MSR930（LAC）对接华为（LNS）L2TP 隧道无法建立

现象：华为设备当 LAC、华为当 LNS 可以正常建立隧道；换成 MSR930 做 LAC，同样的华为 LNS 就建不起来。说明华为 LNS 基础配置、网络链路本身没问题，问题出在友商跨厂商 L2TP 协商参数、隧道名称、隧道认证、PPP 协商差异。

组网模式：LAC‑Auto‑Initiated（路由器自动发起 L2TP 隧道，NAS‑Initiated 模式）

排查顺序（按现场优先级）

1、网络基础检查（UDP‑1701 端口）

1. MSR930 上 ping 华为 LNS 公网 IP 确认路由可达。
2. 中间防火墙 / 运营商不能拦截 UDP 1701（L2TP 端口）；不要做 NAT‑ALG 对 L2TP 特殊处理，部分 NAT‑ALG 会篡改 L2TP 报文导致隧道协商失败。

看隧道状态：

• Wait‑reply：发出 SCCRQ，收不到华为 LNS 回应，优先查 UDP1701 报文是否被丢弃；
• 直接 Idle：MSR930 根本没有向外发起隧道请求，检查l2tp‑auto‑client是否绑定 Virtual‑PPP 接口。

2、隧道名称（跨厂商最高频坑点）

1. MSR930（LAC）配置l2tp‑group下面配置tunnel name XXX，这是本端隧道名称。
2. 华为 LNS 的 l2tp‑group 的 allow 命令必须带上 remote 这个 XXX，严格区分大小写H3C。

华为 LNS 错误示例（没有匹配 MSR 的隧道名）：

华为 LNS 正确写法：

MSR930 LAC 配置：

如果华为 LNS 配置allow l2tp virtual‑template X remote xxx，对端隧道名不匹配，直接丢弃 MSR 发来的 SCCRQ 报文，隧道完全起不来，而华为自家 LAC 隧道名刚好对上，就可以通。

3、隧道认证（tunnel authentication）两边必须保持完全一致

规则：只要任意一端开启隧道认证，另一端必须开启并且密码完全一样；两边都关闭则都不做隧道认证华为。

1. 场景 A：需要隧道认证 MSR930 (LAC)

华为 LNS：

2. 跨厂商对接经常建议关闭隧道认证规避兼容性： MSR930 LAC：

华为 LNS：

一边开，一边关，隧道直接协商失败。很多华为‑H3C 对接现场直接关闭隧道认证，只保留 PPP 账号密码认证。

4、PPP 协商、Virtual‑PPP 接口配置（会话阶段，隧道能起，会话起不来）

MSR930 的Virtual‑PPP 1接口配置，用于自动发起 L2TP：

注意：

1. 华为 LNS 的 virtual‑template 虚拟模板 PPP 认证方式要和 MSR 的 Virtual‑PPP 匹配；
2. 华为 LNS 不要配置mandatory‑lcp强制 LCP 重协商；NAS‑Initiated 模式下开启mandatory‑lcp，友商 LAC 会协商失败H3C。

华为 LNS 侧规避命令：

5、MSR930 完整最小 LAC 参考配置片段

调试排错命令（MSR930 侧收集信息）

重点看 debug 输出：SCCRQ 发送后有没有收到 SCCRP；如果收到 SCCRP 拒绝，看拒绝原因：隧道名不匹配、隧道认证失败。

极简总结

华为 LAC 可以对接华为 LNS，但 MSR930 (H3C LAC) 对接华为 LNS 不通，最高概率两点：①华为 LNS allow l2tp 没有带上 MSR 的 tunnel‑name 对端名称；②隧道认证一边开启一边关闭；③华为 LNS 开启 mandatory‑lcp 强制 LCP 重协商，跨厂商不兼容。 优先两边都关闭隧道认证，华为 LNS 配置 allow 带上 MSR 的隧道名称，关闭 mandatory‑lcp 强制重协商。

提示：华为 LNS 查看隧道组：display l2tp‑group，确认 allow、tunnel‑authentication、mandatory‑lcp 参数。

参考手册检查配置 1.9 L2TP典型配置举例

另外不建议做这个VPN，这个没有数据加密的。
做ipsec吧 1.7 IPsec典型配置举例

华为设备当LAC可以正常接入，换成MSR930做LAC就建不起来，这说明华为LNS的基础配置和网络链路本身没问题。问题大概率出在跨厂商L2TP协商的参数兼容性上，尤其是隧道名称和隧道认证这两个环节。

 核心排查方向

建议按以下顺序排查，命中概率从高到低：

1. 隧道名称不匹配（跨厂商最高频坑点）

华为LNS的 allow l2tp 命令中，remote 参数必须严格匹配MSR930上配置的本端隧道名称，且区分大小写。

• MSR930（LAC）侧：检查 l2tp-group 下配置的 tunnel name，例如：

  text

  l2tp-group 1 mode lac tunnel name MSR-LAC-NAME # 记下这个名字

• 华为LNS侧：检查 allow 命令中是否带上了 remote 参数，且名称一字不差：

  text

  # 错误写法（缺少remote，无法识别H3C LAC的请求） l2tp-group 1 allow l2tp virtual-template 1 # 正确写法（remote后跟MSR930上配置的tunnel name） l2tp-group 1 allow l2tp virtual-template 1 remote MSR-LAC-NAME

如果华为LNS配置了 allow ... remote xxx，但MSR930的tunnel name与 xxx 不匹配，华为LNS会直接丢弃MSR930发来的SCCRQ报文，隧道完全无法建立。而华为自家LAC的隧道名刚好对得上，所以可以正常通信。

2. 隧道认证不一致

隧道认证（tunnel authentication）要求两端同时开启或同时关闭，且密码完全一致。一边开启、一边关闭，隧道协商会直接失败。

• 检查两端配置：

  text

  # MSR930 (LAC) 侧 l2tp-group 1 mode lac display this # 查看是否有 tunnel authentication # 华为 LNS 侧 l2tp-group 1 display this # 查看是否有 tunnel authentication

• 建议：跨厂商对接时，为规避兼容性问题，通常建议两端都关闭隧道认证，仅保留PPP层的账号密码认证。如果必须开启，确保两端密码完全一致。

3. UDP 1701端口与NAT-ALG问题

• 中间防火墙放行：确认MSR930与华为LNS之间的防火墙已放行 UDP 1701（L2TP端口）。如果路径上有NAT设备，不要开启L2TP的NAT-ALG，部分NAT-ALG会篡改L2TP报文导致协商失败。

• 路由可达性：在MSR930上 ping 华为LNS的公网IP，确认基础路由可达。

4. PPP协商差异（隧道能起但会话起不来）

如果隧道状态显示已建立，但用户会话无法建立，问题可能在PPP协商阶段。

• 检查Virtual-PPP接口：MSR930的Virtual-PPP接口需要正确绑定 l2tp-auto-client，并配置与LNS侧一致的PPP认证方式（PAP或CHAP）和账号密码。

• 认证方式一致性：如果华为LNS侧配置的是CHAP认证，MSR930侧也必须配置CHAP，反之亦然。可以参考H3C的LAC-Auto-Initiated配置示例，确保Virtual-Template接口下正确配置了 ppp pap 或 ppp chap。

5. Comware V5与华为的兼容性注意

MSR930 WiNet系列运行的是Comware V5平台。部分V5版本的L2TP实现与华为设备可能存在细微差异。建议先确认MSR930当前的软件版本，如果版本过旧，可以尝试升级到该型号的最终版本（如R2514P14），以改善跨厂商兼容性。

 现场调试命令

在MSR930上执行以下命令，可以快速定位隧道卡在哪一步：

同时在华为LNS侧执行 display l2tp tunnel 和 display l2tp session，查看是否收到了MSR930的隧道请求。