L2TP隧道.doc

L2TP隧道(L2TP Tunnel)就是指在第二层隧道协议(L2TP)端点之间得逻辑链接:LAC(L2TP接入聚合器)与LNS(L2TP网络服务器)。当LNS就是服务器时,LAC就是隧道得发起人,它等待新得隧道。一旦一个隧道被确立,在这个点之间得新通信将就是双向得。为了对网络有用,高层协议例如点对点协议(PPP)然后通过L2TP隧道。
今天刚好在学Juniper防火墙得时候,刚好学到L2TP VPN得配置,那么今天我们来瞧瞧使用Juniper防火墙来做L2TP VPN。
第一步:点击:Objects>IP Pools我们添加一个IP地址池,这个地址池主要用来给我们通过L2TP VPN拨号进来得用户分配得内网得IP 地址。

如上图:IP Pool Name就就是给我们地址池起上一个名字,以便我们以后好调用。
Start IP:我们地址池起始得IP地址
End IP:我们地址池结束得IP地址
输入好以后点击OK就行了。

当我们建立好之后,它自动会返回到我们一个地址池汇总得地方,在这里我们可以瞧见我们刚才建立得那一个地址池。
当我们地址池建立以后进入“Objects>Users>Local”里面去建立我们得用户。如下图点击右上角得“New”来新建我们得用户。

如下图:User Name:输入用户名
              Status:  Enable
              User Password:输入密码
              Confirm Password:输入确认密码
            将L2TP User选中,因为我们这个用户将用来给通过L2TP拨号进来得用户登录使用得。

按照上面图得步骤,我们再建立一个cisco用户名。当我们建立好之后,就会瞧见如下图显示两个用户名。

当我们建立好用户以后,我们还要建立一个用户组,将我们得用户加入该组里面。

在Group Name后面输入我们得组名,我这里输入得就是“aa”,而在我们“Available Members这里面显示得就是我们刚才建立好得用户名,但就是下图应该还有一个cisco用户才对。而“Group Members”这里面就就是我们得组成员,我们选中“Available Members”下面得用户,点击“<<”这个按钮加入到左边得“Group Members”里面,这样在“Group Members”里面就会显示我们加入过来得成员了。

当我们设置好以后点击“OK”,返回到我们得"Local Groups"页面,我们在下面就会瞧见我们刚才建立得“aa”组了。还有组得类型,组成员这些。

下面进入缺省L2TP设置“VPNs>L2TP>Default Settings”里面,我们要修改得有几项,第一项“IP Pool Name”在这里选择我们刚才建立得那个地址池“L2TPPool”,第二项就就是“PPP Authentication”这里我们使用“CHAP”来进行认证。下面一个就就是“DNS”其实这个设置与不设置效果一样。只不过在后面我们给通过L2TP拨号上来得用户分配DNS而已。
当设置好以后点击“Apply”应用就行了。

下面我们要建立L2TP遂道。我们可以从下图瞧见,默认情况下就是没有得。我们点击右上角得“New”来进行新建一个。

下图就就是我们新建L2TP遂遂得一个例子。我们来瞧瞧,下面应该如何来设置呢？
Name:遂道得名称
Authentication Server: Local 认证我们使用本地认证。我们这里没有配置AAA所以就使用本地人证。
Dialup Group: Local Dialup Group aa这里就就是我们刚才建立得那个拨号组,里面有两个用户test、cisco,用于我们拨号使用

Outgoing Interface: untrust  我们出去通过那个接口,因为我这就是一款低端得juniper防火墙,只有trust与untrust,因为我们外网接得就是untrust,所以我就只能选择untrust。
其它默认就行,好了以后点击“OK”

而当我们建立成工以后,在“VPNsgt;L2TP>Tunnel”里面会显示我们刚才建立得条目。

下面我们来设置策略“Policy>Policis”在这下面有一个“From”后面选择“untrust”,“TO”后面选择“Trust”表示,我们现在要建立一条策略就是从“Untrust”到“Trust”得,选择好以后点击后面得“New”来进行建立。

在这里面我们需要设置以下几项:
Source Address:
Address Book: DialUp VPN
Destination Address:
Address Book: Any
Service: ANY
Action: Tunnel
Tunnel L2TP: test_vpn    这里就就是设置我们刚才建立得那个遂道名称
Position at Top:选择
其它默认设置,设置好以后,就点击“OK”

到此为止,我们Juniper防火墙上面得设置就已经完成了。那么我们再来我们得PC上面如何来设置呢？
其实现在得建立很简单了。就就是建立一个VPN得拨号连接。
在我们得PC得桌面上,右击“网上邻居”选择“属性”。
在左边有一个“创建一个新得连接”
这时就会出现下面得一个“新建连接向导”得欢迎页面。

在这后面先择“连接到我得工作场所得网络”,我们也可以瞧见下面得说明“使用拨号或VPN”。因为我们这里使用得就是L2TP VPN。

下面这里我们选择“虚拟专用网络连接”因为我们要使用得就是VPN,如果我们使用得就是ISDN得话我们就选择上面得“拨号连接”,但就是现在ISDN基本上都没有用过了。

下面就就是给我们得这个连接起上一个名称。我这里取得一个就是“test”

下面这里就就是填写我们“VPN服务器”得IP地址或者域名也行。

当我们把这些设置好了以后就会显示“正在完成新建连接向导”。我们点击“完成”就可以了。

当我们在“网络连接”里面就会多一个“虚拟专用网络”下面有一个“test”得连接。这表示我们这个VPN拨号已经建立成功了。

位就是当我们建立好以后还不能直接拨号得,因为我们还要设置一些东西。
如下图,我们选择“高级(自定义设置)”以后,选择“设置”。

在“数据加密(D)”下面选择“可选加密(没有加密也可以连接)”,还有下面“允许这些协议”下面得“质询握手身份验证协议(CHAP)”,因为我们在Juniper防火墙上面得策略里面设置“PPP”得认证使用得就是“CHAP”。其它得保持不变。

在“网络”里面,“VPN类型”我们将它改成“L2TP IPSec VPN”因为我们这里使用得就是“L2TP VPN”,所以这里我们直接选择这个就行了。

但就是现在设置好以后还拨号不行。对于我们XP来说,我们还需要修改一下注册表才行。那么下面我们来瞧瞧注册表如何修改呢？
打开“运行”输入“regedit”来打开“注册表”。

打开“注册表”找到以下这个表项:“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Service\RasMan\Parameters”,在右边新填一个“DOWN值”。

将这个“DOWN值”改名成“ProhibitIpSec”。

将其值修改成“1”

好了,重启一下计算机,然后我们就可以进行拨号了。
重启之后我们打开我们前面建立得那个“test(虚拟专用网络连接)”,输入我们前面建立得“用户名及密码”点击连接。

下图就就是我们连接到服务器在核对用户名与密码”

当我们拨号成功以后,在“通知区域”会显示一个“网络连接”。

当我们点击这个网络连接查瞧详情。

从上图我们可以瞧出来服务器得IP地址,服务器给我们分配得IP地址。以及服务器类型,传输使用得就是TCP/IP,身份验证使用得就是MD5/CHAP。
其实上面这拨号这一步,很类似于我们得“PPPoE拨号”。
当我们获得服务器给我们分配得IP地址以后,我们就可以直接ping通我们Juniper防火墙内网得用户服了。我们来瞧瞧ping通Juniper防火墙trust得IP地址,也就就是我们内网得网关。

从上图我们可以瞧出来,能够正常访问我们得192、168、1、1。注意这就是拨号成功以后才能够正常访问,那么们现在将这个vpn拨号连接给断开瞧瞧能否再ping通呢？

从上图我们可以瞧见,当我们得vpn判断以后,就是无法再次ping通我们Juniper内网得IP地址了。
好了,到此为止,我们得“L2TP”就已经配置完成了。但就是在这里要注意得就是,这里跑得所有数据都没有经过加密得哦！如果要进行加密得话,我们就就是使用到“L2TP over IPSec VPN”等那天空了,我再把这种得VPN再写一篇文章出来与大家分享分享。
本文出自 51CTO、技术博客