有点不太理解。

配置可以参考案例检查一下：https://www.h3c.com/cn/d_202211/1719141_30005_0.htm

您好，请知：

以下是L2TP VPN的配置案例，请参考：

4  配置举例

4.1  组网需求

如图1所示，某企业要求通过创建L2TP隧道来实现出差员工和分部公司员工可以访问搭建在总部内网的服务器。

图1 L2TP VPN典型配置组网图

4.2  配置思路

(1)     配置总部路由器Router A连接Internet，启用L2TP服务器端。

(2)     配置分部路由器Router B连接Internet，启用L2TP客户端。

(3)     在出差员工PC上设置L2TP客户端。

4.3  配置步骤

4.3.1  配置Router A

1. 配置WAN1接口连接Internet

# 选择“网络设置 > 外网配置”，进入外网配置页面：

(1)     在“配置接口模式”页面中勾选“单WAN模式”，单击“应用”按钮完成配置；

(2)     单击“WAN配置”页签，进入WAN配置页面；

(3)     单击WAN1接口对应操作列编辑图标，进入修改WAN配置页面，配置如下参数：

¡     连接模式：固定地址

¡     IP地址：20.1.1.1

¡     子网掩码：255.255.255.0

¡     网关地址：20.1.1.254

¡     其它参数保持默认配置

(4)     单击“确定”按钮保存配置。

图2 配置WAN1接口连接Internet

2. 启用并配置L2TP服务器

#选择“虚拟专网（VPN）>L2TP服务器端”，进入L2TP配置页面，勾选“启用L2TP服务器端”选项，单击“确定”按钮，完成L2TP服务器的启用。

(1)     配置LNS1（供出差员工PC连接）

#在L2TP配置页面，单击“添加”按钮，进入“新建L2TP组”配置页面，完成如下参数配置：

·     对端隧道名称：不勾选复选框，无需配置（若勾选，需填写出差员工计算机名称）

·     本端隧道名称：LNS1

·     隧道验证：选择“禁用”（使用PC作为L2TP客户端，不建议启用隧道验证功能）

·     PPP认证方式：选择“CHAP”

·     虚拟模板接口地址：172.16.10.1（根据实际情况输入，不要和内网IP地址相同）

·     子网掩码：255.255.255.0（根据实际情况输入）

·     DNS1：114.114.114.114（输入可用DNS即可）

·     DNS2：8.8.8.8（输入可用DNS即可）

·     用户地址池：172.16.10.2-172.16.10.5（根据实际情况输入）

·     Hello报文间隔：保持缺省值60秒

·     单击“确定”按钮，完成LNS1的添加

图3 配置LNS1

(2)     配置LNS2（供分部路由器连接）

#在L2TP配置页面，单击“添加”按钮，进入“新建L2TP组”配置页面，完成如下参数配置：

·     对端隧道名称：LAC（根据情况自定义）

·     本端隧道名称：LNS2

·     隧道验证：选择“启用”，并输入隧道验证密码“abc123”

·     PPP认证方式：选择“CHAP”

·     虚拟模板接口地址：172.16.20.1（根据实际情况输入，不要和内网IP地址在同一网段）

·     子网掩码：255.255.255.0（根据实际情况输入）

·     DNS1：114.114.114.114（输入可用DNS即可）

·     DNS2：8.8.8.8（输入可用DNS即可）

·     用户地址池：172.16.20.2-172.16.20.5（根据情况输入）

·     Hello报文间隔：保持缺省值60秒

·     单击“确认”按钮，完成LNS2的添加

图4 配置LNS2

图5 L2TP组配置

3. 添加L2TP用户

(1)     为分部路由器做客户端添加账号名和密码

#选择“虚拟专网（VPN）>L2TP服务器端”，单击“L2TP用户”页签，进入L2TP用户配置页面，单击“添加”按钮，进入添加用户页面，配置下面参数：

·     账号名：vpdn1（根据实际情况自定义即可）

·     状态：选择“可用”

·     密码：user123（根据实际情况自定义即可）

·     最大用户数：1（根据实际需要设置该账号同时可支持多少L2TP客户端连接）

·     有效日期：不配置（若选择“配置”，则需要在日期选择框中选则账号权限到期日期）

·     单击“确定”按钮，完成配置

图6 添加L2TP用户

(2)     为出差员工PC添加账号名和密码

按照同样的步骤为出差员工添加账号名为vpdnuser，密码为：user1234。

4.3.2  配置Router B

1. 配置WAN1接口连接Internet

# 选择“网络设置 > 外网配置”，进入外网配置页面：

(1)     在“配置接口模式”页面中勾选“单WAN模式”，单击“应用”按钮完成配置；

(2)     单击“WAN配置”页签，进入WAN配置页面，单击WAN1接口对应操作列编辑图标，进入修改WAN配置页面，配置如下参数：

¡     连接模式：固定地址

¡     IP地址：20.1.2.1

¡     子网掩码：255.255.255.0

¡     网关地址：20.1.2.254

¡     其它参数保持默认配置即可

(3)     单击“确定”按钮保存配置。

图7 配置WAN1接口连接Internet

2. 启用并配置L2TP客户端

#选择“虚拟专网（VPN）>L2TP客户端”，单击“L2TP客户端”页签，进入L2TP客户端配置页面，选择“启用L2TP客户端”选项，单击“确定”按钮，完成L2TP客户端的启用。单击“添加”按钮，进入“新建L2TP组”页面，配置下面参数：

·     本端隧道名称：LAC

·     地址获取方式：选择“动态”

·     隧道验证：选择“启用”，并输入LNS2中设置的密码abc123

·     PPP认证方式：选择“CHAP”，用户名配置项处输入vpdn1，密码配置项处输入user123

·     NAT地址转换：选择“启用”（若选择“不启用”，需要总部添加到分部的静态路由）

·     L2TP服务器端地址：20.1.1.1（总部WAN1接口IP地址）

·     Hello报文间隔：保持缺省60秒

·     单击“确定”按钮，完成配置

图8 配置L2TP客户端

3. 配置静态路由

#选择“高级选项>静态路由”，进入静态路由配置页面，单击“添加”按钮，进入“添加IPv4静态路由”页面，配置下面参数：

·     目的IP地址：10.1.1.0

·     子网掩码：24

·     下一跳：L2TP1（对应的L2TP隧道接口）

·     其它选项保持默认即可，单击“确定”按钮，完成配置

图9 配置静态路由

4.3.3  配置出差员工PC

#登录出差员工PC桌面，单击桌面右下角（即任务栏中）的网络图标，选择“打开网络和共享中心”。

单击“设置新的连接或网络”选项，创建一个L2TP客户端。

在弹出的设置连接或网络对话框中，选择“连接到工作区”选项，单击“下一步”按钮。

选择“使用我的Internet连接(VPN)(I)”选项，开始配置连接的Internet地址。

在Internet连接(T)配置项中，输入要连接到的L2TP服务器段WAN1接口的IP地址，本例为20.1.1.1；在目的名称配置项中，输入该L2TP客户端的连接的名称，本例为l2tp，单击“下一步”按钮。

在用户名和密码配置项中，分别输入L2TP服务器端设置的用户名和密码，本例用户名为vpdnuser，密码为user1234，单击“连接”按钮进行连接。

单击桌面右下角的网络图标，右键单击L2TP客户端名称（如“l2tp”），选择“属性”选项。

在弹出属性对话框中，选择“安全”页签，在“VPN类型(T)”中选择“使用IPsec的第2层隧道协议(L2TP/IPSec)”，在“数据加密(D)”中选择“可选加密（没有加密也可以连接）”，单击“确定”按钮使得配置生效。

打开L2TP协议的拨号终端窗口，在弹出连接对话框中输入用户名：vpdnuser，密码：uesr1234，单击“连接”按钮进行连接。

4.3.4  验证配置

出差员工PC和分部员工PC都可以访问总部服务器，配置验证成功。登录总部路由器RouterA Web管理界面，选择“虚拟专网（VPN）>L2TP服务器端”，单击“隧道信息”页签，可以查看对应的L2TP隧道信息。

图10 隧道信息

你好，我用的是同款设备，想请教一下，配置L2TP VPN之后，外部员工无法连接到内网是怎么回事，也不是完全连接不上，如果外部员工使用动态IP上网的话，VPN能连接但无法使用，但是在固定IP的网络环境下就没问题。请问一下你是怎么设置的？谢谢！