H3C ER8300G2-X---vpn怎么配置和使用
- 0关注
- 0收藏，40浏览
检查下配置情况：
3 配置举例
3.1 组网需求
如图1所示，Router A和Router B均为ER系列路由器，Router A作为LNS，Host A为其内网主机。Router B作为LAC，通过L2TP拨号连接到Router A，Host B为其内网主机。Host C为接入Internet网的主机，可以通过L2TP拨号连接到Router A。现要求Host B、Host C通过L2TP隧道可以访问Host A的业务。
图1 L2TP典型配置组网图
3.2 配置注意事项
LNS分配的地址池不能与LAC的各接口地址同一网段，否则LAC上无法正确路由选路。
3.3 配置步骤
3.3.1 配置Router A为LNS
(1) 配置LNS分配的IP地址池。
页面向导：VPN→L2TP VPN→L2TP服务端
(2) 配置L2TP拨号认证使用的用户名及密码（多个对端可以用相同用户名拨号，也可使用不同的用户拨号）。
页面向导：VPN→L2TP VPN→L2TP用户管理
3.3.2 配置Router B为LAC
(1) 配置L2TP拨号的用户名、密码、服务器地址和WAN接口等。
· L2TP认证的用户名、密码与LNS上配置一致。
· L2TP服务器地址为LNS接入Internet使用的接口地址，由运营商提供。
· 多WAN的ER路由器需要配置L2TP认证绑定的WAN接口。
页面向导：VPN→L2TP VPN→L2TP客户端
(2) 配置访问LNS内网的路由，目的地址为图1所示的Host A所在网段地址。
页面向导：高级设置→路由设置→静态路由
3.3.3 配置Host C终端使用L2TP拨号(以WIN7为例)
(1) 单击屏幕左下角<开始>按钮，选择[控制面板]，打开“网络和Internet”，选择“网络和共享中心”。在“更改网络设置”中，选择“设置新的连接或网络”。
(2) 选择“连接到工作区”，单击<下一步>按钮。
(3) 选择“使用我的Internet连接（VPN）（I）”。
(4) 在Internet地址栏中输入L2TP服务器的IP地址，并勾选“允许其他人使用此连接（A）”，单击<下一步>按钮。
(5) 输入用户名和密码，用户名和密码用于L2TP拨号认证。
(6) 在网络连接找到创建的L2TP连接，点击右键查看属性，按下图所示修改参数，然后拨号连接。
3.4 验证配置
3.4.1 验证LNS配置成功
远端LAC或终端通过L2TP拨号成功后，可在LNS查看到对应的L2TP拨号会话信息。
页面向导：VPN→L2TP VPN→L2TP状态
3.4.2 验证LAC拨号成功
LAC连接LAS成功后，可查看状态。
页面向导：VPN→L2TP VPN→L2TP状态
在Host B主机上ping操作访问Host A主机。
Host A主机不能主动访问Host B主机。
3.4.3 验证Host C拨号成功
在Host C 主机上查看L2TP状态。
H3C ER8300G2‑X L2TP VPN 故障排查
拓扑：天翼网关 (光猫) → ER8300G2‑X → GR2200 → AP 无线；ER8300G2‑X 开启 L2TP 服务器，花生壳 DDNS 域名，Windows 自带 VPN 拨号失败。
L2TP‑over‑IPSec 必须端口：UDP 500(IKE)、UDP4500(NAT‑T)、UDP1701(L2TP)，不能只映射 1701。
一、首要排查：网络底层（最容易踩坑）
-
确认 ER8300G2‑X WAN 口拿到真实公网 IP
- ER8300G2‑X 看 WAN 地址，如果是
100.64.x.x，属于运营商 CG‑NAT，花生壳内网穿透对 L2TP/IPSec 无效，L2TP 无法跑通，需要联系电信申请公网 IP，把天翼网关改成桥接模式，ER8300G2‑X 做 PPPoE 拨号获取公网 IP。
注意：花生壳 “内网穿透” 适合 HTTP，不支持 UDP 协议的 L2TP/IPSec，不要用花生壳做 L2TP 穿透！L2TP 必须真实公网 IP+DDNS 域名解析。
- ER8300G2‑X 看 WAN 地址，如果是
- 天翼网关不能路由模式（双层 NAT）
- 天翼网关改为桥接，由 ER8300G2‑X 拨号，拿到公网 IP；
- 如果天翼网关保持路由模式，需要在天翼网关做虚拟服务器，同时映射 UDP 500/1701/4500 到 ER8300G2‑X 的 WAN 口内网 IP，并且开启 IPSec‑passthrough，不推荐双层 NAT，容易异常。
- DDNS 花生壳校验 ER8300G2‑X 内置 DDNS 填花生壳账号；在外网电脑 ping 花生壳域名，看解析出来 IP 和 ER8300G2‑X 的 WAN 公网 IP 是否完全一致，不一致说明 DDNS 更新异常。
二、ER8300G2‑X 路由器内部配置检查
- 【VPN‑L2TP 服务器】
- 启用 L2TP 服务器，加密模式：L2TP over IPSec（Windows 自带 VPN 只支持这个模式）；填写预共享密钥 PSK；
- 配置 VPN 地址池，网段不能和公司内网、客户端网段冲突；
- 创建 VPN 本地账号（用户名密码）。
- 【安全设置‑防火墙】
- WAN 侧放行 UDP：500、1701、4500；ER8300G2‑X 开启 L2TP 服务器会自动放行，但升级固件后规则可能丢失，手动确认。
- 【高级‑NAT 设置】开启 IPSec 穿透（VPN‑passthrough）。
- 测试：内网电脑，填写 ER8300G2‑X 的 LAN IP 作为 VPN 服务器地址进行拨号。 ✅内网拨号成功：代表路由器 L2TP 配置没问题，问题出在外网链路、光猫、DDNS、Windows 客户端。 ❌内网拨号失败：路由器配置错误，优先排查地址池、账号、预共享密钥。
重要：GR2200 是内网二级路由器，不影响 VPN 服务器，VPN 服务器在 ER8300G2‑X，流量不走 GR2200。
三、Windows 客户端配置与注册表修复（外网拨号报错 809/789 高频原因）
- VPN 类型必须选：L2TP/IPSec VPN，填写花生壳域名；安全选项里面填写和 ER8300G2‑X 完全一致的预共享密钥（不能有空格）。
- Windows 服务检查（
services.msc），下面服务启动类型自动并且运行：- IKE and AuthIP IPsec Keying Modules
- IPsec Policy Agent
- Remote Access Connection Manager
- 修改注册表（客户端在外网路由器 NAT 环境必须改，修改后重启电脑）FRITZ!Box
regedit
路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent
新建DWORD(32位)：AssumeUDPEncapsulatiOnContextOnSendRule= 2
四、排错顺序（实操步骤）
- ER8300G2‑X 内网测试 VPN 拨号 → 判断路由器 L2TP 是否正常；
- 确认 WAN 口真实公网 IP，排除 CG‑NAT；
- 天翼网关改为桥接，ER8300G2‑X 拨号拿公网 IP；
- 确认花生壳 DDNS 解析 IP 与 WAN 公网 IP 一致；
- Windows 客户端配置 + 注册表 + 重启；
- 使用手机 4G/5G 流量（不要和公司同宽带）测试拨号。
五、备选方案（L2TP 很难调通的情况下）
Windows 自带 L2TP 对 NAT 环境兼容性差，ER8300G2‑X 支持IKEv2，优先改用 IKEv2，不需要客户端注册表，兼容性更好。
一句话极简总结
- 花生壳内网穿透不能用来做 L2TP，L2TP 需要真实公网 IP，DDNS 只做域名解析；CG‑NAT 环境 L2TP 直接无法使用。
- 先在内网测试 VPN 拨号，确认路由器 L2TP 配置没问题，再排查外网链路。
- L2TP‑IPSec 需要 UDP500/1701/4500 全部放行；外网 Windows 客户端需要添加注册表键值，重启电脑。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论