H3C-防火墙L2TP VPN的配置方法(华三）

最新推荐文章于 2024-05-02 21:05:11 发布

我恨路由交换！

最新推荐文章于 2024-05-02 21:05:11 发布

阅读量1.4k

点赞数 23

文章标签：服务器网络运维网络安全网络协议华为

本文链接：https://blog.csdn.net/m0_68265458/article/details/137595141

版权

1.配置需求

防火墙采用固定IP地址的方式部署在公司互联网出口，运营商提供的IP地址为198.76.28.30/30，网关为198.76.28.29，DNS地址为221.228.255.1。初步规划防火墙使用3接口接入运营商，使用4接口连接内部网络，内部网络使用192.168.10.0网段。

需求：（1）要求内网终端可以自动获取到地址并可以访问互联网。

（2）公司外部办公人员需要通过拨号VPN连入公司内网。

2.组网图

3.配置步骤

3.1配置外网接口

[FW]int g1/0/3
[FW-GigabitEthernet1/0/3]ip add 198.76.28.30 30

3.2配置内网接口

[FW]int g1/0/4
[FW-GigabitEthernet1/0/4]ip add 192.168.10.1 24

3.3配置NAT地址转换

[FW]int g1/0/3
[FW-GigabitEthernet1/0/3]nat outbound

3.4配置到外网网关的静态路由

[FW]ip route-static 0.0.0.0 0 198.76.28.29

3.5建立VPN拨号账户

[FW]local-user vpnuser class network #用户vpnuser，密码123

[FW-luser-network-vpnuser]password simple 123
[FW-luser-network-vpnuser]service-type ppp

3.6开启L2TP功能，创建用户地址池，创建接口，创建组1

[FW]l2tp enable

[FW]ip pool 1 192.168.100.2 192.168.100.254
[FW]ip pool 1 gateway 192.168.100.1

[FW]int Virtual-Template 1 #PPP认证为chap，使用地址池1分配地址

[FW-Virtual-Template1]ppp authentication-mode chap domain system
[FW-Virtual-Template1]ip add 192.168.100.1 24
[FW-Virtual-Template1]remote address pool 1

[FW]l2tp-group 1 mode lns #创建LNS模式
[FW-l2tp1]tunnel name LNS #隧道本端名称
[FW-l2tp1]allow l2tp virtual-template 1 #指定接受呼叫叫的虚拟模板接口VT1
[FW-l2tp1]undo tunnel authentication

3.7配置外网接口，VT接口加入untrust安全区域

[FW]security-zone name Untrust
[FW-security-zone-Untrust]import int g1/0/3
[FW-security-zone-Untrust]import int Virtual-Template 1

3.8配置内网接口加入trust安全区域

[FW]security-zone name trust
[FW-security-zone-Trust]import int g1/0/4

3.9配置安全策略将trust到untrust域内网数据放通

[FW]object-policy ip pass #创建对象策略pass
[FW-object-policy-ip-pass]rule 0 pass

[FW]zone-pair security source trust destination untrust
[FW-zone-pair-security-Trust-Untrust]object-policy apply ip pass

3.10配置安全策略将trust到local，local到trust数据放通

[FW]zone-pair security source trust destination local

[FW-zone-pair-security-Trust-Local]object-policy apply ip pass

[FW]zone-pair security source local destination trust
[FW-zone-pair-security-Local-Trust]object-policy apply ip pass

3.11配置安全策略将untrust到local目的端口为UDP1701端口放通

[FW]object-group service 1701 #创建服务对象1701匹配1701端口
[FW-obj-grp-service-1701]service udp destination eq 1701

[FW]object-policy ip 1701
[FW-object-policy-ip-1701]rule pass service 1701

[FW]zone-pair security source untrust destination local
[FW-zone-pair-security-Untrust-Local]object-policy apply ip 1701

[FW]zone-pair security source local destination untrust
[FW-zone-pair-security-Local-Untrust]object-policy apply ip 1701

3.12配置安全将untrust到trust访问内网资源的数据放通

[FW]object-group ip address neiwang #创建地址对象匹配内网数据
[FW-obj-grp-ip-neiwang]network subnet 192.168.10.0 24
[FW]object-policy ip neiwang
[FW-object-policy-ip-neiwang]rule pass destination-ip neiwang

[FW]zone-pair security source untrust destination trust
[FW-zone-pair-security-Untrust-Trust]object-policy apply ip neiwang

3.13配置DHCP服务