新华社防火墙undo l2tp enable还是监听1701端口

SecPath 防火墙只敲 undo l2tp enable 仍监听 UDP1701 完整根治方案
一、先说明核心原理（为什么关了开关端口还在监听）
undo l2tp enable 只是关闭 L2TP 协议业务处理，设备底层 VPN 模块不会立刻卸载 UDP 1701 端口监听套接字；
只要存在残留配置（l2tp-group、virtual-template、L2TP 服务组、IPSec 联动），1701 端口会持续占用；
Windows 客户端 L2TP over IPsec 依赖 500/4500/1701，防火墙 VPN 芯片默认预占用 1701，仅关全局开关无法释放端口，必须清理全部 L2TP 残留配置 + 阻断流量 + 重启 VPN 模块三步操作。
二、完整彻底关闭 L2TP 操作步骤（按顺序复制执行）
步骤 1：断开所有在线 L2TP 隧道，清空在线会话
plaintext
<H3C>reset l2tp tunnel all
步骤 2：进入系统视图，关闭全局 L2TP 总开关
plaintext
system-view
undo l2tp enable
步骤 3：删除全部 L2TP 组、虚拟模板、L2TP 服务组（关键！残留配置是端口常驻根源）
plaintext
# 1. 删除所有L2TP组
undo l2tp-group all
# 2. 删除L2TP用到的虚拟模板接口
undo interface virtual-template all
# 3. 删除L2TP服务组（部分高端防火墙存在）
undo l2tp server-group
# 4. 删除L2TP相关域、用户池、地址池
undo l2tp address-pool all
步骤 4：清理 IPSec 与 L2TP 联动配置（L2TP over IPSec 会强制占用 1701）
plaintext
undo ike peer all
undo ipsec proposal all
undo ipsec policy all
undo ipsec template all
步骤 5：全局阻断 UDP 1701 所有域间流量（彻底杜绝外部访问 1701）
plaintext
# 新建ACL拒绝UDP1701
acl number 3000
rule deny udp destination-port eq 1701
# 全局安全策略全域拦截1701
security-policy ip
rule name BLOCK_L2TP_1701
source-zone any
destination-zone any
protocol udp
destination-port eq 1701
action deny
步骤 6：重启 VPN 业务模块，释放底层 1701 端口监听套接字（必做）
plaintext
<H3C>reset vpn module
此命令仅重启 VPN 业务，不中断转发、现有业务不断网，执行后 1701 端口监听会释放。
步骤 7：保存配置
plaintext
save force
三、验证 1701 端口是否彻底关闭
1. 查看 L2TP 残留配置，无输出代表清理干净
plaintext
display current-configuration | include l2tp
2. 查看端口监听 / 会话，无 1701 会话即成功
plaintext
display firewall session-table protocol udp destination-port 1701
display socket | include 1701
3. 外网服务器端口扫描测试：UDP1701 端口关闭、无法连通
四、兜底方案（reset vpn module 后仍监听端口）
若执行完上面全部操作，端口依旧监听，需要整机重启释放 VPN 芯片资源：
plaintext
reboot
五、常见踩坑点
只敲undo l2tp enable，没删 l2tp-group、virtual-template → 端口常驻；
存在 IPSec IKE 联动 L2TP，500/4500/1701 绑定在一起，只关 L2TP 无效；
未执行reset vpn module，底层 VPN 套接字不释放，扫描工具仍能探测到 1701 开放；
安全策略只放通内网、未拦截 any-any，内网终端仍可触发 1701 监听。
极简操作速记
reset l2tp tunnel all
undo l2tp enable + 删除全部 l2tp-group/virtual-template
清理 IPSec 联动配置
全局安全策略拒绝所有 UDP 1701
reset vpn module 释放端口
验证 socket 无 1701 监听