华为防火墙L2TP over IPSecVPN 命令行配置实验教程

华为防火墙L2TP over IPSecVPN 命令行配置实验教程

一、实验概述

本实验使用华为eNSP模拟器完成华为防火墙L2TP over IPSecVPN命令行配置，旨在帮助用户理解L2TP over IPSec VPN技术原理和配置方法。

二、实验环境

• 实验环境：Win10专业工作站版系统；VirtualBox、WinPcap_4_1_3、Wireshark-win64-1.12.4三款配套软件；eNSP安装包。
• 实验内容：
  1. 配置网卡的计算机。
  2. 华为eNSP模拟软件。
  3. 交换机与路由器。

三、实验步骤

1. 安装eNSP

1. 安装eNSP的三个配套软件（VirtualBox、WinPcap、Wireshark），安装时三款软件的安装程序均以管理员身份打开，同时都安装在C盘下。
2. 安装ensp，右击以管理员身份运行安装包。
3. 若遇到WinPcap安装报错问题，将以下文件扩展名修改：
   • C:\Windows\SysWOW64 的wpcap.dll改成 wpcap.dll.old。
   • C:\Windows\SysWOW64的packet.dll改成 packet.dll.old。
4. 运行ensp前右击属性，将兼容性和以管理员身份运行设置好。
5. 打开ensp后，注册设备：点击右上角的“注册”按钮，全部勾选。
6. 导入设备包：点击右上角的“新建拓扑”按钮，将需要导入设备包的路由器、交换机、防火墙拖到右边空白处。
7. 启动设备：点击设备，右击选择“启动”。

2. 完成华为防火墙L2TP over IPSecVPN-命令行配置

2.1 L2TP（Layer 2 Tunneling Protocol）概述

L2TP是一种用于承载PPP报文的隧道技术，主要应用在远程办公场景中为出差员工远程访问企业内网资源提供接入服务。

2.2 L2TP over IPSec 适用场景

L2TP over IPSec适用于分支网络、出差员工通过LAC拨号接入VPN并进行安全访问的场景，适用于V800R021C10及以后版本的ME60系列、NE40E系列及NE8000系列路由器。

2.3 L2TP over IPSec Server配置

2.3.1 配置L2TP

1. 开启L2TP功能：
   • l2tp enable
2. 配置远程用户接入地址池：
   • Ip pool l2tp-pool
   • section 0 192.168.30.100 192.168.30.200
3. 配置L2TP服务方案：
   • Aaa
   • service-scheme l2tp-scheme
   • ip-pool l2tp-pool
4. 配置L2TP的服务模板：
   • interface Virtual-Template0
   • ppp authentication-mode chap pap
   • remote service-scheme l2tp-scheme
   • ip address 192.168.30.1 24
5. 将VT拨号模板加入dmz区域：
   • [FW1-zone-dmz]add interface Virtual-Template 0
6. 配置L2TP的拨号组：
   • l2tp-group l2tp-group1
   • tunnel password cipher Welcome@123
   • tunnel name LNS
   • allow l2tp virtual-template 0 remote client domain default

2.3.2 配置接入用户账号

1. [FW1]user-manage user user1
2. [FW1-localuser-user1]password Welcome@123
3. [FW1-localuser-user1]q

2.3.3 配置L2TP的安全策略

1. security-policy
2. rule name untrust-to-local
3. source-zone untrust
4. destination-zone local
5. destination-address 11.1.1.1 32
6. service l2tp
7. action permit

2.4 实验思路

1. 区域，接口，ip；
2. 配置公网路由；
3. 配置L2TP VPN；
4. 配置安全策略；
5. 配置IPSec VPN；
6. 配置L2TP over IPSec VPN的客户端。

2.5 配置命令解析

• ppp authentication-mode chap pap：表示同时使用CHAP（Challenge-Handshake Authentication Protocol）和PAP（Password Authentication Protocol）身份验证方式。
• allow l2tp virtual-template 0 remote client domain default：表示L2TP虚拟模板0启用远程认证，认证域为默认域。
• disp：表示显示当前配置信息。

2.6 Seco Client配置

2.7 L2TP over IPSEC建立过程

2.8 配置成功后访问内网

2.9 配置IPSec VPN

1. 确定IPSEC的流量，根据源端口号或者目标端口号来进行配置：
   • acl number 3000
   • rule 5 permit udp source-port eq 1701
2. 配置IKE相关的加密算法、认证算法、分组算法：
   • ike proposal 1
   • encryption-algorithm aes-128
   • dh group2
   • authentication-algorithm sha1
3. 配置IPSEC相关策略：
   • ipsec proposal 1
   • esp authentication-algorithm sha1
   • esp encryption-algorithm aes-128
4. 配置IKE Peer：
   • ike peer 1
   • undo version 2
   • pre-shared-key huawei@123
   • ike-proposal 1
5. 配置IPSEC模板：
   • ipsec policy-template map 10
   • security acl 3000
   • ike-peer 1
   • proposal 1
   • ipsec policy map1 10 isakmp template map
6. 配置防火墙安全策略放行相关数据流量：
   • security-policy
   • rule name IPSEC
   • service protocol 50
   • service protocol udp destination-port 500
   • action permit

2.10 继续配置Seco Client

2.11 验证配置

配置完毕后，可以ping通内网设备。

四、实验结果及分析

本次实验成功完成了华为防火墙L2TP over IPSecVPN-命令行配置。通过配置L2TP over IPSec Server，接入用户账号，L2TP的安全策略，以及配置IPSec VPN，成功建立了L2TP over IPSEC的连接，并能够访问内网。实验中使用了eNSP模拟软件和配套软件，以及交换机和路由器等设备，通过命令行配置完成实验目标。实验过程中需要注意各个配置命令的语法和参数设置，以及防火墙的安全策略配置。实验成功完成后，可以更好地理解L2TP over IPSEC VPN的工作原理和应用场景，为实际应用提供参考。

五、注意事项

• 实验过程中，需要根据实际情况修改配置参数，例如IP地址、用户名和密码等。
• 在配置防火墙安全策略时，需要根据实际需求设置安全策略规则，以确保网络安全。
• 使用eNSP模拟器进行实验，并不能完全模拟实际网络环境，在实际应用中需要根据实际网络环境进行调整配置。

六、总结

本实验通过eNSP模拟器完成了华为防火墙L2TP over IPSecVPN命令行配置，帮助用户理解L2TP over IPSec VPN技术原理和配置方法。实验结果表明，配置成功后可以实现安全的远程访问，为实际应用提供了参考。