华为防火墙：VPN: 分支机构通过LAC自主拨号建立L2TP VPN访问总部（总部没有固定IP,使用DDNS）

华为防火墙：VPN: 分支机构通过LAC自主拨号建立L2TP VPN访问总部（总部没有固定IP,使用DDNS）

注意：陈

如果总部的内网可以ping通分部，但是分部的电脑ping不通总部的电脑，防火墙vpn隧道两端的地址可以互相ping,可以配置源NAT deny 两边的子网的流量。

vpn建立起来，但是vpn隧道两端的地址可以ping不通，检查下防火墙的策略或者查看虚拟接口有没有加入安全区域。

拓扑图

防火墙版本

总部：配置PPPoE拔号

总部：配置DDNS

总部：安全策略不作任何拦截（生环境不建议如此配置）

总部：配置源NAT,取消接口下的NAT功能

总部：配置L2TP VPN

总部：配置默认路由

总部：把虚拟接口添加到区域

#
firewall zone trust                       
 add interface Virtual-Template0

#

分公司：配置外网口

分公司：L2TP配置

分公司：配置静态路由

分公司：源NAT

注意：配置源NAT deny 两边的子网的流量。

分公司：把虚拟接口添加到区域

#
firewall zone dmz
 set priority 50
 add interface Virtual-Template0

#

查看VPN建立情况

查看路由表

两个子网互ping

display firewall session table verbose source inside 192.168.160.254 destination inside 10.11.11.254
display firewall session table verbose source inside 192.168.160.2 destination inside 10.11.11.184

VPN配置案例汇总、VPN汇总（列表、list、全）vpnlist
http://www.zh-cjh.com/wenzhangguilei/1193.html