MSR930（LAC）对接华为（LNS）L2TP 隧道无法建立

现象：华为设备当 LAC、华为当 LNS 可以正常建立隧道；换成 MSR930 做 LAC，同样的华为 LNS 就建不起来。说明华为 LNS 基础配置、网络链路本身没问题，问题出在友商跨厂商 L2TP 协商参数、隧道名称、隧道认证、PPP 协商差异。

组网模式：LAC‑Auto‑Initiated（路由器自动发起 L2TP 隧道，NAS‑Initiated 模式）

排查顺序（按现场优先级）

1、网络基础检查（UDP‑1701 端口）

1. MSR930 上 ping 华为 LNS 公网 IP 确认路由可达。
2. 中间防火墙 / 运营商不能拦截 UDP 1701（L2TP 端口）；不要做 NAT‑ALG 对 L2TP 特殊处理，部分 NAT‑ALG 会篡改 L2TP 报文导致隧道协商失败。

看隧道状态：

• Wait‑reply：发出 SCCRQ，收不到华为 LNS 回应，优先查 UDP1701 报文是否被丢弃；
• 直接 Idle：MSR930 根本没有向外发起隧道请求，检查l2tp‑auto‑client是否绑定 Virtual‑PPP 接口。

2、隧道名称（跨厂商最高频坑点）

1. MSR930（LAC）配置l2tp‑group下面配置tunnel name XXX，这是本端隧道名称。
2. 华为 LNS 的 l2tp‑group 的 allow 命令必须带上 remote 这个 XXX，严格区分大小写H3C。

华为 LNS 错误示例（没有匹配 MSR 的隧道名）：

华为 LNS 正确写法：

MSR930 LAC 配置：

如果华为 LNS 配置allow l2tp virtual‑template X remote xxx，对端隧道名不匹配，直接丢弃 MSR 发来的 SCCRQ 报文，隧道完全起不来，而华为自家 LAC 隧道名刚好对上，就可以通。

3、隧道认证（tunnel authentication）两边必须保持完全一致

规则：只要任意一端开启隧道认证，另一端必须开启并且密码完全一样；两边都关闭则都不做隧道认证华为。

1. 场景 A：需要隧道认证 MSR930 (LAC)

华为 LNS：

2. 跨厂商对接经常建议关闭隧道认证规避兼容性： MSR930 LAC：

华为 LNS：

一边开，一边关，隧道直接协商失败。很多华为‑H3C 对接现场直接关闭隧道认证，只保留 PPP 账号密码认证。

4、PPP 协商、Virtual‑PPP 接口配置（会话阶段，隧道能起，会话起不来）

MSR930 的Virtual‑PPP 1接口配置，用于自动发起 L2TP：

注意：

1. 华为 LNS 的 virtual‑template 虚拟模板 PPP 认证方式要和 MSR 的 Virtual‑PPP 匹配；
2. 华为 LNS 不要配置mandatory‑lcp强制 LCP 重协商；NAS‑Initiated 模式下开启mandatory‑lcp，友商 LAC 会协商失败H3C。

华为 LNS 侧规避命令：

5、MSR930 完整最小 LAC 参考配置片段

调试排错命令（MSR930 侧收集信息）

重点看 debug 输出：SCCRQ 发送后有没有收到 SCCRP；如果收到 SCCRP 拒绝，看拒绝原因：隧道名不匹配、隧道认证失败。

极简总结

华为 LAC 可以对接华为 LNS，但 MSR930 (H3C LAC) 对接华为 LNS 不通，最高概率两点：①华为 LNS allow l2tp 没有带上 MSR 的 tunnel‑name 对端名称；②隧道认证一边开启一边关闭；③华为 LNS 开启 mandatory‑lcp 强制 LCP 重协商，跨厂商不兼容。 优先两边都关闭隧道认证，华为 LNS 配置 allow 带上 MSR 的隧道名称，关闭 mandatory‑lcp 强制重协商。

提示：华为 LNS 查看隧道组：display l2tp‑group，确认 allow、tunnel‑authentication、mandatory‑lcp 参数。