华为L2TP NAS initial 配置详解以及安全策略的原理

已于 2022-04-04 10:41:21 修改
阅读量2.6k 收藏 28
点赞数 1
分类专栏： 华为 HCIA/HCIP sercurity 文章标签： 网络 安全
于 2022-04-03 21:15:19 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_47529104/article/details/123943392
版权

基本互联就不说了！！！，安全策略在尾部讲解

一、NAS与客户端的配置

（1）NAS PPPoe服务的提供

首先完成左边部分的NAS的PPPoe的服务提供，所以我们需要创建一个VT接口，并配置认证方式是chap还是pap

inter Virtual-Template 10 //创建虚拟模板

ppp auth chap //设置认证方式

创建完虚拟模板后，将该模板绑定到相应的端口

[NAS-GigabitEthernet1/0/1]pppoe-server  bind  virtual-template  10 

上述两步便完成了NAS端的PPPoe服务的提供

 创建并绑定完VT接口后，我们还需要创建用于验证的用户：

如果是防火墙：

user-manager user xxx  //创建用户xxx

password xxx //设置用户的密码

对于防火墙我觉得在web界面进行配置也未尝不可，而且还可以导入用户，在模拟器中的命令行界面中我只能创建default域的用户，在web界面可以创建其他域的用户，每个域都可以设置它们的service-type，default默认的service-type 是所有的都可以，如下图所示：

 其中internetaccess代表带可以用于网络接入，ssl-vpn就是用于sslvpn，还有用于l2tp，以及IPsec。所以我们使用本地认证的时候就直接创建用户即可，不用指明用户所属的域，默认创建的用户属于default域，所以default域中的用户默认就是可以用于l2tp的。

（2）客户端PPPoe的拨号配置

创建完模板之后，输入dialer-rule
进入拨号规则视图，输入dialer-rule 1 ip permit //表示当有ip流量经过的时候触发pppoe会话

接入方也需要创建模板，但是是拨号模板
inter dialer 1
link-protocol ppp //将封装协议改为ppp
dialer user xxx //该user名随意，主要起区分流量的作用
dialer-group 1 //将拨号模板加入到一个一个组当中，该组的组号一定要和之前制定的dialer-rule的编号相同
dialer bundle 1 //创建一个拨号模板的标识，后面的编号和前面拨号组的编号相同
ppp chap user xxx
ppp chap password xxx //这一块的设置与普通的ppp配置相同，设置用户和密码，用作
ppp的认证
ip address ppp-negotiate //配置ip地址的获取是通过对端
最后将拨号模板绑定到某个端口上，作为拨号端口
inter g0/0/0
 pppoe-client dial-bundle-number  1

（3）NAS 的l2tp的配置

l2tp enable //开启l2tp的功能

l2tp-group 1 //创建l2tp的组，其主要功能就是区分不同用户，不同的用户使用不同的组，不同的组意味着不同的L2TP的隧道

start l2tp ip 1.1.1.2 domain default/fullusername  xxx //表示该l2tp组对应的LNS的IP地址是多少，如果使用的是domain xxx那么意思就是标识使用该组的用户属于哪个域，如果是fullusername，那么就是仅仅限制指定用户名的用户去使用该组

tunnel authen //表示开启隧道认证

tunnel password  xxx //设置隧道的密码

tunnel name xxx //用户后续与LNS进行隧道连接，LNS会对L2TP组使用字符串进行标识，只有隧道名字匹配才能进行隧道建立

tunnel timer hello xxx /隧道通过发送Hello报文保活，其实就是PPP的链路保活

二、LNS的配置

（1）零碎配置

ip pool xxx //创建地址池用于后续PPP协商成功后进行地址的分配，地址池最好不要和私网地址同网段，因为这样的话私网主机回包的时候会认为目的主机在同网段，这个时候还要去配置接口的arp代理功能

section xxx xxx //设置地址池的地址范围，可以不设置网关，因为设置了也没有使用的，后面的客户端只要有流量全部都往拨号接口发送。

aaa //进入aaa视图

aaa视图下：service-scheme xxx //创建业务方案，因为在防火墙中的VT接口无法直接指定地址池，只能指定service-scheme，所以我们需要先创建service-scheme，然后将地址池与其绑定，然后再由VT接口根据service-scheme中的地址池进行地址的分发。

interface Virtual-Template 10 //创建VT接口，主要用于PPP相关功能的提供

IP address xxxx //随便配置一个地址就行

ppp auth chap/pap //可以不配置认证模式，如果要进行二次验证的话，就需要配置该命令

remote servcie-scheme xxx //将service-scheme与VT接口进行绑定

（2）L2TP配置

l2tp enable  //开启l2tp功能

l2tp-group 1 //创建l2tp组

allow l2tp virtual-template 10 remote xxx domain xxx //创建来2tp功能模块与VT接口之间的联动，同时指定该接口对外开放的标识为xxx，以及该l2tp组允许哪个域内的用户使用

tunnel authe //开启tunnel验证

tunnel password xxx //设置隧道的密码

tunnel timer hello xxx //设置隧道的hello报文发送时间

  1. 可选：配置二次认证。

    在NAS-Initiated场景中，用户身份认证有两种方案，一种是仅使用NAS对用户做身份认证，另一种是NAS和LNS分别对用户做身份认证（也叫二次认证）。认证方案的选择由LNS侧的配置控制。

    • 代理认证

      表示仅使用NAS进行用户认证，LNS不对用户再进行二次身份认证。这种方式下，LNS侧的VT接口下不用配置用户认证方式。

    • 强制CHAP认证

      表示NAS认证完用户身份以后，LNS要求用户使用CHAP方式重新进行身份认证，该方式属于二次身份认证。如果使用强制CHAP认证时，VT接口下的认证方式也要配置CHAP方式。

    • LCP重协商

      表示LNS不信任NAS的认证结果，要求用户重新与LNS进行LCP协商并进行身份认证，该方式属于二次身份认证。

      如果使用LCP重协商时，VT接口下也要配置与拨号用户侧相同的认证方式。

    LNS侧默认使用的是代理认证方式，即不对用户做二次认证。

 

（3）用户创建

user-manager user xxx //创建用户

用户视图下：password xxx //设置密码

 用户这样创建后默认的域还是default，所以适用于L2TP，可以看上面，这里不做解释

安全策略

表1 NAS和LNS的安全策略匹配条件
业务方向设备源安全区域目的安全区域源地址目的地址应用
拨号用户访问企业内网NASLocalUntrust1.1.1.1/322.2.2.2/32L2TP
LNSUntrustLocal1.1.1.1/322.2.2.2/32L2TP
DMZTrust172.16.1.2/24～172.16.1.100/24（地址池地址）192.168.1.0/24*
企业总部服务器访问拨号用户LNSTrustDMZ192.168.1.0/24172.16.1.2/24～172.16.1.100/24（地址池地址）*

 这是华为产品文档给出的安全策略，下面给出原因：

1、NAS为什么只有一个安全策略

前提：在华为产品文档给出的例子中，它们的VT接口全部都是加入到DMZ区域中的

首先对于NAS的客户端侧来说，它接收的报文只有PPPoe报文，对于这些PPPoe报文发送到防火墙后就直接被VT接口处理，连路由的那一步都没有达到，所以更不要说对这些报文进行安全策略的匹配了，所以对于这些PPPoe报文，不需要进行安全策略的放行，至于数据的回包，我是这么思考的，数据回包到达NAS后将其交给l2tp功能模块处理，然后l2tp功能将隧道解封，然后交给VT接口，VT接口从与其绑定的接口将数据包发出，这个过程其实是当数据包交给VT接口处理后，该报文的源区域就变为DMZ了，然后再从VT接口所在的DMZ区域发出，因为是在同区域所以就没有限制。然后就是上图给出的local到untrust区域的放行策略，它主要是提供给隧道ID协商报文，会话协商报文，以及后续的数据报文的发送使用，首先是隧道ID协商报文和会话协商报文，它们是L2TP功能模块自身发出的，所以放行的是local到untrust，而对于数据报文，它会先传送到VT接口，然后VT接口将原生数据打上PPP的相关头部后转送给L2TP功能模块，于是数据报文其实本质上也是local到untrust。

2、NAS为什么不用放行untrust到local

因为在隧道协商和会话协商中，都是由NAS主导的，所以防火墙内部有会话表，所以不用放行。

3、LNS的策略解释

首先untrust-->local这个我相信大家都懂就不细说了，就是放行l2tp相关的协商报文。然后就是DMZ到trust区域，因为客户端的数据到达LNS后，会先交给l2tp功能模块将相关的隧道进行解封，然后l2tp功能模块将其交给VT接口处理，DMZ区域的VT接口将PPP的相关头部解除后，将其发送给处在trust区域的接口，所以我们需要DMZ--->Trust区域的安全策略。对于Trust-->DMZ的安全策略是用于内部主机的主动发包的，内部私网主机如果想要主动与L2TP隧道连接主机进行通信就需要用到这个安全策略，私网主机从trust区域将数据包发送给防火墙，然后防火墙将其交给VT接口，因为所有分配出去的用于隧道连接的地址都有相应的unr路由，如果目的地址为分配出去的地址的话，下一跳就是VT接口，因为私网主机是trust区域的，而下一跳时DMZ区域，所以要放行trust-->DMZ

参考文档：

HUAWEI USG6000E 产品文档

华为防火墙技术漫谈

Mllllk
关注
专栏目录
华为防火墙部署 l2tp over ipsec
jcjczjc的博客
01-26 2433
一般手机不能很好支持ssl vpn 和EAP认证, 客户需要部署L2TP OVER IPSEC 配置： interface Virtual-Template1 ppp authentication-mode chap ip address 172.16.19.1 255.255.255.0 firewall zone untrust set priority 5 add interface Dialer0 add interface Virtual-Template1 l2tp enab
华为ppoe配置
_Dong的博客
06-15 1917
client dialer-rule dialer-rule 1 ip permit //允许所有用户 interface Dialer0 link-protocol ppp ppp chap user test ppp chap password cipher test ip address ppp-negotiate dialer user test dialer bundle 1 # interface GigabitEthernet0/0/0 pppoe-client dial-bund.
l2tp的配置详解
02-06
l2tp实验配置，可以让你更快的去了解及掌握l2tp的使用方法及知识。
L2TP详解
热门推荐
u013485792的专栏
03-09 3万+
1.L2TP简介    L2TP（Layer 2 Tunneling Protocol，二层隧道协议）是VPDN（Virtual PrivateDial-up Network，虚拟私有拨号网）隧道协议的一种。VPDN隧道协议主要包括以下三种，目前使用最广泛的是L2TP。    a.PPTP（Point-to-Point Tunneling Protocol，点到点隧道协议）    b.L2F
《华为认证》L2TP VPN配置
2301_76769137的博客
08-12 2160
L2TP VPN
L2TP详解（二）
永远是少年
08-03 5911
今天继续给大家介绍HCIE安全。本文给大家介绍的是L2TP相关内容，包括L2TP的特点和应用场景。 强烈推荐阅读本文前置文章： L2TP详解（一） 一、L2TP隧道和会话建立过程 在LAC和LNS之间存在着两种类型的链接：隧道链接和会话链接。 隧道链接定义了互相通信的两个实体——LAC和LNS。并且在一对LAC和LNS之间可以建立多个L2TP隧道，隧道由一个控制链接和至少以下会话组成。L2TP首先需要建立L2TP隧道，然后再L2TP隧道上建立会话链接，最后建立PPP链接。所有的L2TP需要承载的数据信息都是
L2TP协议笔记3---基于华为系设备的L2TP配置
weixin_34413065的博客
08-18 812
笔记中着重记录在L2TP配置上一些个人经验的总结，至于详细的配置可参考H3C官网中的产品操作手册，写得很详细。 一、PC直连LNS配置 1、配置LNS链接PC的接口Ethernet 2/0/0的IP地址 [FW2] interface Ethernet 2/0/0 [FW2-Ethernet2/0/0] ip address192.168...
华为L2TP客户端工具
09-18
华为L2TP客户端工具，不用改注册表了,有需要的下载吧！
华为 ME60 V800R010C10SPC500 配置指南 - L2TP接入配置
04-05
【华为ME60 V800R010C10SPC500配置指南 - L2TP接入配置】 L2TP（Layer 2 Tunneling Protocol）是一种用于在公共网络上建立点对点连接的协议，常用于企业、小型ISP和移动办公人员的远程接入服务。华为ME60多业务控制...
华为L2TP+ipsec野蛮模式，nat穿越 配置实例
08-30
华为L2TP+ipsec野蛮模式，nat穿越 配置实例 。。。。。。。。。。。。。
华为服务器安装nas系统,服务器 nas 配置
weixin_28784019的博客
08-13 2266
服务器 nas 配置 内容精选换一换为了确保DBService日常数据安全，或者系统管理员需要对DBService进行重大操作(如升级或迁移等)时，需要对DBService数据进行备份，从而保证系统在出现异常或未达到预期结果时可以及时进行数据恢复，将对业务的影响降到最低。系统管理员可以通过FusionInsight Manager创建备份DBService任务并备份数据。支表1列出了云备份CBR的...
网络应用层之(6)L2TP协议详解
最新发布
Once_day的回忆
05-01 5219
第二层隧道(L2TP)协议，即，是一种常见的网络通讯协议，用于支持虚拟私人网络(VPN)的功能。它允许用户通过一个公共网络（如互联网）创建一个安全的虚拟专用通道来连接到远程网络，这种方式在远程工作和数据保密方面非常重要。L2TP是在1999年由因特网工程任务组(IETF)公布的，它结合了微软的PPTP(Point-to-Point Tunneling Protocol)和思科系统的L2F(Layer 2 Forwarding)技术的特点。
L2TP基本概述
ssslq的博客
03-27 4686
L2TP VPN
L2TP VPN 技术详解
HappyAston的博客
08-28 4368
L2TP VPN属于二层VPN，用于远程访问C/S结构，L2TP VPN是一种用于承载PPP报文的隧道技术，主要用在远程办公场景中为出差员工远程访问企业内网资源提供接入服务。二层隧道协议L2TP（Layer 2 Tunneling Protocol）是虚拟私有拨号网VPDN（Virtual Private Dial-up Network）隧道协议的一种，扩展了点到点协议PPP（Point-to-Point Protocol）的应用，是远程拨号用户接入企业总部网络的一种重要VPN技术。
L2TP client主动发起详解（含抓包）
qq_47529104的博客
04-02 3757
观看前提：具有PPP，PPPoe基础 L2TP概述 我们都知道PPP协议，它具有的独特的验证功能是以太网没有但是却一直想拥有的内容，因为以太网多个优点和高速率，由此产生出了PPPoe协议，将PPP报文承载在以太网结构上，于是PPP报文也可以在以太网上传输了。PPP协议大家都很喜欢的功能就是它的验证功能，虽然PPPoe实现了PPP报文在以太网链路的传输，但是因为它的发现报文的目的地址是广播包，所以这就导致PPPoe的作用范围仅仅局限在一段广播链路当中，虽然在最后一公里这并不是什么十分大的问题，但是如果假如
VPN技术：L2TP 介绍
2301_77691107的博客
12-20 9210
二层隧道协议第三版L2TPv3(Layer Two Tunneling Protocol - Version 3)是一种二层隧道技术，可以透传多种二层报文（如PPP、Ethernet、HDLC、ATM等），运用于用户侧的二层接入链路在分组交换网络中透明传递。用户需要在分支和总部或者分支之间建立二层连接时，可以通过部署VLL（Virtual Leased Line）来实现，但是VLL的部署成本太高。
移动用户远程接入L2TP配置详解
niaooer的博客
11-12 3320
移动用户远程接入L2TP-vpn配置详解 学会查找参考文档，和官方资料很重要 https://support.huawei.com/enterprise/zh/index.html 1.话不多说先上图： 图为模拟环境的基础环境配置 模拟软件：ensp 系统环境：win10 专业版 2.为了模拟真实环境下的用户远程接入，配置cloud和物理机虚拟网卡绑定，使物理机能够访问防火墙出接...
华为L2TP配置
gotonet的专栏
11-10 1万+
1.   PC-LAC-LNSPC通过PSTN拨入LAC，然后由LAC发起和LNS建立L2TP。【Router LAC】 sysname LAC# l2tp enable                                 /使能l2tp/ l2tp domain suffix-separator @              /domain的分隔符为@/ l2
HCIE-Security Day36：L2TP三种类型：NAS-Init、Client-Init、Call-LNS场景描述、原理分析
小梁的博客
04-11 2120
L2TP:Layer 2 Tunneling Protocol。二层隧道协议。用于承载PPP报文的隧道技术，该技术主要应用在远程办公场景中为出差员工远程访问企业内网资源提供接入服务。 ppp报文的传输问题 出差员工跨越Internet远程访问企业内网资源时需要使用ppp协议向企业总部申请内网IP地址，并需要经过总部的身份认证。但是ppp报文受其协议自身的限制不能在internet上直接传输。因为PPP（Point-to-Point Protocol）协议是一种点到点链路层协议，主要用于在全双工的同异步链
华为l2tp分支网关配置
05-05
以下是华为L2TP分支网关的配置示例： 1. 配置L2TP隧道接口 ``` interface Tunnel0 description L2TP tunnel interface l2tp tunnel password simple password l2tp source 10.1.1.1 l2tp remote 20.1.1.1 l2tp tunnel hello 10 l2tp tunnel timeout 60 l2tp tunnel retry 3 l2tp tunnel max-session 100 l2tp tunnel security policy 1 l2tp tunnel qos policy 1 ``` 解释： - `Tunnel0`：隧道接口的名称。 - `description`：描述信息，可选。 - `l2tp tunnel password`：设定L2TP隧道密码，建议使用复杂的密码。 - `l2tp source`：设定本地隧道接口的IP地址。 - `l2tp remote`：设定远端隧道接口的IP地址。 - `l2tp tunnel hello`：设定隧道保活消息发送间隔，默认为60秒。 - `l2tp tunnel timeout`：设定隧道保活超时时间，默认为120秒。 - `l2tp tunnel retry`：设定隧道保活失败后的重试次数，默认为3次。 - `l2tp tunnel max-session`：设定最大隧道会话数，默认为100个。 - `l2tp tunnel security policy`：设定隧道的安全策略编号。 - `l2tp tunnel qos policy`：设定隧道的QoS策略编号。 2. 配置L2TP会话接口 ``` interface GigabitEthernet0/0/1 description L2TP session interface l2tp tunnel-id 100 l2tp session-id 1 l2tp remote 20.1.1.1 l2tp password simple password l2tp source 10.1.1.1 l2tp hello 10 l2tp timeout 60 l2tp retry 3 l2tp max-session 100 ``` 解释： - `GigabitEthernet0/0/1`：会话接口的名称。 - `description`：描述信息，可选。 - `l2tp tunnel-id`：设定L2TP隧道标识符，需与隧道接口的标识符相同。 - `l2tp session-id`：设定L2TP会话标识符，需唯一。 - `l2tp remote`：设定远端会话接口的IP地址。 - `l2tp password`：设定L2TP会话密码，建议使用复杂的密码。 - `l2tp source`：设定本地会话接口的IP地址。 - `l2tp hello`：设定会话保活消息发送间隔，默认为60秒。 - `l2tp timeout`：设定会话保活超时时间，默认为120秒。 - `l2tp retry`：设定会话保活失败后的重试次数，默认为3次。 - `l2tp max-session`：设定最大会话数，默认为100个。 以上是L2TP分支网关的基本配置，如有特殊需求，可根据具体情况进行调整。在配置过程中，需要注意隧道和会话的标识符、密码、IP地址等信息的一致性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Mllllk

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值