前两篇的文章带大家认识了VPN技术的实用性，在拨号连接方式与总部进行通信，但是实际工作运用中L2TP由于协议设定时间比较早，其在数据传输的过程中是以明文方式不加密的，就跟telnet一样，你用抓包工具都能捕获到具体信息，所以一些对数据安全性比较敏感的企业就不能使用这种单纯L2TP模式，至少得L2TP over IPSec方式传输。

今天KB小网管就给大家分享一下分支机构与总部之间通过L2TP over IPSec方式实现安全互通的示例。

（VISIO作图果然美观，虽然没有eNSP上简单方便，^_^）

如上图所示，分公司用户通过LAC接入LNS以访问总部内网，在LAC和LNS之间交互的数据通过IPSec加密后传输。发起方和接收方IPSec策略绑定在外网接口，即L2TP封装后，再进行IPSec封装。

怕新手看不懂VISIO图，再加个eNSP的截图。废话少说上配置文件。

LAC配置文件：

<Huawei>sys

Enter system view, return user view with Ctrl+Z.

[Huawei]sysn LAC

[LAC]l2tp enable //使能L2TP

[LAC]acl nu

[LAC]acl number 3000 //配置ACL规则，用于L2TP封装为外网地址后加密

[LAC-acl-adv-3000]rule 0 permit ip source 12.1.1.2 0 destination 12.1.1.1 0 //报文L2TP封装后，源地址和目的地址变为外网地址

[LAC-acl-adv-3000]q

[LAC]ipsec proposal lac //配置安全提议

[LAC-ipsec-proposal-lac]esp authentication-algorithm sha2-512 //身份验证方式为sha2-512

[LAC-ipsec-proposal-lac]esp encryption-algorithm aes-256 //加密算法为aes-256

[LAC-ipsec-proposal-lac]q

[LAC]ike peer lac v1 //配置IKE对等体及其使用的协议IKE v1

[LAC-ike-peer-lac]pre-shared-key cipher KBxiaowangguan //配置预共享密钥认证为密文显示KB小网管拼音

[LAC-ike-peer-lac]remote-address 12.1.1.1 //集团总部的公网IP

[LAC-ike-peer-lac]q

[LAC]ipsec policy lac 1 isakmp //配置安全策略

[LAC-ipsec-policy-isakmp-lac-1]security acl 3000

[LAC-ipsec-policy-isakmp-lac-1]ike-peer lac

[LAC-ipsec-policy-isakmp-lac-1]proposal lac

[LAC-ipsec-policy-isakmp-lac-1]q

[LAC]int g0/0/1

[LAC-GigabitEthernet0/0/1]ip address 12.1.1.2 24 //分公司的公网IP地址

[LAC-GigabitEthernet0/0/1]ipsec policy lac //在出口处进行第二次的IPSec封装

[LAC-GigabitEthernet0/0/1]q

[LAC]int g0/0/0

[LAC-GigabitEthernet0/0/0]ip address 192.168.1.1 24 //分公司内网网关

[LAC-GigabitEthernet0/0/0]q

[LAC]int Virtual-Template 1 //配置虚拟PPP用户的用户名和密码，及PPP验证方式以及IP地址

[LAC-Virtual-Template1]ppp chap user yang

[LAC-Virtual-Template1]ppp chap password cipher woyaoyuanchuang

[LAC-Virtual-Template1]ip address ppp-negotiate //配置地址协商

[LAC-Virtual-Template1]l2tp-auto-client enable //启用L2TP自拨号方式

[LAC-Virtual-Template1]q

[LAC]l2tp-group 1 //设置一个L2TP组并配置相关属性

[LAC-l2tp1]tunnel password cipher woyaoyuanchuang2 //缺省使能隧道认证，配置密文密码为“我要原创2”，和对端认证一致

[LAC-l2tp1]tunnel name LAC

[LAC-l2tp1]start l2tp ip 12.1.1.1 fullusername yang

[LAC-l2tp1]q

[LAC]ip route-static 192.168.0.0 255.255.255.0 Virtual-Template 1 preference 40 //配置静态路由

[LAC]ip route-static 0.0.0.0 0.0.0.0 12.1.1.1 //配置回城路由

[LAC]

LNS配置文件：

<Huawei>sys

Enter system view, return user view with Ctrl+Z.

[Huawei]sysn LNS

[LAC]l2tp enable //使能L2TP

[LNS]acl number 3000 //配置ACL策略

[LNS-acl-adv-3000]rule 0 permit ip source 12.1.1.1 0 destination 12.1.1.2 0

[LNS-acl-adv-3000]q

[LNS]ipsec proposal lns//配置安全提议

[LNS-ipsec-proposal-lns]esp authentication-algorithm sha2-512

[LNS-ipsec-proposal-lns]esp encryption-algorithm aes-256

[LNS-ipsec-proposal-lns]q

[LNS]ike peer lns v1//配置IKE对等体及其使用的协议V1

[LNS-ike-peer-lns]pre-shared-key cipher KBxiaowangguan//配置预共享密钥认证为密文显示KB小网管拼音

[LNS-ike-peer-lns]remote-address 12.1.1.2 //对端公网IP地址

[LNS-ike-peer-lns]q

[LNS]ipsec policy lns 1 isakmp //配置安全策略

[LNS-ipsec-policy-isakmp-lns-1]security acl 3000

[LNS-ipsec-policy-isakmp-lns-1]ike-peer lns

[LNS-ipsec-policy-isakmp-lns-1]proposal lns

[LNS-ipsec-policy-isakmp-lns-1]q

[LNS]ip pool ToGroup //配置IP地址池

Info: Its successful to create an IP address pool.

[LNS-ip-pool-ToGroup]gateway-list 192.168.11.1

[LNS-ip-pool-ToGroup]network 192.168.11.0 mask 255.255.255.0

[LNS-ip-pool-ToGroup]q

[LNS]aaa //配置本地用户

[LNS-aaa]local-user yang password cipher woyaoyuanchuang

Info: Add a new user.

[LNS-aaa]local-user yang privilege level 0

[LNS-aaa]local-user yang service-type ppp

[LNS-aaa]q

[LNS]int Virtual-Template 1 //创建虚模板Virtual-Template并配置认证方式、IP地址及接口地址池

[LNS-Virtual-Template1]ppp authentication-mode chap

[LNS-Virtual-Template1]ip address 192.168.11.1 24

[LNS-Virtual-Template1]q

[LNS]int g0/0/1

[LNS-GigabitEthernet0/0/1]ip address 12.1.1.1 24 //集团总部公网IP地址

[LNS-GigabitEthernet0/0/1]ipsec policy lns //在出口处进行第二次的IPSec封装

[LNS-GigabitEthernet0/0/1]q

[LNS]int g0/0/0

[LNS-GigabitEthernet0/0/0]ip address 192.168.0.1 24 //集团内网网关

[LNS-GigabitEthernet0/0/0]q

[LNS]l2tp-group 1 //设置一个L2TP组并配置相关属性

[LNS-l2tp1]allow l2tp virtual-template 1 remote LAC

[LNS-l2tp1]tunnel password cipher woyaoyuanchuang2

[LNS-l2tp1]tunnel name LNS

[LNS-l2tp1]q

[LNS]ip route-static 192.168.1.0 255.255.255.0 Virtual-Template 1 preference 40 //配置静态路由

[LNS]ip route-static 0.0.0.0 0.0.0.0 12.1.1.2 //配置回城路由

[LNS]

测试结果

LAC或者LNS上命令display ike sa和 dispaly l2tp tunnel

分公司网络ping总部的服务器要ping通

配置注意事项：

1、LAC和LNS配置的验证用户名和密码必须统一。

2、发起方和接收方IPSec策略绑定在外网接口，即L2TP封装后，再进行IPSEC封装。

以上就是今天跟大家分享的比较安全的L2TP over IPSec的连接方式，有什么疑问的可以在评论区留言。关注KB小网管，每日分享一篇网络实用技能。