三地能过vpn互通：l2tp拔号vpn (陈、)

三地能过vpn互通：l2tp拔号vpn (陈、)

拓扑图

总部:静态路由

总部:NAT,只需要配置上网的源NAT

总部:策略，允许vpn流量进来，实验环境中，直接permit any

总部:拔号成功的VPN状态

总部:注意把实际使用中的虚拟接口添加到安全区域

<10.11.11.254>display ip int brief
12:27:23  2020/11/26
*down: administratively down
(s): spoofing
Interface                   IP Address      Physical Protocol Description
Cellular5/0/0               unassigned      down     up(s)    Huawei, USG2110
Dialer0                     (x.x.x.x)  up       up(s)    Huawei, USG2110
Ethernet0/0/0               1.1.1.1         up       up       Huawei, USG2110
Ethernet2/0/0               unassigned      down     down     Huawei, USG2110
Virtual-Template0           192.168.33.254  up       up(s)    Huawei, USG2110
Vlanif1                     10.11.11.254    up       up       Huawei, USG2110
<10.11.11.254>

firewall zone dmz
 add interface Virtual-Template0

分部: 虚拟接口添加到安全区域，策略中允许vpn的相关流量
firewall zone dmz
 add interface Virtual-Template0

分部: 源NAT中禁止vpn子网间的流量

分部: 静态路由

分部: vpn的配置

Ping测试

关于192.168.33.x

总部的电脑可以ping通192.168.33.x段所有在线的ip以及分支所有ip地址
分支机构内部的ping 192.168.33.x段的，只能ping通自已所在的vpn网络的ip和总的vpn虚拟接口ip
如分支机构内网的电脑192.168.199.1 （虚拟vpn地址为192.168.33.199）只能ping 通192.168.33.199和192.168.33.254

分支机构之间的内网的互相ping通。

移动客户端连接到总部(一台防火墙只能建一个LNS），可以ping通总部的内网子网，但是ping不通分支机构的网络。

VPN配置案例汇总、VPN汇总（列表、list、全）vpnlist
http://www.zh-cjh.com/wenzhangguilei/1193.html