MSR810-EI L2TP vpn只允许访问内网，禁用外网

方案一：路由控制法

这是推荐方案，通过在路由器上配置，实现“VPN只传内网数据，上网走本地宽带”。

第一步：配置L2TP VPN服务器端

确保VPN服务器已配置好，并给客户端分配一个专用的内网地址池（例如 192.168.10.0/24），且这个地址池不能与企业内网现有网段冲突。

第二步：配置NAT出接口访问控制（关键步骤）

这是实现“禁止VPN客户端上网”的核心。需要在MSR路由器上配置高级ACL，拒绝来自VPN地址池（如192.168.10.0/24）的流量通过NAT转换访问外网。

• Web界面配置：

1. 登录路由器Web管理页面。

2. 在导航栏中选择 “高级选项” > “地址转换” > “NAT配置”。

3. 编辑用于外网访问的NAT规则，在“源地址”或“ACL”选项中，明确将VPN地址池的网段排除在外。通常，你需要创建一个规则，deny（拒绝） 源地址为VPN地址池的流量。

• • 命令行（CLI）配置参考：

    # 创建一个高级ACL，拒绝来自VPN地址池的流量

    <H3C> system-view
    [H3C] acl advanced 3000
    [H3C-acl-ipv4-adv-3000] rule 5 deny ip source 192.168.10.0 0.0.0.255 # 创建一个规则，允许其他所有流量
    [H3C-acl-ipv4-adv-3000] rule 1000 permit ip
    [H3C-acl-ipv4-adv-3000] quit # 在NAT出接口上应用该ACL
    [H3C] interface GigabitEthernet 0/0/1 # 替换为你的实际外网接口
    [H3C-GigabitEthernet0/0/1] nat outbound 3000

第三步：配置客户端

即使路由器配置正确，如果Windows VPN客户端勾选了“在远程网络上使用默认网关”，客户端的所有流量仍会强制走VPN隧道。因此，必须在客户端取消此勾选：“在远程网络上使用默认网关”。

方案二：策略路由法

如果企业有严格的安全要求，希望从路由器端强制策略，而不信任客户端设置，可以采用此方法。基本思路是：在路由器上创建策略路由，为VPN客户端流量指定转发行为——访问内网走隧道，访问外网则丢弃。

• 配置思路（CLI）：

  # 创建ACL，匹配需要放行的内网流量

  [H3C] acl advanced 3100
  [H3C-acl-ipv4-adv-3100] rule 5 permit ip destination 10.0.0.0 0.255.255.255 # 内网网段
  [H3C-acl-ipv4-adv-3100] quit # 创建策略路由，匹配来自VPN地址池的流量
  [H3C] policy-based-route pbr1 permit node 10
  [H3C-pbr-pbr1-10] if-match acl 3100
  [H3C-pbr-pbr1-10] apply next-hop 10.0.0.1 # 内网网关地址
  [H3C-pbr-pbr1-10] quit [H3C] policy-based-route pbr1 deny node 20
  [H3C-pbr-pbr1-20] if-match acl 3200 # 匹配来自VPN地址池的所有流量
  [H3C-pbr-pbr1-20] quit # 在VPN的VT接口应用策略路由
  [H3C] interface Virtual-Template 1
  [H3C-Virtual-Template1] ip policy-based-route pbr1

 重要提醒

• VPN地址池规划：确保分配给VPN客户端的IP地址池（如192.168.10.0/24），与公司内网现有网段及VPN客户端家庭/酒店局域网的网段都不冲突，否则会导致路由问题。

• DNS解析：如果禁止VPN客户端上网，需要确保其DNS服务器能解析内网域名。通常可以配置VPN客户端使用公司内网的DNS服务器。

• WiNet型号限制：请注意，MSR810-LMS/810-LUS等带有 “-WiNet” 后缀的型号不支持L2TP的LNS（服务器）模式。如果你的设备是WiNet系列，上述方案将不适用，需要检查具体型号。