V7防火墙 L2TP拨号获取固定地址案例

1. 网络需求

企业驻外机构和出差人员需要从远程经由公共网络，通过L2TP VPN实现和企业总部之间的网络连接。且要求L2TP VPN接入的用户每次拨入获取的IP地址固定。

2. 网络拓扑图

外网通过L2TP VPN拨入V7防火墙，要求每次获取到的IP地址固定。本次介绍两种配置方案实现。一种是通过账号，另一种是通过L2TP隧道名称。举例两个用户，分别通过拨号获取192.168.200.2和192.168.200.3的IP地址，域名用系统默认的system域，认证使用本地。防火墙外网属于Untrust区域，内网属于Trust区域。

3. 配置步骤

方法一：通过固定账号获取到固定的IP地址

1) 配置LNS

<H3C>system-view

[H3C]interface Virtual-Template 1 //创建虚模板接口

[H3C-Virtual-Template1]ip address 192.168.200.1 24

[H3C-Virtual-Template1]ppp authentication-mode chap //配置PPP的认证类型为chap

[H3C-Virtual-Template1]quit

[H3C]l2tp enable //启动l2tp服务

[H3C]l2tp-group 1 mode lns

[H3C-l2tp1]undo tunnel authentication //关闭隧道认证

[H3C-Virtual-Template1]ppp account-statistics enable //开启PPP计费统计

[H3C-l2tp1]allow l2tp virtual-template 1 //调用虚模板接口

[H3C-l2tp1]quit

[H3C]domain system

[H3C-isp-system]accounting start-fail offline //计费失败后强制用户下线

[H3C-isp-system]quit

2) 创建PPP本地认证的账户

[H3C]local-user newh3c class network //创建账号为newh3c

[H3C-luser-network-newh3c]service-type ppp //服务类型为PPP服务

[H3C-luser-network-newh3c]password simple newh3c //配置密码为newh3c

[H3C-luser-network-newh3c]authorization-attribute user-role network-admin

[H3C-luser-network-newh3c]authorization-attribute ip 192.168.200.2 //配置认证成功后获取到的IP地址为192.168.200.2

[H3C-luser-network-newh3c]authorization-attribute primary-dns ip 114.114.114.114 //配置认证成功后获取到的主DNS为114.114.114.114（本次是举例，具体请以实际DNS为准）

[H3C-luser-network-newh3c]authorization-attribute secondary-dns ip 8.8.8.8 //配置认证成功后获取到的备DNS为8.8.8.8（本次是举例，具体请以实际DNS为准）

[H3C-luser-network-newh3c]access-limit 1 //配置账号最大接入用户数为1

[H3C-luser-network-newh3c]quit

创建第二个账户

[H3C]local-user newh4c class network //创建账号为newh4c

[H3C-luser-network-newh4c]service-type ppp //服务类型为PPP服务

[H3C-luser-network-newh4c]password simple newh4c //配置密码为newh4c

[H3C-luser-network-newh4c]authorization-attribute user-role network-admin

[H3C-luser-network-newh4c]authorization-attribute ip 192.168.200.3 //配置认证成功后获取到的IP地址为192.168.200.3

[H3C-luser-network-newh4c]authorization-attribute primary-dns ip 114.114.114.114 //配置认证成功后获取到的主DNS为114.114.114.114（本次是举例，具体请以实际DNS为准）

[H3C-luser-network-newh4c]authorization-attribute secondary-dns ip 8.8.8.8 //配置认证成功后获取到的备DNS为8.8.8.8（本次是举例，具体请以实际DNS为准）

[H3C-luser-network-newh4c]access-limit 1 //配置账号最大接入用户数为1

[H3C-luser-network-newh4c]quit

3) 接口加入安全区域，配置域间策略

[H3C]security-zone name untrust

[H3C-security-zone-Untrust]import interface Virtual-Template 1 //将虚模板接口加入untrust区域

[H3C-security-zone-Untrust]quit

[H3C]object-group ip address 1 //创建IP地址对象1

[H3C-obj-grp-ip-1]network subnet 192.168.200.0 24 //创建地址对象，网段为L2TP拨号用户的网段（用于后续域间策略放通使用）

[H3C-obj-grp-ip-1]quit

[H3C]object-policy ip l2tpuser //创建IP对象策略名称为l2tpuser

[H3C-object-policy-ip-l2tpuser]rule 0 pass source-ip 1 //放通之前创建的IP地址对象1

[H3C-object-policy-ip-l2tpuser]quit

[H3C]object-policy ip untrust-local //创建IP对象策略名称为untrust-local

[H3C-object-policy-ip-untrust-local]rule 0 pass service l2tp //放通l2tp服务

[H3C-object-policy-ip-untrust-local]quit

配置untrust到trust的域间策略，放通l2tp用户访问局域网

[H3C]zone-pair security source untrust destination trust

[H3C-zone-pair-security-Untrust-Trust]object-policy apply ip l2tpuser //调用IP对象策略l2tpuser

[H3C-zone-pair-security-Untrust-Trust]quit

配置untrust到local的域间策略，放通l2tp服务

[H3C]zone-pair security source untrust destination local

[H3C-zone-pair-security-Untrust-Local]object-policy apply ip untrust-local //调用IP对象策略untrust-local

[H3C-zone-pair-security-Untrust-Local]quit

方法二：通过L2TP隧道名称获取到固定的IP地址

1) 配置LNS

<H3C>system-view

[H3C]interface Virtual-Template 1 //创建虚模板接口1

[H3C-Virtual-Template1]ip address 192.168.200.1 24

[H3C-Virtual-Template1]ppp authentication-mode chap //配置PPP的认证类型为chap

[H3C-Virtual-Template1]remote address 192.168.200.2 //配置L2TP拨入获取的IP地址为192.168.200.3

[H3C-Virtual-Template1]ppp ipcp dns 114.114.114.114 8.8.8.8 //配置L2TP拨入获取的DNS地址（本次是举例，具体请以实际DNS为准）

[H3C-Virtual-Template1]quit

[H3C]l2tp enable //启动l2tp服务

[H3C]l2tp-group 2 mode lns

[H3C-l2tp2]undo tunnel authentication //关闭隧道认证

[H3C-l2tp2]allow l2tp virtual-template 1 remote a //调用虚模板接口1同时指定对端的隧道名称为a（关于隧道名称后续会有相关内容说明）

[H3C-l2tp2]quit

[H3C]interface Virtual-Template 2 //创建虚模板接口2

[H3C-Virtual-Template2]ip address unnumbered interface Virtual-Template 1 //配置IP地址借用，借用虚模板接口1的IP地址

[H3C-Virtual-Template2]ppp authentication-mode chap //配置PPP的认证类型为chap

[H3C-Virtual-Template2]remote address 192.168.200.3 //配置L2TP拨入获取的IP地址为192.168.200.3

[H3C-Virtual-Template2]ppp ipcp dns 114.114.114.114 8.8.8.8 //配置L2TP拨入获取的DNS地址（本次是举例，具体请以实际DNS为准）

[H3C-Virtual-Template2]quit

[H3C]l2tp-group 3 mode lns

[H3C-l2tp3]undo tunnel authentication //关闭隧道认证

[H3C-l2tp3]allow l2tp virtual-template 2 remote b //调用虚模板接口同时指定对端的隧道名称为b（关于隧道名称后续会有相关内容说明）

[H3C-l2tp3]quit

2) 创建PPP本地认证的账户

[H3C]local-user newh3c class network //创建账号为newh3c

[H3C-luser-network-newh3c]service-type ppp //服务类型为PPP服务

[H3C-luser-network-newh3c]password simple newh3c //配置密码为newh3c

[H3C-luser-network-newh3c]authorization-attribute user-role network-admin

[H3C-luser-network-newh3c]quit

3) 接口加入安全区域，配置域间策略

[H3C]security-zone name untrust

[H3C-security-zone-Untrust]import interface Virtual-Template 1 //将虚模板接口1加入untrust区域

[H3C-security-zone-Untrust]import interface Virtual-Template 2 //将虚模板接口2加入untrust区域

[H3C-security-zone-Untrust]quit

[H3C]object-group ip address 1 //创建IP地址对象1

[H3C-obj-grp-ip-1]network subnet 192.168.200.0 24 //创建地址对象，网段为L2TP拨号用户的网段（用于后续域间策略放通使用）

[H3C-obj-grp-ip-1]quit

[H3C]object-policy ip l2tpuser //创建IP对象策略名称为l2tpuser

[H3C-object-policy-ip-l2tpuser]rule 0 pass source-ip 1 //放通之前创建的IP地址对象1

[H3C-object-policy-ip-l2tpuser]quit

[H3C]object-policy ip untrust-local //创建IP对象策略名称为untrust-local

[H3C-object-policy-ip-untrust-local]rule 0 pass service l2tp //放通l2tp服务

[H3C-object-policy-ip-untrust-local]quit

配置untrust到trust的域间策略，放通l2tp用户访问局域网

[H3C]zone-pair security source untrust destination trust

[H3C-zone-pair-security-Untrust-Trust]object-policy apply ip l2tpuser //调用IP对象策略l2tpuser

[H3C-zone-pair-security-Untrust-Trust]quit

配置untrust到local的域间策略，放通l2tp服务

[H3C]zone-pair security source untrust destination local

[H3C-zone-pair-security-Untrust-Local]object-policy apply ip untrust-local //调用IP对象策略untrust-local

[H3C-zone-pair-security-Untrust-Local]quit

4) 关于隧道名称说明

方法二是通过终端L2TP VPN拨入时携带的隧道名称来分配固定地址给终端。不同终端修改隧道名称的方法不同，一般来说终端的名字就是L2TP隧道名称。如下图所示，以windows电脑为例，这里的计算机名admin-PC就是隧道名称。

按照方法一中的配置使用newh3c这个账号登陆可以获取到固定的192.168.200.2的IP地址

4. 注意事项

1) 推荐使用方法一，更加灵活一点

2) 方法一中，由于是根据账号来分配地址，多个人如果同时使用一个账号拨入会获取到相同的地址，所以必须要做账号的接入限制限制一个用户登陆

3) 方法一中，使用access-limit来限制用户接入，必须要在VT接口开启PPP计费统计ppp account-statistics enable，同时需要在域视图下启动计费失败的用户下线accounting start-fail offline否则会导致access-limit不生效

4) 外网的Untrust区域到local区域需要通过域间策略放通l2tp服务，否则会导致拨号不上