L2TP用户组名称

设置L2TP用户组的名称

对端隧道名称

设置对端的隧道名称

本端隧道名称

设置本端的隧道名称

隧道验证

设置是否在该组中启用L2TP隧道验证功能，当启用隧道验证时需要设置隧道验证密码

隧道验证请求可由LAC或LNS任何一侧发起。只要有一端启用了隧道验证，则只有在对端也启用了隧道验证，两端密码完全一致且不为空的情况下，隧道才能建立；否则本端将自动断开隧道连接。若隧道两端都禁止了隧道验证，隧道验证的密码一致与否将不起作用

·     为了保证隧道安全，建议用户最好不要禁用隧道验证功能。如果为了进行网络连通性测试或者接收不知名对端发起的连接，则也可不进行隧道验证

·     如果要修改隧道验证密码，请在隧道完全拆除后进行，否则修改的密码不生效

隧道验证密码

PPP认证配置

PPP认证方式

设置本端对PPP用户进行认证的认证方式

认证方法可以选择PAP或CHAP，选择空表示不进行认证

ISP域名

设置用户认证采用的ISP域的名称

·     单击<新建>按钮，进入如图1-4所示的新建ISP域的页面，详细配置如表1-2所示

·     选择一个ISP域，单击<修改>按钮，进入修改该ISP域的页面，详细配置参见表1-2

·     选择一个ISP域，单击<删除>按钮，将该ISP域删除

如果设置了ISP域，则使用指定域进行认证，地址分配必须使用该域下配置的用户地址。如果没有设置ISP域，则会判断用户名中是否带有域名信息。如果带有域名信息，则以该域名为准；如果不带域名信息，则使用系统缺省的域（默认为system）

PPP地址配置

PPP Server地址/掩码

设置本端的IP地址和掩码

用户地址

设置给对端分配地址所用的地址池或直接给对端分配指定的IP地址

若在PPP认证配置中指定了ISP域名，则下拉框中为该ISP域下的地址池

·     单击<新建>按钮，进入如图1-5所示的新建地址池的页面，详细配置如表1-3所示

·     选择一个地址池，单击<修改>按钮，进入修改该地址池的页面，详细配置参见表1-3

·     选择一个地址池，单击<删除>按钮，将该地址池删除

强制分配地址

设置是否强制对端使用本端为其分配的IP地址，即不允许对端使用自行配置的IP地址

高级

Hello报文间隔

设置发送Hello报文的时间间隔

为了检测LAC和LNS之间隧道的连通性，LAC和LNS会定期向对端发送Hello报文，接收方接收到Hello报文后会进行响应。当LAC或LNS在指定时间间隔内未收到对端的Hello响应报文时，重复发送，如果重复发送3次仍没有收到对端的响应信息则认为L2TP隧道已经断开，需要重新建立隧道连接

LNS端可以配置与LAC端不同的Hello报文间隔

AVP数据隐藏

设置是否采用隐藏方式传输AVP（Attribute Value Pair，属性值对）数据

L2TP协议的一些参数是通过AVP数据来传输的，如果用户对这些数据的安全性要求高，可以将AVP数据的传输方式配置成为隐藏传输，即对AVP数据进行加密

该配置项对于LNS端无效

流量控制

设置是否启用L2TP隧道流量控制功能

L2TP隧道的流量控制功能应用在数据报文的接收与发送过程中。启用流量控制功能后，会对接收到的乱序报文进行缓存和调整

强制本端CHAP认证

设置LNS侧的用户验证

当LAC对用户进行认证后，为了增强安全性，LNS可以再次对用户进行认证，只有两次认证全部成功后，L2TP隧道才能建立。L2TP组网中，LNS侧的用户认证方式有三种：

·     强制本端CHAP认证：启用此功能后，对于由NAS初始化（NAS-Initiated）隧道连接的VPN用户端来说，会经过两次认证。一次是用户端在接入服务器端的认证，另一次是用户端在LNS端的CHAP认证

·     强制LCP重协商：对由NAS初始化隧道连接的PPP用户端，在PPP会话开始时，用户先和NAS进行PPP协商。若协商通过，则由NAS初始化L2TP隧道连接，并将用户信息传递给LNS，由LNS根据收到的代理验证信息，判断用户是否合法。但在某些特定的情况下（如在LNS侧也要进行认证与计费），需要强制LNS与用户间重新进行LCP协商，此时将忽略NAS侧的代理认证信息

·     代理认证：如果强制本端CHAP认证和强制LCP重协商功能都不启用，则LNS对用户进行的是代理认证。在这种情况下，LAC将它从用户得到的所有认证信息及LAC端本身配置的认证方式发送给LNS

·     三种认证方式中，强制LCP重协商的优先级最高，如果在LNS上同时启用强制LCP重协商和强制本端CHAP认证，L2TP将使用强制LCP重协商，并采用L2TP用户组中配置的PPP认证方式

·     一些PPP用户端可能不支持进行第二次认证，这时，本端的CHAP认证会失败

·     启用强制LCP重协商时，如果L2TP用户组中配置的PPP认证方式为不进行认证，则LNS将不对接入用户进行二次认证（这时用户只在LAC侧接受一次认证），直接将全局地址池的地址分配给PPP用户端

·     LNS侧使用代理验证，且LAC发送给LNS的用户验证信息合法时，如果L2TP用户组配置的验证方式为PAP，则代理验证成功，允许建立会话；如果L2TP用户组配置的验证方式为CHAP，而LAC端配置的验证方式为PAP，则由于LNS要求的CHAP验证级别高于LAC能够提供的PAP验证，代理验证失败，不允许建立会话

强制LCP重协商

ISP域名称

设置ISP域的名称

PPP认证方案

主用方案

设置PPP用户的主用认证方案

·     HWTACACS：表示采用HWTACACS认证，使用的HWTACACS方案名称为system

·     Local：表示采用本地认证

·     None：表示不认证，即对用户非常信任，不进行合法性检查

·     RADIUS：表示采用RADIUS认证，使用的RADIUS方案名称固定system

·     选择空表示采用ISP域缺省的认证方案，缺省认证方案默认为Local

备选方案

当主用方案选择HWTACACS或RADIUS时，设置是否启用本地认证作为备选认证方案

PPP授权方案

主用方案

设置PPP用户的主用授权方案

·     HWTACACS：表示采用HWTACACS授权，使用的HWTACACS方案名称为system

·     Local：表示采用本地授权

·     None：表示接入设备不请求授权信息，不对用户可以使用的操作以及用户允许使用的网络服务进行授权，认证通过的PPP用户可直接访问网络

·     RADIUS：表示采用RADIUS授权，使用的RADIUS方案名称为system

·     选择空表示采用ISP域缺省的授权方案，缺省授权方案默认为Local

备选方案

当主用方案选择HWTACACS或RADIUS时，设置是否启用本地授权作为备选授权方案

PPP计费方案

计费

设置是否启用计费可选功能

在对用户实施计费时，如果发现没有可用的计费服务器或与计费服务器通信失败时，若启用了计费可选功能，则用户可以继续使用网络资源，且系统不再为其向服务器发送实时计费更新报文，否则用户连接将被切断

主用方案

设置PPP用户的主用计费方案

·     HWTACACS：表示采用HWTACACS计费，使用的HWTACACS方案名称为system

·     Local：表示采用本地计费

·     None：表示不计费

·     RADIUS：表示采用RADIUS计费，使用的RADIUS方案名称为system

·     选择空表示采用ISP域缺省的计费方案，缺省计费方案默认为Local

备选方案

当主用方案选择HWTACACS或RADIUS时，设置是否启用本地计费作为备选计费方案

最大用户数

设置ISP域可容纳接入用户数的最大值，不设置时表示不限制ISP域可容纳的接入用户数

由于接入用户之间会发生资源的争用，因此适当地设置最大用户数可以使属于该ISP域的用户获得可靠的性能保障

域名

设置要配置的地址池所在的ISP域

地址池编号

设置地址池的编号

若指定地址池编号为1，则该地址池的名称为pool1

开始地址

设置地址池的开始IP地址和结束IP地址

开始和结束地址之间的地址数不能超过1024；如果只指定开始地址，则表示该地址池中只有开始地址一个IP地址

结束地址

本端隧道编号

本端唯一标识一个隧道的数值

对端隧道编号

对端唯一标识一个隧道的数值

对端隧道端口

对端隧道的端口

对端隧道IP地址

对端隧道的IP地址

会话数目

该隧道上的会话数目

对端隧道名称

对端隧道的名称