交换机
园区网交换机
数据中心与云计算交换机
中小网络精简型交换机
工业交换机
意图网络指挥官
无线
放装型无线接入点
墙面型无线接入点
智分无线接入点
室外无线接入点
场景化无线
无线控制器
小锐A系列
统一运维
身份管理
服务产品
运营商
政府
金融
互联网
电力能源
制造业
高教/职教
医疗卫生
交通
地产酒店文旅·连锁服务
公共安全
一、组网需求
如下图所示:NGFW作以旁路模式旁挂在内网交换机上,与锐捷EG设备建立L2TP VPN,NGFW作为服务端(目前NGFW只支持作为L2TP的服务端,不支持作为L2TP的客户端),让两个局域网能通过VPN互相通信。
二、配置要点
1、配置接口地址及开启接口L2TP功能
外网口需要开启允许用户L2TP拨入。
2、配置默认路由及静态路由
3、配置用户及用户组
用户拨入后需要在电脑上添加静态路由;
4、配置L2TP vpn
配置分配给VPN隧道地址段为:10.10.10.0/24
5、配置安全策略
配置外网地址段访问服务器网段允许通过策略;
6、在出口路由器上配置静态路由及端口映射
静态路由:目的网段为VPN虚网段的下一跳为NGFW的ge1接口地址。
端口映射: 将NGFW的管理地址的udp 1701映射出来。
7、配置EG
配置EG的VPN接口地址为固定的10.10.10.10,以便NGFW写静态路由。
三、配置步骤
1、配置接口地址及开启接口L2TP功能
外网口需要开启允许用户L2TP拨入。
2、配置默认路由,指向路由内网口的IP地址192.168.1.1
配置静态路由:到EG内网的192.168.2.0/24网段的下一跳指向EG的VPN接口地址为10.10.10.10
3、配置用户名、用户组
4、配置L2TP vpn
配置分配给VPN隧道地址段为:10.10.10.0/24
5、配置安全策略
配置外网地址段访问服务器网段允许通过策略;
6、在出口路由器上配置静态路由及端口映射
静态路由:目的网段为VPN虚网段的下一跳为NGFW的ge1接口地址。
ip route 192.168.2.0 255.255.255.0 192.168.1.200
端口映射: 将NGFW的管理地址的udp 1701映射出来
ip nat inside source static udp 192.168.1.200 1701 192.168.33.32 1701 permit-inside
7、配置EG(只写出L2TP相关配置及静态路由)
L2TP相关配置:
l2tp-class l2x_1
!
pseudowire-class pw_1
encapsulation l2tpv2
protocol l2tpv2 l2x_1
!
interface Virtual-ppp 1
ppp chap hostname test
ppp chap password 123456
ppp pap sent-username test password 123456
ip tcp adjust-mss 1368
ip mtu 1408
ip address 10.10.10.10 255.255.255.0
pseudowire 192.168.33.32 12 encapsulation l2tpv2 pw-class pw_1
配置静态路由:去往服务端内网的192.168.1.0网段的下一跳指向VPN接口
ip route 192.168.1.0 255.255.255.0 Virtual-ppp 1
四、效果验证
两边PC能互相访问: