技术支持文档中心路由器接入路由器AR1000&2000&3000配置调测配置案例

AR100, AR120, AR150, AR160, AR200, AR300, AR1200, AR2200, AR3200, AR3600 典型配置案例（命令行）

配置分支与总部之间通过L2TP方式实现互通，且与总部服务器之间的数据通过IPSec加密传输的示例

配置分支与总部之间通过L2TP方式实现互通，且与总部服务器之间的数据通过IPSec加密传输的示例

规格

适用于所有版本、所有形态的AR路由器。

组网需求

如图6-2所示，企业总部在其他城市设有分支机构，分支机构部署为以太网络。

要求总部能为分支用户提供VPDN接入服务，允许分支内的任意用户接入。而且分支访问总部内网服务器时，需提供数据安全加密，防止数据被窃取。

配置LAC自拨号的方式，在LAC和LNS之间建立L2TP连接，实现总部为分支用户提供VPDN接入服务。然后配置IPSec，实现加密保护分支和总部内网服务器的交互数据，在LAC和LNS间IPSec加密数据通过L2TP隧道传输。

图6-2 IPSec Over L2TP组网图

操作步骤

  1. 配置LAC

    #
 sysname LAC
#
 l2tp enable  //使能L2TP
#
acl number 3000  //配置ACL
 rule 0 permit ip source 10.2.1.0 0.0.0.255 destination 10.3.1.0 0.0.0.255 
#
ipsec proposal lac  //配置安全提议
 esp authentication-algorithm sha2-512
 esp encryption-algorithm aes-256
#
ike peer lac v1  //配置IKE对等体及其使用的协议时，不同的软件版本间的配置有差异：V200R008之前的版本命令为ike peer peer-name [ v1 | v2 ]。V200R008及之后的版本命令为ike peer peer-name和version { 1 | 2 }，如果对等体IKEv1和IKEv2版本同时启用，设备发起协商时会使用IKEv2协议，响应协商时则同时支持IKEv1协议和IKEv2协议。自V200R008版本到V200R021版本，缺省情况下，对等体IKEv1和IKEv2同时启用。如果设备需要使用IKEv1协议，则可以执行命令undo version 2；V200R021及之后版本，缺省情况下，启用对等体IKEv2版本。如果设备需要使用IKEv1协议，需要先执行命令version 1，再执行命令undo version 2。
 pre-shared-key cipher %^%#JvZxR2g8c;a9~FPN~n'$7`DEV&=G(=Et02P/%\*!%^%#  //配置预共享密钥认证字为“huawei”，以密文显示，该命令在V2R3C00以前的版本中为“pre-shared-key huawei”，以明文显示
 remote-address 10.4.1.1  //指定IPSec对端的接口地址进行协商
#
ipsec policy lac 1 isakmp  //配置安全策略
 security acl 3000
 ike-peer lac
 proposal lac
#
interface Virtual-Template1  //创建VT虚拟接口模板
 ppp chap user huawei  //配置虚拟PPP用户的用户名为huawei
 ppp chap password cipher %@%@\;#%<c~6Y%cNZK/h.pK%:>Uo%@%@  //配置虚拟PPP用户的密码名为Huawei@1234
 ip address ppp-negotiate  //配置地址协商
 l2tp-auto-client enable  //L2TP自拨号方式
 ipsec policy lac  //绑定安全策略
#
interface GigabitEthernet1/0/0
 ip address 1.1.1.1 255.255.255.0
#
interface GigabitEthernet2/0/0
 ip address 10.2.1.1 255.255.255.0
#
l2tp-group 1  //设置一个L2TP组并配置相关属性
 tunnel password cipher %@%@7v&1O#yr\#gl]w=Rk^uY:>@"%@%@  //使能隧道认证，配置密文密码为huawei，和对端认证一致
 tunnel name lac
 start l2tp ip 1.1.2.1 fullusername huawei
#
ip route-static 10.3.1.0 255.255.255.0 Virtual-Template1 10.1.1.1  //配置静态路由
ip route-static 10.4.1.0 255.255.255.0 Virtual-Template1  
#
return

  2. 配置LNS

    #
 sysname LNS
#
 l2tp enable  //使能L2TP
#
ip pool 1  //配置IP地址池
 gateway-list 10.1.1.1 
 network 10.1.1.0 mask 255.255.255.0 
#
aaa  //配置本地用户，用户名为huawei，密码为Huawei@1234
 local-user huawei password cipher %^%#_<`.CO&(:LeS/$#F\H0Qv8B]KAZja3}3q'RNx;VI%^%#
 local-user huawei privilege level 15  
 local-user huawei service-type ppp
#
interface Virtual-Template1  //创建VT虚拟接口模板
 ppp authentication-mode chap 
 remote address pool 1
 ip address 10.1.1.1 255.255.255.0
#
interface GigabitEthernet1/0/0
 ip address 1.1.2.1 255.255.255.0
#
interface GigabitEthernet2/0/0
 ip address 10.4.1.2 255.255.255.0
#
l2tp-group 1 //设置一个L2TP组并配置相关属性
 allow l2tp virtual-template 1 remote lac
 tunnel password cipher %@%@FN15@5D_BGc=v"2~0=iJ,b+H%@%@  //使能隧道认证，配置密文密码为huawei，和对端认证一致
 tunnel name lns
#
ip route-static 10.2.1.0 255.255.255.0 Virtual-Template1  //配置静态路由
ip route-static 10.3.1.0 255.255.255.0 10.4.1.1
#
return

  3. 配置Router_1

    #
 sysname Router_1
#
acl number 3000  //配置ACL
 rule 0 permit ip source 10.3.1.0 0.0.0.255 destination 10.2.1.0 0.0.0.255 
#
ipsec proposal lac1 //配置安全提议
 esp authentication-algorithm sha2-512
 esp encryption-algorithm aes-256
#
ike peer lac1 v1  //配置IKE对等体及其使用的协议时，不同的软件版本间的配置有差异：V200R008之前的版本命令为ike peer peer-name [ v1 | v2 ]。V200R008及之后的版本命令为ike peer peer-name和version { 1 | 2 }，如果对等体IKEv1和IKEv2版本同时启用，设备发起协商时会使用IKEv2协议，响应协商时则同时支持IKEv1协议和IKEv2协议。自V200R008版本到V200R021版本，缺省情况下，对等体IKEv1和IKEv2同时启用。如果设备需要使用IKEv1协议，则可以执行命令undo version 2；V200R021及之后版本，缺省情况下，启用对等体IKEv2版本。如果设备需要使用IKEv1协议，需要先执行命令version 1，再执行命令undo version 2。
 pre-shared-key cipher %^%#K{JG:rWVHPMnf;5\|,GW(Luq'qi8BT4nOj%5W5=)%^%#  //配置预共享密钥认证字为“huawei”，以密文显示，该命令在V2R3C00以前的版本中为“pre-shared-key huawei”，以明文显示
#
ipsec policy-template temp 1  //配置IPSec策略模板
 security acl 3000
 ike-peer lac1
 proposal lac1
#
ipsec policy lac1 1 isakmp template temp  //配置IPSec策略
#
interface GigabitEthernet1/0/0
 ip address 10.4.1.1 255.255.255.0
 ipsec policy lac1  //绑定安全策略
#
interface GigabitEthernet2/0/0
 ip address 10.3.1.1 255.255.255.0
#
ip route-static 10.1.1.0 255.255.255.0 10.4.1.2  //配置静态路由
ip route-static 10.2.1.0 255.255.255.0 10.4.1.2
#
return

  4. 验证配置结果

    # 在LAC或者LNS上执行命令display l2tp tunnel可看到L2TP隧道及Sessions参数为1会话已建立。

    # 在LAC或者Router_1上执行命令display ike sa可以查看到安全联盟建立成功，其中Flag(s)字段为RD表示SA已建立成功；Phase字段可以看到1和2两个阶段。

    # 分支和总部可以相互Ping通。

配置注意事项

  • LAC和LNS配置的验证用户名和密码必须统一。
  • LAC的IPSec策略绑定在Virtual-Template1下。
  • 配置LAC静态路由时，去往总部网段的路由的出接口必须为Virtual-Template1接口。