HUAWEI防火牆通過L2TP隧道讓外出員工訪問公司內網的各種資源
組網圖形
組網需求
- 企業網路如圖所示，企業希望公司外的移動辦公用戶能夠通過L2TP VPN隧道訪問公司內網的各種資源。
操作步驟
配置LNS。
- 1.配置介面IP地址，並將介面加入安全區域。
<LNS> system-view [LNS] sysname LNS [LNS] interface GigabitEthernet 1/0/1 [LNS-GigabitEthernet1/0/1] ip address 1.1.1.1 24 [LNS-GigabitEthernet1/0/1] quit [LNS] firewall zone untrust [LNS-zone-untrust] add interface GigabitEthernet 1/0/1 [LNS-zone-untrust] quit [LNS] interface GigabitEthernet 1/0/2 [LNS-GigabitEthernet1/0/2] ip address 10.1.1.1 24 [LNS-GigabitEthernet1/0/2] quit [LNS] firewall zone trust [LNS-zone-trust] add interface GigabitEthernet 1/0/2 [LNS-zone-trust] quit
- 2.配置地址池。
如果真實環境中地址池地址和總部內網地址配置在了同一網段，則必須在LNS連接總部網路的介面上開啟ARP代理功能，保證LNS可以對總部網路伺服器發出的ARP請求進行應答。
[LNS] ip pool pool [LNS-ip-pool-pool] section 1 172.16.1.2 172.16.1.100 [LNS-ip-pool-pool] quit
- 3.配置業務方案。
[LNS] aaa [LNS-aaa] service-scheme l2tp [LNS-aaa-service-l2tp] ip-pool pool [LNS-aaa-service-l2tp] quit
- 4.配置認證域及其下用戶。
a. 配置認證域。
說明:
如果需要對L2TP接入用戶進行基於用戶名的策略控制，認證域的接入控制必須包含internetaccess。
[LNS-aaa] domain default [LNS-aaa-domain-default] service-type l2tp
b. 配置分支用戶及其對應的用戶組。
[LNS] user-manage group /default/research [LNS-usergroup-/default/research] quit [LNS] user-manage user user0001 [LNS-localuser-user0001] parent-group /default/research [LNS-localuser-user0001] password Password123 [LNS-localuser-user0001] quit
- 5.配置VT介面。
[LNS] interface Virtual-Template 1 [LNS-Virtual-Template1] ip address 172.16.1.1 24 [LNS-Virtual-Template1] ppp authentication-mode pap [LNS-Virtual-Template1] remote service-scheme l2tp [LNS-Virtual-Template1] quit [LNS] firewall zone dmz [LNS-zone-dmz] add interface Virtual-Template 1 [LNS-zone-dmz] quit
- 6.配置L2TP Group。
[LNS] l2tp enable [LNS] l2tp-group 1 [LNS-l2tp-1] allow l2tp virtual-template 1 remote client [LNS-l2tp-1] tunnel authentication [LNS-l2tp-1] tunnel password cipher Hello123 [LNS-l2tp-1] quit
- 7.配置到Internet上的預設路由，假設LNS通往Internet的下一跳IP地址為1.1.1.2。
[LNS] ip route-static 0.0.0.0 0.0.0.0 1.1.1.2
- 8.配置LNS上的域間安全策略。
# 配置trust與dmz之間的安全策略，允許移動辦公用戶訪問總部內網以及總部內網訪問移動辦公用戶的雙向業務流量通過。
[LNS] security-policy [LNS-policy-security] rule name service_td [LNS-policy-security-rule-service_td] source-zone trust [LNS-policy-security-rule-service_td] destination-zone dmz [LNS-policy-security-rule-service_td] source-address 10.1.2.0 24 [LNS-policy-security-rule-service_td] destination-address 172.16.1.0 24 [LNS-policy-security-rule-service_td] action permit [LNS-policy-security-rule-service_td] quit [LNS-policy-security] rule name service_dt [LNS-policy-security-rule-service_dt] source-zone dmz [LNS-policy-security-rule-service_dt] destination-zone trust [LNS-policy-security-rule-service_dt] source-address 172.16.1.0 24 [LNS-policy-security-rule-service_dt] destination-address 10.1.2.0 24 [LNS-policy-security-rule-service_dt] action permit [LNS-policy-security-rule-service_dt] quit
# 配置從untrust到local方向的安全策略，允許L2TP報文通過。
[LNS-policy-security] rule name l2tp_ul [LNS-policy-security-rule-l2tp_ul] source-zone untrust [LNS-policy-security-rule-l2tp_ul] destination-zone local [LNS-policy-security-rule-l2tp_ul] destination-address 1.1.1.0 24 [LNS-policy-security-rule-l2tp_ul] action permit [LNS-policy-security-rule-l2tp_ul] quit
配置移動辦公用戶側的SecoClient。
- 1.打開SecoClient，進入主介面。
在「連接」對應的下拉列表框中，選擇「新建連接」。
- 2.配置L2TP VPN連接參數。
在「新建連接」窗口左側導航欄中選中「L2TP/IPSec」，並配置相關的連接參數，然後單擊「確定」。隧道驗證密碼是Hello123。
- 3.登錄L2TP VPN網關。
a.在「連接」下拉列表框中選擇已經創建的L2TP VPN連接，單擊「連接」。
b.在登錄介面輸入用戶名、密碼。
c.單擊「登錄」，發起VPN連接。
VPN接入成功時，系統會在介面右下角進行提示。連接成功後移動辦公用戶就可以和企業內網用戶一樣訪問內網資源了。
結果驗證
- 1.移動辦公用戶可正常訪問總部內網伺服器。
- 2.在LNS上查看L2TP隧道的建立情況，此處以LNS為例。
a.執行display l2tp tunnel命令，查看到有L2TP隧道資訊，說明L2TP隧道建立成功。
[LNS] display l2tp tunnel
L2TP::Total Tunnel: 1
LocalTID RemoteTID RemoteAddress Port Sessions RemoteName VpnInstance
------------------------------------------------------------------------------
2 1 2.2.2.2 61535 1 client
------------------------------------------------------------------------------
Total 1, 1 printed
b.執行display l2tp session命令，查看到有L2TP會話資訊，說明L2TP會話建立成功。
[LNS] display l2tp session
L2TP::Total Session: 1
LocalSID RemoteSID LocalTID RemoteTID UserID UserName VpnInstance
------------------------------------------------------------------------------
119 32 2 1 9689 user0001
------------------------------------------------------------------------------
Total 1, 1 printed
