L2TP Client-initated场景

笑中取栗

已于 2023-10-17 13:19:34 修改

阅读量771

点赞数

分类专栏：计算机网络文章标签：网络网络协议 tcp/ip HCIE

于 2023-04-23 12:28:14 首次发布

本文链接：https://blog.csdn.net/mxl00z/article/details/130315529

版权

计算机网络专栏收录该内容

2 篇文章 20 订阅

订阅专栏

该文详细介绍了L2TPClient-Initiated场景的四个阶段，包括隧道创建、会话建立和PPP连接。在实验部分，展示了USG6000V防火墙的配置步骤，如接口设置、地址池分配、认证域和服务方案配置，以及L2TP组和安全策略的设定。此外，还提到了PC1的路由配置和实验文件的下载链接。

摘要由CSDN通过智能技术生成

L2TP Client-initated场景

1. 原理

![原理](https://img-blog.csdnimg.cn/66ce3169502b4252bca5d9d7a6c0027c.png)

1.1 阶段1：创建L2TP隧道
C与LNS通过交互三条消息协商隧道ID、UDP端口（1701）、主机名称、L2TP版本、隧道验证等参数。
隧道建立报文
协商抓包
1.2 阶段2：创建L2TP会话
C与LNS通过三条消息协商会话ID 协商会话ID报文
1.3 阶段3：创建PPP连接
1.4 阶段4：数据封装传输

数据封装传输抓包

2.实验

2.1 拓扑图

拓扑图

2.2 配置

FW2
	型号：USG6000V
	初始账号密码：admin   Admin@123	
	修改后的账号密码：admin abc123..

（0）初始配置
	interface GigabitEthernet1/0/1
 	 undo shutdown
 	 ip address 1.1.1.1 255.255.255.0
 	 
 	interface GigabitEthernet1/0/0
	 undo shutdown
	 ip address 192.168.1.254 255.255.255.0
 	 service-manage ping permit 
 	 
==================防火墙区域划分===========================
	firewall zone trust
	 add interface GigabitEthernet1/0/0
	 add interface Virtual-Template1
	 
	firewall zone untrust
	 add interface GigabitEthernet1/0/1
	
（1）配置地址池
	ip pool pool1
 	 section 1 10.2.1.2 10.2.1.100
（2）接入用户使用业务方案
	aaa
	 service-scheme l2tp
	  ip-pool pool1
（3）配置认证域，应用业务方案
	aaa
	 domain net1
	  service-scheme l2tp
	  service-type l2tp
（4）配置用户（ENSP重启消失，需要重新配置）
	user-manage user l2tpuser1 domain net1
	 password Huawei@123
（5）开启L2TP
	l2tp enable
（6）配置虚拟接口模板
	interface Virtual-Template1
	 ppp authentication-mode chap
	 remote service-scheme l2tp
	 ip address 10.2.1.1 255.255.255.0
	 service-manage ping permit
（7）配置L2TP组
	l2tp-group 2
 	 tunnel password cipher 123456 //指定隧道认证密码
 	 allow l2tp virtual-template 1 remote llcmac //指定客户端主机名
（8）安全策略
	security-policy
	 rule name 10 //用于控制报文发送
	  source-zone local
	  destination-zone untrust
	  source-address 1.1.1.1 mask 255.255.255.255
	  action permit
	 rule name 20 //用于控制报文接收
	  source-zone untrust
	  destination-zone local
	  destination-address 1.1.1.1 mask 255.255.255.255
	  action permit
	 rule name 30 //用于私网数据发送（LNS->C）
	  source-zone trust
	  destination-zone untrust
	  source-address 192.168.1.0 mask 255.255.255.0
	  action permit
	 rule name 40 //用于私网数据接收（C-->LNS）
	  source-zone untrust
	  destination-zone trust
	  destination-address 192.168.1.0 mask 255.255.255.0
	  action permit