，那当然就更不通了。

一时陷入僵局，百爪挠心，又无从下手，认真仔细地看防火墙上的配置吧。