配置Client-Initiated场景下的L2TP VPN（AD服务器认证）

配置Client-Initiated场景下的L2TP VPN（AD服务器认证）

FW_2022.09.23.10时28分43秒.txt

sw1_2022.09.23.10时29分58秒.txt

sw2_2022.09.23.10时30分09秒.txt

（1）拓扑图

（2）基础配置

华为usg防火墙
华为usg防火墙：配置接口
interface GigabitEthernet1/0/2
 undo shutdown
 ip address 10.12.3.3 255.255.0.0
 service-manage http permit
 service-manage https permit
 service-manage ping permit
 service-manage ssh permit
 service-manage snmp permit
 service-manage telnet permit
 service-manage netconf permit
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 192.168.100.254 255.255.255.0
 service-manage http permit
 service-manage https permit
 service-manage ping permit
 service-manage ssh permit
 service-manage snmp permit
 service-manage telnet permit             
 service-manage netconf permit
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 192.168.200.254 255.255.255.0
 service-manage http permit
 service-manage https permit
 service-manage ping permit
 service-manage ssh permit
 service-manage snmp permit
 service-manage telnet permit
 service-manage netconf permit
#

把接口加入trust区域：
firewall zone trust
 set priority 85
 add interface GigabitEthernet1/0/2
 add interface GigabitEthernet1/0/0
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/1

 配置默认路由：
ip route-static 10.1.1.0 255.255.255.0 192.168.200.1

配置策略允许所有：
security-policy
 default action permit
 
配置AAA：
 aaa
        manager-user admin
            password cipher 密码
            service-type web
            level 15

sw1:
interface GE1/0/0
 undo shutdown
#
interface GE1/0/1
 undo shutdown
 port default vlan 2

interface GE1/0/3
 undo shutdown
 port default vlan 2

#
interface Vlanif1
 ip address 10.1.1.1 255.255.255.0
#
interface Vlanif2
 ip address 192.168.200.1 255.255.255.0
#

sw2:
interface GE1/0/0
 undo shutdown
#
interface Vlanif1
 ip address 192.168.100.100 255.255.255.0
#
ip route-static 0.0.0.0 0.0.0.0 192.168.100.254

相关端口：
端口：1645、1812
说明：Remot Authentication Dial-In User Service(RADIUS)authentication(Routing and Remote Access)远程认证拨号用户服务。
端口：1646、1813
说明：RADIUS accounting
端口：1701
说明：Layer Two Tunneling Protocol(L2TP)第2层隧道协议
（3.1）准备AD服务器

（4.1）华为防火墙：配置AD服务器对接参数

ad-server template adserver1
  ad-server authentication 10.12.160.20 88
  ad-server authentication base-dn dc=zh-cjh,dc=com
  ad-server authentication manager cn=administrator,cn=users 域管理员的密码  域管理员的密码
  ad-server authentication host-name ad20.zh-cjh.com
  ad-server authentication ldap-port 389
  ad-server group-filter ou

如果对AD服务器不熟悉，无法给出服务器机器名、Base DN、过滤字段等参数，可以通过AD Explorer或LDAP Browser/Editor等软件连接到AD服务器上查看具体的属性。
以AD Explorer为例，查看到的AD服务器属性以及服务器属性和LNS上参数对应关系如下。

ADExplorer.zip

防火墙与AD服务器的时间需要同步：

配置时区：
clock timezone Beijing add 08:00:00

sAMAccountName代表登录用户名、OU代表组织单位

注意这里选中了“附带Base DN”,所以管理员就不必输入全路径了。
即不输入CN=Administrator,CN=Users,DC=zh-cjh,DC=com  只需要输入cn=AdministratorCN=Administrator,CN=Users

# 测试LNS与AD服务器的连通性。测试时使用的用户名和密码需要与AD服务器上已经存在的帐号的用户名和密码保持一致。
网络不通：
<USG6000V2>test-aaa b1 123456 ad-template adserver1
Info: Server connection failed.
<USG6000V2>

[USG6000V2]test-aaa b1 123456 ad-template adserver1
Info: Ticket granting failed.
[USG6000V2]

<USG6000V2>test-aaa uu1 123456 ad-template adserver1
Info: Server detection succeeded.
<USG6000V2>

<USG6000V2>test-aaa b1 123456 ad-template adserver1
Info: Ticket granting failed.
<USG6000V2>

原因：勾选上了“用户下次登录时须更改密码”，去掉勾即可。

再次测试：带域名不成功，不带域名成功

（4.2）配置采用AD服务器进行用户身份认证

aaa
    authentication-scheme auth_ad
        authentication-mode ad
（5.1）配置地址池
如果真实环境中地址池地址和总部网络地址配置在了同一网段，则必须在LNS连接总部网络的接口上开启ARP代理功能，保证LNS可以对总部网络服务器发出的ARP请求进行应答。
ip pool pool1
   section 1 172.16.10.100 172.16.10.199
（5.2）配置接入用户使用的业务方案。
 aaa
    service-scheme l2tp
        ip-pool pool1
（5.3）配置认证域，引用AD服务器模板及认证方案
aaa                  
    domain zh-cjh.com
    service-type l2tp
    authentication-scheme auth_ad
    ad-server adserver1

（6.1）华为防火墙：配置VT接口
interface Virtual-Template1
   ppp authentication-mode pap
   remote service-scheme l2tp
   ip address 172.16.10.1 255.255.255.0

firewall zone dmz
  add interface Virtual-Template1

（6.2）华为防火墙：配置L2TP Group。
LNS上配置的隧道验证密码必须与SecoClient上的配置保持一致。
2tp enable
l2tp-group 1
     allow l2tp virtual-template 1 remote pc domain default
     tunnel authentication
     tunnel password cipher www.zh-cjh.com
（7）测试拔号

解决：

l2tp-group 1
     allow l2tp virtual-template 1 remote pc domain zh-cjh.com

再测试：vpn已连接成功

测试不带域名的：失败，原因aaa上配置的域是zh-cjh.com,所以要带上域名，如果不带域名，则识别到了aaa的默认域

VPN配置案例汇总、VPN汇总（列表、list、全）vpnlist
http://www.zh-cjh.com/wenzhangguilei/1193.html
文章归类、所有文章列表、LISTLIST
http://www.zh-cjh.com/wangzhangonggao/2195.html