Cisco路由器配置基于L2TP的IPSec接入服务器

本文描述了如何在一台Cisco IOS Router上配置基于L2TP的IPSec VPN，并且允许远程的Windows客户端用户，使用Windows自带的功能进行VPN拨入。

飘红部分表示配置的关键命令。

!
!
aaa new-model //开启AAA
!
!
aaa authentication ppp default local //使用本地用户名和密码验证PPP拨入
aaa authorization network default local
!        
aaa session-id common
!
!
vpdn enable //开启VPDN
!        
vpdn-group 1 //VPDN组1
! Default L2TP VPDN group
 accept-dialin //接受拨入
  protocol l2tp //使用L2TP协议
  virtual-template 1 //虚拟模版1
 no l2tp tunnel authentication //不对L2TP隧道进行验证
!
!
username user password 7 120C161200 //本地的用户名和密码
!
!
!
crypto isakmp policy 10 //isakmp策略，编号是10。可以存在多个isakmp策略，按编号从小到大依次匹配。
 encr 3des //3DES加密
 authentication pre-share //使用预共享密钥
 group 2 //DF组2
crypto isakmp key user address 0.0.0.0 0.0.0.0 //设置预共享密钥。如果有多个预共享密钥，则遵循掩码最长匹配原则。
!
!
crypto ipsec transform-set set-10 esp-3des esp-sha-hmac //ipsec变换集
 mode transport //Windows的客户端默认是transport模式
!
crypto dynamic-map dyn1 10 //动态映射
 set nat demux //打开NAT支持
 set transform-set set-10 //关联IPSec变换集10
!
!
crypto map l2tp_vpn client configuration address respond
crypto map l2tp_vpn 10 ipsec-isakmp dynamic dyn1 //关联动态映射
!
!
!
interface Ethernet0 //PPPoE的物理接口
 no ip address
 pppoe enable group global
 pppoe-client dial-pool-number 1
!
interface FastEthernet0 //连接内部局域网
 ip address 192.168.1.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
 ip tcp adjust-mss 1414
 speed auto
!
interface Virtual-Template1 //虚拟模版1
 ip address 192.168.4.1 255.255.255.0 //为便于管理，划分到一个局域网内不存在的子网
 ip tcp header-compression ietf-format //tcp头压缩，不是必须的
 peer default ip address pool vpn_pool //给客户端指定IP地址池，另一种方法是通过DHCP分配。
 ppp mtu adaptive //自适应MTU
 ppp encrypt mppe auto passive //自动协商PPP加密，不是必须的
 ppp authentication pap chap ms-chap-v2 callin //支持的验证方式，这里有pap、chap和ms-chap-v2
 ppp chap hostname user //这里稍微废话两句。这算是一个小问题，因为AAA要做本地验证，所以一定会有username命令出现。这样chap就认为PPP连接需要双向验证，而且自动发送的是路由器的主机名。这个命令让chap以特定的用户名进行双向验证，用户名是上面username命令中设置的。
!
interface Dialer0 //PPPoE拨号接口
 ip address negotiated
 ip mtu 1454 //思科设置为1454可以减少报头在总流量中的占用率，跑得快。。。
 ip nat outside
 ip virtual-reassembly max-reassemblies 256
 encapsulation ppp
 dialer pool 1
 ppp authentication pap callin
 ppp pap sent-username abc password 123456
 crypto map l2tp_vpn //在接口上应用crypto映射（这个接口是希望接受VPN拨入的接口）
 max-reserved-bandwidth 80
!
ip local pool vpn_pool 192.168.4.10 192.168.4.19 //本地的地址池，用于指配给VPN客户端，跟虚拟模版在一个子网里。

 

经实践证明：

客户端可以使用Windows系统（xp或win7），可以在PAT路由器的后面，也可以直接接入Internet，可以使用Windows创建的VPN连接拨入。可以正确获得IP、服务器IP、DNS（如果路由器上设置过），可以通过路由器访问路由器下的其它直连和非直连子网。

3DES、SHA、DH组2，对于Windows xp和更高的版本来说，是一个安全级别比较低的策略，不过也可以用。Windows在尝试连接的时候，会按安全性由高到低尝试N个自己的策略。

Cisco 1721，配合VPN加速模块，目前测试来看达到512Kbps的线速转发是没问题的，在开着SDM的情况下CPU占用12%。（ADSL线路的上行，也没法再快了）

 

目前还没有研究客户端用路由器怎么做（应该会比较简单），弄好了之后再在上面封装个GRE，俺的跨越半个地球的安全线路就算可以大功告成了。