实验拓扑如下：

实验要求：

简历L2TP链路访问服务器（防火墙不支持web页面配置）

预备

将FW1的g1/0/0接口加入trust接口

将FW2的g1/0/1加入untrust接口

将FW2的g1/0/0加入trust接口

将FW3的g1/0/0加入untrust接口

将FW3的g1/0/1加入trust接口

1. 创建拨号接口

[USG6000V1-Dialer1]dis th

2025-03-16 11:55:29.690

#

interface Dialer1

 link-protocol ppp  --建立ppp通道

 ppp chap user user1  --chap认证用户

 ppp chap password cipher %$%$W)Q1+$UkQ:5:,F2cb,%4}/G=%$%$  --chap的认证密码

 ip address ppp-negotiate  --获取ip的方式为ppp邻居分配 邻居通过IPCP协议分配ip

 dialer user user1  --拨号用户

 dialer bundle 1  --拨号程序

 dialer-group 1  --拨号组

[USG6000V1]dialer-rule 1 ip permit  ---配置拨号访问控制列表，允许所有IPv4报文

通过拨号口，数字1必须与拨号组编号相同。

[USG6000V1-GigabitEthernet1/0/0]pppoe-client dial-bundle-number 1 --物理口上启动程序

[FW2]interfaceVirtual-Template1

[FW2-Virtual-Template1]dis th

2025-03-16 12:01:28.630

#

interface Virtual-Template1

 ppp authentication-mode chap  --ppp的认证方式为chap

 ip address 2.2.2.2 255.255.255.0  --给虚拟口添加ip

#

Return

[FW2]firewall zone dmz

[FW2-zone-dmz]dis th

2025-03-16 12:03:31.070

#

firewall zone dmz

 set priority 50

 add interface Virtual-Template1

[FW2-GigabitEthernet1/0/0]pppoe-server bind virtual-template 1  -- 虚拟口依附在物理接口上

[FW2]aaa

[FW2-aaa]domain default  --设置为默认模式

[FW2-aaa-domain-default]service-type l2tp  --将链接模式设置为l2tp

[FW2]user-manage user user1 domain default

[FW2-localuser-user1]password Password123  --添加用户

L2PT隧道建立

[FW-2]l2tp enable --开启服务

[FW2-l2tp-1]dis th

2025-03-16 12:21:13.900

#

l2tp-group 1

 tunnel password cipher %$%$._Ws=8-Md:&{=fG98|M-,\N,%$%$

 tunnel name lac

 start l2tp ip 20.1.1.2 fullusername user1  --设置FW3模式和FW2地址，以及指定用户

#

[FW3]ip pool l2tp

[FW3-ip-pool-l2tp]section 0 172.16.0.2 172.16.0.100  --设置l2tp地址池

[FW3]aaa

[FW3-aaa]service-scheme l2tp

[FW3-aaa-service-l2tp]ip-pool l2tp  --调用l2tp地址池

[FW3-aaa]domain default

[FW3-aaa-domain-default]service-type l2tp

[FW3]user-manage user user1 domain default

[FW3-localuser-user1]password Password123

[FW3]int Virtual-Template1

[FW3-Virtual-Template1]ppp

[FW3-Virtual-Template1]ppp authentication-mode chap  --修改ppp通道模式 

[FW3-Virtual-Template1]ip ad 172.16.0.1 24

[FW3-Virtual-Template1]remote service-scheme l2tp  --调用l2tp地址池

[FW3]firewall zone dmz

[FW3-zone-dmz]add interface Virtual-Template 1

[FW3]l2tp enable   

[FW3]l2tp-group 1

[FW3-l2tp-1]allow l2tp virtual-template 1 remote lac domain default  --允许l2tp的通道对端通道名字为lac

[FW3-l2tp-1]tunnel authentication --l2tp链路

[FW3-l2tp-1]tunnel password cipher Hello123

[FW2]security-policy

[FW2-policy-security]default action permit

[FW3]security-policy

[FW3-policy-security]default action permit

[FW1]ip route-static 0.0.0.0 0 Dialer 1

[FW1-zone-dmz]add int Dialer 1  --补充路由