Mer5200,l2tp连接后不能上网

一、故障根因说明
Windows 自带 L2TP 客户端默认勾选「在远程网络上使用默认网关」，拨号成功后会生成一条优先级更高的 0.0.0.0/0 默认路由，所有流量全部转发到 MER5200 的 VPN 隧道。
你现在断开后无法上网，是MER 缺少针对 VPN 地址池的源 NAT，外网流量进入设备后没有做地址转换，无法转发互联网；之前工程师配置时一定加了 VPN 网段的 NAPT 策略，更换公网 IP 后配置丢失 / 删除。
华三 MER V7 的 L2TP 没有命令强制客户端不生成全局默认路由，根治方案是完善 VPN 侧 NAT + 回程路由，PC 端无需任何修改，保持默认勾选即可同时访问内网、互联网。
二、完整补充配置（直接复制到设备执行）
1. 新增 VPN 地址池 NAT（核心缺失配置，不上网根源）
plaintext
system-view
# 创建ACL匹配所有VPN拨号客户端网段
acl basic 3000
rule permit source 10.8.195.0 0.0.0.255
# 配置easy-ip，借用MER外网出接口公网IP做源NAT
nat address-group vpn-nat interface GigabitEthernet 0/0
nat policy
rule 10 permit source 10.8.195.0 0.0.0.255 destination any
action nat address-group vpn-nat
注意：GigabitEthernet 0/0替换为你 MER 实际的外网拨号 / 固定 IP 接口。
2. 安全域放行 VPN 流量（MER 防火墙默认拦截跨域流量）
MER5200 有安全域隔离，VT 虚拟模板接口必须加入安全域，否则流量转发阻断：
plaintext
# 外网Untrust域：放外网接口
security-zone name Untrust
import interface GigabitEthernet 0/0
# VPN虚拟模板加入Untrust（VPN客户端流量进出外网）
import interface Virtual-Template 1
# 内网Trust域（公司本地内网接口）
security-zone name Trust
import interface GigabitEthernet 0/1
# 全域放通VPN双向访问策略
security-policy ip
rule pass_vpn_to_internet
source-zone Untrust
destination-zone Untrust
action pass
rule pass_vpn_to_local
source-zone Untrust
destination-zone Trust
action pass
3. 核对 L2TP 完整配置（你现有配置缺少 IPSec 预共享密钥，Windows 原生 L2TP 必须 IPSec 加密，否则协商异常）
Windows 自带 VPN 是 L2TP over IPSec，只配 L2TP 不配置 IPSec 密钥会出现拨号成功但转发异常：
plaintext
system-view
# 全局开启IPSec
ipsec enable
# 配置预共享密钥（Windows客户端VPN安全页填写相同密钥）
ike proposal 10
encryption-algorithm aes-256
dh group14
ike peer l2tp-ike pre-shared-key simple Vpn@2026
ike-proposal 10
remote-identity any
# VT模板绑定IKE策略
interface Virtual-Template1
ike-peer l2tp-ike
4. 确认内网回程路由（MER 内网能回包给 VPN 客户端）
MER 默认自动生成 VPN 网段 10.8.195.0/24 回程路由，执行查看：
plaintext
display ip routing-table | include 10.8.195
若无自动路由，手动添加：
plaintext
ip route-static 10.8.195.0 255.255.255.0 Virtual-Template 1
三、配置完成后效果
Windows 客户端保持默认勾选「在远程网络上使用默认网关」，无需手动取消；
所有流量（内网业务 + 互联网）全部走 VPN 隧道到 MER；
MER 匹配 NAT 策略将 10.8.195.x 源地址转换为公网 IP，正常访问外网；
访问公司内网时路由正常互通，无需 PC 端添加任何静态路由。
四、若需求改为「内网走 VPN、外网走本地宽带（分离隧道）」
如果你想实现不全部流量进 VPN（取消勾选网关那种效果，不用用户手动操作），需要在 VT 模板下发仅内网明细路由，不推送默认路由：
plaintext
# 在内网有192.168.1.0/24业务网段举例
interface Virtual-Template1
ppp ipcp route static 192.168.1.0 mask 255.255.255.0
下发明细内网路由后，Windows 会自动区分：
公司内网：走 VPN 隧道；
互联网：走 PC 本地宽带网关；
用户依旧不需要手动取消勾选，系统自动分流。
五、故障验证排查命令
查看 NAT 转换条目，确认 VPN 流量做地址转换
plaintext
display nat session table source 10.8.195
查看 L2TP 会话是否正常建立
plaintext
display l2tp session
查看安全策略是否放行流量
plaintext
display security-policy ip statistics rule pass_vpn_to_internet
客户端侧路由表验证
plaintext
route print
# 存在0.0.0.0指向10.8.195.1（MER VPN网关）即为正常
六、关键总结
你更换公网 IP 后失效的核心缺失是 VPN 网段 NAT 策略，之前工程师配置时添加了对应源 NAT，IP 变更后配置丢失；补充 NAT+IPSec 完整配置后，PC 保持默认勾选即可同时上内网和互联网，不需要终端任何操作。