问题描述：
用户通过l2tp访问内网，用了几年的3040路由，今天突然不通了，用户拨号正常获取ip，能访问到3040的0/1内网口，再往里访问内网的其他服务器就ping不通了，从用户端登陆路由器可以ping通内网其他服务器，但是用户不能直接访问到内网，恢复出厂设置重新配置还是不行，请大神看看问题出在了哪里呢？
- 2018-12-05提问
- 举报
-
(0)
最佳答案
你内网几个网段？内网不同的网段能访问那台服务器吗？确认下目标服务配置了正确的ip地址、子网掩码、网关、关闭了防火墙，并且系统能正常启动
- 2018-12-06回答
- 评论(3)
- 举报
-
(0)
内网网段访问正常，防火墙已经关闭，是拨号用户访问不到整个网络，不光是单个服务器。
zhiliao_cpr1H
发表时间：2018-12-06
网络拓扑没变化，之前一直正常，昨天突然就不能访问了
zhiliao_cpr1H
发表时间：2018-12-06
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
第一所有用户都访问不到，PC上问题可以排除，第二几台服务器和3040是在一个交换上，之前只有0/0口配的网关，0/1口只配的ip。将0/1网关添加上也一样不通。
PCping3040的内网网段的接口IP是否能通？
可以ping通
如果说这个都可以通，说明拨号获取地址的PC有跨网段访问的能力，建议在内网服务器上去ping下3040的其他段IP，可以ping外网口IP试试，目前来看问题还是集中在服务器到3040这一段
外网pc都是通过拨号3040的0/0口192获取ip172网段后通过0/1口的10段ip来访问内网的10段的，所以内网服务器只能ping到3040的0/1口
内部服务器的网关是0/1口的IP吗
不是
那意思就是3040和内部服务器之间还过了三层设备了，从内部服务器到3040不是一路默认路由指上来的吗？中间的三层设备上面是配置了静态路由指向3040吗？
Destination/Mask Proto Pre Cost NextHop Interface 0.0.0.0/0 Static 60 0 192.168.30.1 GE0/0 10.120.237.0/24 Direct 0 0 10.120.237.5 GE0/1 10.120.237.5/32 Direct 0 0 127.0.0.1 InLoop0 127.0.0.0/8 Direct 0 0 127.0.0.1 InLoop0 127.0.0.1/32 Direct 0 0 127.0.0.1 InLoop0 172.16.1.0/24 Direct 0 0 172.16.1.1 VT0 172.16.1.1/32 Direct 0 0 127.0.0.1 InLoop0 172.16.1.2/32 Direct 0 0 172.16.1.2 VT0 192.168.30.0/24 Direct 0 0 192.168.30.2 GE0/0 192.168.30.2/32 Direct 0 0 127.0.0.1 InLoop0
中间没有三层设备，3040的0/1口和服务器都在一个交换机上，用户——3040 0/0——0/1——交换机
这个是3040的路由表呀，看下3040和内部服务器之间的三层设备的路由表呢
没有除了傻瓜交换没有其他设备了，就这3040的
clock timezone Beijing add 08:00:00 # super password level 3 simple 123456 # l2tp enable # firewall enable # domain default enable system # dns proxy enable # telnet server enable # dar p2p signature-file cfa0:/p2p_default.mtd # port-security enable # acl number 3100 rule 0 permit ip source 172.16.2.0 0.0.0.255 destination 10.120.237.4 0 rule 100 deny ip source 172.16.2.0 0.0.0.255 # vlan 1 # domain system access-limit disable state active idle-cut disable self-service-url disable ip pool 1 172.16.2.2 172.16.2.254 local-user zhentxczs password simple 123456 service-type ppp # l2tp-group 1 undo tunnel authentication mandatory-lcp allow l2tp virtual-template 0 # interface Aux0 async mode flow link-protocol ppp # interface Cellular0/0 async mode protocol link-protocol ppp # interface Virtual-Template0 ppp authentication-mode pap remote address pool 1 ip address 172.16.2.1 255.255.255.0 # interface NULL0 # interface GigabitEthernet0/0 port link-mode route ip address 192.168.30.2 255.255.255.0 # interface GigabitEthernet0/1 port link-mode route firewall packet-filter 3100 outbound ip address 10.120.237.5 255.255.255.0 # ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet0/0 192.168.30.1 ip route-static 172.16.2.0 255.255.255.0 10.120.237.4 # snmp-agent snmp-agent local-engineid 800063A2033822D6D3E1FD snmp-agent community read public snmp-agent community write private snmp-agent sys-info version all # load xml-configuration # user-interface con 0 user-interface tty 13 user-interface aux 0 user-interface vty 0 4 authentication-mode scheme user privilege level 3
这个是之前备份的配置
不对呀 ，那内部服务器的IP应该跟0/1口同网段才对，那就应该把网关配置成0/1口才对呀
就是在同一个网段，所以之前不要网关在同一个局域网里也是可以访问的，用了几年了今天突然不能访问到了
之前的acl策略是只允许通过.5访问到.4，其他的一律不能访问，现在策略取消了也不行。
意思是说内网服务器的网段和分配给PC的网段是同网段？如果是不同网段，服务器的网关肯定要配置成0/1口才行呀
所有的用户都是拨号获取172.16.2.0网段后通过0/1 10.120.237.5去访问内网10.120.237.x的，服务器的网关和10.120.237.5的网关都是254
那如果服务器的网关不在3040上的话，跨网段怎么能把数据扔到3040呢？
服务器是通信代理，如果改变服务器的网关，下面拨号的用户就不能访问服务器代理的后面的网址了。