配置Client-Initiated场景下的L2TP VPN(AD服务器认证)

配置Client-Initiated场景下的L2TP VPN(AD服务器认证)

FW_2022.09.23.10时28分43秒.txt

sw1_2022.09.23.10时29分58秒.txt

sw2_2022.09.23.10时30分09秒.txt


(1)拓扑图

图片.png

(2)基础配置

华为usg防火墙
华为usg防火墙:配置接口
interface GigabitEthernet1/0/2
 undo shutdown
 ip address 10.12.3.3 255.255.0.0
 service-manage http permit
 service-manage https permit
 service-manage ping permit
 service-manage ssh permit
 service-manage snmp permit
 service-manage telnet permit
 service-manage netconf permit
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 192.168.100.254 255.255.255.0
 service-manage http permit
 service-manage https permit
 service-manage ping permit
 service-manage ssh permit
 service-manage snmp permit
 service-manage telnet permit             
 service-manage netconf permit
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 192.168.200.254 255.255.255.0
 service-manage http permit
 service-manage https permit
 service-manage ping permit
 service-manage ssh permit
 service-manage snmp permit
 service-manage telnet permit
 service-manage netconf permit
#

把接口加入trust区域:
firewall zone trust
 set priority 85
 add interface GigabitEthernet1/0/2
 add interface GigabitEthernet1/0/0
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/1

 配置默认路由:
ip route-static 10.1.1.0 255.255.255.0 192.168.200.1

配置策略允许所有:
security-policy
 default action permit
 
配置AAA:
 aaa
        manager-user admin
            password cipher 密码
            service-type web
            level 15

sw1:
interface GE1/0/0
 undo shutdown
#
interface GE1/0/1
 undo shutdown
 port default vlan 2

interface GE1/0/3
 undo shutdown
 port default vlan 2

#
interface Vlanif1
 ip address 10.1.1.1 255.255.255.0
#
interface Vlanif2
 ip address 192.168.200.1 255.255.255.0
#

sw2:
interface GE1/0/0
 undo shutdown
#
interface Vlanif1
 ip address 192.168.100.100 255.255.255.0
#
ip route-static 0.0.0.0 0.0.0.0 192.168.100.254

相关端口:
端口:1645、1812
说明:Remot Authentication Dial-In User Service(RADIUS)authentication(Routing and Remote Access)远程认证拨号用户服务。
端口:1646、1813
说明:RADIUS accounting
端口:1701
说明:Layer Two Tunneling Protocol(L2TP)第2层隧道协议
(3.1)准备AD服务器

图片.png

图片.png

图片.png

(4.1)华为防火墙:配置AD服务器对接参数

ad-server template adserver1
  ad-server authentication 10.12.160.20 88
  ad-server authentication base-dn dc=zh-cjh,dc=com
  ad-server authentication manager cn=administrator,cn=users 域管理员的密码  域管理员的密码
  ad-server authentication host-name ad20.zh-cjh.com
  ad-server authentication ldap-port 389
  ad-server group-filter ou

如果对AD服务器不熟悉,无法给出服务器机器名、Base DN、过滤字段等参数,可以通过AD Explorer或LDAP Browser/Editor等软件连接到AD服务器上查看具体的属性。
以AD Explorer为例,查看到的AD服务器属性以及服务器属性和LNS上参数对应关系如下。

ADExplorer.zip

图片.png

图片.png

防火墙与AD服务器的时间需要同步:

配置时区:
clock timezone Beijing add 08:00:00

图片.png

sAMAccountName代表登录用户名、OU代表组织单位

注意这里选中了“附带Base DN”,所以管理员就不必输入全路径了。
即不输入CN=Administrator,CN=Users,DC=zh-cjh,DC=com  只需要输入cn=AdministratorCN=Administrator,CN=Users

图片.png

# 测试LNS与AD服务器的连通性。测试时使用的用户名和密码需要与AD服务器上已经存在的帐号的用户名和密码保持一致。
网络不通:
<USG6000V2>test-aaa b1 123456 ad-template adserver1
Info: Server connection failed.
<USG6000V2>

[USG6000V2]test-aaa b1 123456 ad-template adserver1
Info: Ticket granting failed.
[USG6000V2]
图片.png

图片.png

<USG6000V2>test-aaa uu1 123456 ad-template adserver1
Info: Server detection succeeded.
<USG6000V2>

<USG6000V2>test-aaa b1 123456 ad-template adserver1
Info: Ticket granting failed.
<USG6000V2>

图片.png

原因:勾选上了“用户下次登录时须更改密码”,去掉勾即可。

图片.png

再次测试:带域名不成功,不带域名成功

图片.png

(4.2)配置采用AD服务器进行用户身份认证

aaa
    authentication-scheme auth_ad
        authentication-mode ad
(5.1)配置地址池
如果真实环境中地址池地址和总部网络地址配置在了同一网段,则必须在LNS连接总部网络的接口上开启ARP代理功能,保证LNS可以对总部网络服务器发出的ARP请求进行应答。
ip pool pool1
   section 1 172.16.10.100 172.16.10.199
(5.2)配置接入用户使用的业务方案。
 aaa
    service-scheme l2tp
        ip-pool pool1
(5.3)配置认证域,引用AD服务器模板及认证方案
aaa                  
    domain zh-cjh.com
    service-type l2tp
    authentication-scheme auth_ad
    ad-server adserver1

图片.png

(6.1)华为防火墙:配置VT接口
interface Virtual-Template1
   ppp authentication-mode pap
   remote service-scheme l2tp
   ip address 172.16.10.1 255.255.255.0

firewall zone dmz
  add interface Virtual-Template1

(6.2)华为防火墙:配置L2TP Group。
LNS上配置的隧道验证密码必须与SecoClient上的配置保持一致。
2tp enable
l2tp-group 1
     allow l2tp virtual-template 1 remote pc domain default
     tunnel authentication
     tunnel password cipher www.zh-cjh.com
(7)测试拔号

图片.png

图片.png


图片.png

解决:

l2tp-group 1
     allow l2tp virtual-template 1 remote pc domain zh-cjh.com

再测试:vpn已连接成功

图片.png


测试不带域名的:失败,原因aaa上配置的域是zh-cjh.com,所以要带上域名,如果不带域名,则识别到了aaa的默认域

图片.png

图片.png




1、本站资源长期持续更新,可加入VIP会员、资源全免费。
2、本资源基本为原创,部分来源其他付费资源平台或互联网收集,如有侵权请联系及时处理。
3、本站大部分文章的截图来源实验测试环境,请不要在生产环境中随意模仿,以免带来灾难性后果。
转载请保留出处:  www.zh-cjh.com珠海陈坚浩博客 » 配置Client-Initiated场景下的L2TP VPN(AD服务器认证)

作者: cjh


手机扫一扫,手机上查看此文章:

一切源于价值!

其他
加载中~

未雨绸缪、居安思危!

数据安全、有备无患!

注意操作、数据无价!

一切源于价值!