l2tp 客户端_L2TP在防火墙USG5500上的运用

L2TP是一种隧道协议，企业或者个人可以直接通过以太网接入公司总部内部服务器连接。

L2TP分为2类，一个是NAS-Initiated VPN(基于LAC拨号的L2TP VPN)，一个是Client-Initiated VPN(通过vpn客户端直接拨号的L2TP VPN)

今天主要介绍一下Client-Initiated VPN

L2TP的VPN客户端主要是帮助用户在电脑上建立一条通往公司总部网络的隧道，从而让用户可以直接访问公司总部的网络。

看一个例子：

IP地址如拓扑图

AR1去ping主机192.168.2.2是不通的。

现在给虚拟机上的主机配置IP地址

然后在虚拟机里面去ping路由器上的接口，发现是可以 通的。

配置FW1的用户

[USG5500]aaa

[USG5500-aaa]local-user user1 password cipher 123

[USG5500-aaa]local-user user1 service-type ppp

[USG5500-aaa]ip pool 1 192.168.3.2 192.168.3.100

[USG5500-aaa]quit

[USG5500]l2tp enable //启用l2tp

[USG5500]interface Virtual-Template 1

[USG5500-Virtual-Template1]ip address 192.168.3.1 24

[USG5500-Virtual-Template1]ppp authentication-mode pap

[USG5500-Virtual-Template1]quit

再创建一个l2tp的组

[USG5500]l2tp-group 1

[USG5500-l2tp1]undo tunnel authentication

[USG5500-l2tp1]tunnel password cipher Huawei

[USG5500-l2tp1]allow l2tp virtual-template 1

[USG5500-l2tp1]quit

Windows拨号，需要安装一个vpn客户端软件

如果大家需要的话，可以私信我。

Vpn拨号的时候，要注意，用户名是：user1和密码：123，预共享密钥：huawei(h小写的)

首先虚拟机上的电脑是ping不通PC2的

[USG5500]policy interzone untrust local inbound

[USG5500-policy-interzone-local-untrust-inbound]policy 0

[USG5500-policy-interzone-local-untrust-inbound-0]policy destination 11.1.1.1 0

[USG5500-policy-interzone-local-untrust-inbound-0]action permit

[USG5500-policy-interzone-local-untrust-inbound-0]quit

[USG5500]firewall packet-filter default permit interzone dmz trust direction inbound // //之所以用这个命令，可以看后面的备注

现在我们来把虚拟机的系统进行vpn拨号连接到服务器上。。

拨号以后,就可以ping 通PC2了。

备注：

如果执行这个以下的命令，拨号的时候去ping的时候，就会死机。不知道是不是eNSP的bug.所以我把dmz到trust的流量全放开了。

policy interzone trust dmz inbound

policy 0

action permit

policy service service-set icmp //有没有这句都死机。

policy source 192.168.3.0 0.0.0.255 //有没有这句都死机

#