hcie-security内容修订17套第一部分hc l2tp

1、修订记录课程编码适用产品产品版本课程版本ISSUEHC13031063USG6000V1R1V1.0开发/优化者时间审核人开发类型（新开发/优化）戴鑫2014-08-15王锐开发丁祖贤2015-03-20优化本页不打印HC13031063L2TP VPN技术 目标学完本课程后，您将能够:了解L2TP VPN的相关组件和工作原理；掌握L2TP over IPsec的工作原理；在USG系列设备上熟练配置L2TP over IPsec；可以对L2TP over IPsec 进行故障排查和解决问题。 目录L2TP 协议技术介绍L2TP over IPsec 实验演示2.1 Client-Initiat

2、ed VPN场景L2TP 维护和排障L2TP 协议技术介绍VPDN（Virtual Private Dial-up Network，虚拟私有拨号网）PPP （Point to Point Protocol）L2TP 协议技术介绍L2TP 协议介绍（Layer 2 Tunneling Protocol，二层隧道协议）L2TP是IETF有关二层隧道协议的工业标准。L2TP源自于两个老的PPP隧道协议Cisco的Layer 2 Forwarding Protocol （L2F） 和Microsoft的PPTP。L2TP自身不提供安全机制（ confidentiality/authentication

3、 ），IPSec是保障L2TP安全性的首选，也就是L2TP over IPSec。L2TP所有数据都被封装在UDP/1701内。L2TP 协议组件用户LAC（L2TP Access Concentrator，L2TP访问集中器）LNS（L2TP Network Server，L2TP网络服务器）L2TP协议的封装结构L2TP和L2TP over IPsec封装结构L2TP和L2TP over IPsec封装结构L2TP控制消息和数据消息控制消息用于隧道和会话连接的建立、维护以及传输控制。控制消息的传输是可靠传输，并且支持对控制消息的流量控制和拥塞控制。数据消息则用于封装PPP帧并在隧道上传输。

4、数据消息的传输是不可靠传输，如果数据报文丢失，不予重传，不支持对数据消息的流量控制和拥塞控制。L2TP隧道和会话在LNS和LAC对之间存在着两种类型的连接：隧道（Tunnel）连接：它定义了互相通信的两个实体LNS和LAC。会话（Session）连接：它复用在隧道连接之上，用于表示承载在隧道连接中的每个PPP会话过程。L2TP的优点灵活的身份验证机制以及高度的安全性多协议传输支持RADIUS服务器的验证支持内部地址分配网络计费的灵活性可靠性L2TP隧道模式USG有三种方式可以建立连接：NAS-InitializedClient-InitializedLAC自主拨号 目录L2TP 协议技术介绍L

5、2TP over IPsec 实验演示2.1 Client-Initiated VPN场景L2TP 维护和排障Client-Initiated的L2TP VPN直接由接入用户（可为支持L2TP协议的PC）发起连接。此时接入用户可直接向LNS发起隧道连接请求，无需再经过一个单独的LAC设备。接入用户地址的分配由LNS来完成。由于LNS端需要为每个远程用户建立一条隧道，与NAS-Initiated VPN场景相比，LNS端配置更复杂一些。与其他两种场景相比，其优点在于接入用户不受地域限制。此场景适用于出差员工使用PC、手机等移动设备接入总部服务器，实现移动办公。Client-Initiated V

6、PN隧道和会话的建立Client-Initiated VPN组网数据封装过程Client-Initiated VPN实验演示配置相关参数基本网络配置(防火墙)sysname LNS#interface GigabitEthernet 0/0/0ip address 10.1.1.1 255.255.255.0#interface GigabitEthernet 0/0/1ip address 202.100.2.1 255.255.255.0#ip route-static 0.0.0.0 0.0.0.0 202.100.2.254L2TP基础配置-1(LNS)aaa ip pool 1 17

7、2.16.1.100 172.16.1.200#interface Virtual-Template 1 ip address 172.16.1.1 255.255.255.0 remote address pool 1 ppp authentication-mode chapfirewall zone trust add interface GigabitEthernet 0/0/0#firewall zone untrust add interface GigabitEthernet 0/0/1 add interface Virtual-Template 1Virtual-Templat

8、e 接口配置(LNS)配置接口加入安全区域(LNS)L2TP基础配置-2(LNS)security poicy rule name Trust_Untrust_L2TP source-zone trust source-zone untrust destination-zone trust destination-zone untrust source-address 192.168.1.0 24 source-address 10.1.1.0 24 destination-address 192.168.1.0 24 destination-address 10.1.1.0 24 actio

9、n permitsecurity poicy rule name Local_Untrust_L2TP source-zone local source-zone untrust destination-zone local destination-zone untrust source-address 202.100.1.1 32 source-address 202.100.2.1 32 destination-address 202.100.1.1 32 destination-address 202.100.2.1 32 action permit配置Trust和Untrust域间包过

10、滤（LNS）配置Local和Untrust域间包过滤（LNS）L2TP相关配置#开启 L2TP功能l2tp enable#创建并配置L2TP组l2tp-group 1 tunnel name LNS allow l2tp virtual-template 1 undo tunnel authenticationaaa local-user l2tpuser password cipher Password1 local-user l2tpuser service-type pppL2TP相关配置（LNS）测试和验证LACdisplay l2tp tunnel 04:00:37 2014/08/

11、08 Total tunnel = 1 LocalTID RemoteTID RemoteAddress Port Sessions RemoteName 1 2 202.100.2.1 1701 1 lnsLACdisplay l2tp session04:01:01 2014/08/08 Total session = 1 LocalSID RemoteSID LocalTID 12 2 1 测试和验证(PC访问总部Server)C:ping 10.1.1.10正在 Ping 10.1.1.10 具有 32 字节的数据:来自 10.1.1.10 的回复: 字节=32 时间=12ms TTL

12、=126来自 10.1.1.10 的回复: 字节=32 时间=1ms TTL=126来自 10.1.1.10 的回复: 字节=32 时间1ms TTL=126来自 10.1.1.10 的回复: 字节=32 时间1ms TTL=12610.1.1.10 的 Ping 统计信息: 数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，往返行程的估计时间(以毫秒为单位): 最短 = 0ms，最长 = 12ms，平均 = 3ms配置IPsec相关配置acl 3000 rule permit udp source-port eq 1701ike proposal 10 authenti

13、cation-method pre-share authentication-algorithm sha1 encryption-algorithm 3des-cbc dh group2ike peer LAC exchange-mode aggressive local-id-type fqdn LNS remote-id-type fqdn Client ike-proposal 10 pre-shared-key abcde配置IPsec相关配置（LNS）ipsec proposal tran1 encapsulation-mode tunnel transform esp esp au

14、thentication-algorithm sha1 esp encryption-algorithm aes-256ipsec policy-template map_temp 1 security acl 3000 proposal tran1 ike-peer LACipsec policy map1 10 isakmp template map_temp#interface GigabitEthernet 0/0/1 ipsec policy map1配置Win7上的VPN Client的L2TP拨号配置Win7上的VPN Client的L2TP拨号测试和验证LNSdis l2tp tunnel 05:48:30 2014/08/10 Total tunnel = 1 LocalTID RemoteTID RemoteAddress Port Sessions RemoteName 1 1 202.100.1.100 60993 1 LNSLN