Cisco IOS L2TP强制隧道+Remote AAA实验 警告：工大瑞普内部资料严禁

1、Cisco IOS L2TP强制隧道+Remote AAA实验警告：工大瑞普内部资料，严禁泄漏！作者：王琳琳工大瑞普思科课程开发小组拓扑图图片附件: remote aaa l2tp.gif (2006-7-28 18:15, 37.05 K)1、配置ISP的PSTN拨号，并测试连通性。ISP_LAC(config)#line 129ISP_LAC(config-line)#modem InOutISP_LAC(config-line)#modem autoconfigure type defaultISP_LAC(config-line)#transport input allISP_LAC(

2、config-line)#stopbits 1ISP_LAC(config-line)#flowcontrol hardwareISP_LAC(config-line)#exitISP_LAC(config)#interface async 129ISP_LAC(config-if)#ip address 192.168.1.1 255.255.255.0ISP_LAC(config-if)#encapsulation pppISP_LAC(config-if)#no ip route-cacheISP_LAC(config-if)#async mode interactiveISP_LAC(

3、config-if)#peer default ip address 192.168.1.2ISP_LAC(config-if)#ppp authentication chapISP_LAC(config-if)#exitISP_LAC(config)#username mytest password ciscoISP_LAC(config)#line 129ISP_LAC(config-line)#autoselect ppp从Remote Access Client呼叫ISP路由器，并测试其连通性。2、在ISP端配置L2TP准备工作。ISP_LAC(config)#interface as

4、ync 129ISP_LAC(config-if)#no ip addressISP_LAC(config-if)#no peer default ip addressISP_LAC(config-if)#exitISP_LAC(config)#no username mytestISP_LAC(config)#interface Serial0/0ISP_LAC(config-if)#ip address 173.16.1.1 255.255.255.252ISP_LAC(config-if)#no shutdownISP_LAC(config-if)#exitISP_LAC(config)

5、#interface FastEthernet0/0ISP_LAC(config-if)#ip address 202.195.30.129 255.255.255.0ISP_LAC(config-if)#no shutdownISP_LAC(config-if)#exitISP_LAC(config)#ip route 0.0.0.0 0.0.0.0 173.16.1.23、在ISP端配置AAA和启动VPDN。ISP_LAC(config)#vpdn enableISP_LAC(config)#vpdn search-order domainISP_LAC(config)#aaa new-m

6、odelISP_LAC(config)#username admin password ciscoISP_LAC(config)#radius-server host 202.195.30.66 key ciscoISP_LAC(config)#aaa authentication login default localISP_LAC(config)#aaa authentication ppp default group radiusISP_LAC(config)#aaa authorization network default group radius4、ISP端ACS主要配置。隧道定义

7、可以使用Cisco AV Pair或标准IETF属性定义，下面分别介绍这两种方法。方法一：使用Cisco AV Pair在Network Configuration中添加AAA Client，将认证协议选为Radius(Cisco IOS/PIX)。在User Setup中添加用户，用户名为隧道的域名(例如：)，密码固定为cisco。编辑Group Setup，确保“IP Assignment”设置为“No IP address assignment”。图片附件: 0副本.gif (2006-7-28 18:16, 15.51 K)编辑“Cisco IOS/PIX RADIUS Attribu

8、tes”中的“Cisco AV Pair”，按如下格式设置其属性：vpdn:tunnel-id=ISP_LACvpdn:tunnel-type=l2tpvpdn:ip-addresses=173.16.1.5vpdn:l2tp-tunnel-password=juniper图片附件: 1副本.gif (2006-7-28 18:16, 15.26 K)编辑“IETF RADIUS Attributes”中的“Service-Type”，如下图：图片附件: 2副本.gif (2006-7-28 18:17, 14.53 K)方法二：使用标准IETF属性在Network Configuration

9、中添加AAA Client，将认证协议选为Radius(Cisco IOS/PIX)。在User Setup中添加用户，用户名为隧道的域名(例如：)，密码固定为cisco。编辑Group Setup，确保“IP Assignment”设置为“No IP address assignment”。图片附件: 0副本.gif (2006-7-28 18:26, 15.51 K)编辑“IETF RADIUS Attributes”中的“Service-Type”，如下图：图片附件: 3副本.gif (2006-7-28 18:30, 17.93 K)点击“Interface Configuration

10、”，选中“Radius(IETF)”。选中064 Tunnel-Type、065 Tunnel-Medium-Type、067 Tunnel-Server-Endpoint、069 Tunnel-Password、082 Tunnel-Assignment-ID。图片附件: 4副本.gif (2006-7-28 18:17, 3.04 K)重新编辑Group Setup，按下图所示设置“IETF RADIUS Attributes”。图片附件: 3副本.gif (2006-7-28 18:17, 17.93 K)  6、在企业端配置L2TP准备工作。ENT_LNS(conf

11、ig)#interface FastEthernet0/0ENT_LNS(config-if)#ip address 10.10.1.1 255.255.255.0ENT_LNS(config-if)#no shutdownENT_LNS(config)#interface Serial0/0ENT_LNS(config-if)#ip address 173.16.1.5 255.255.255.252ENT_LNS(config-if)#no shutdownENT_LNS(config)#ip route 0.0.0.0 0.0.0.0 173.16.1.67、在企业端配置L2TP与AAA

12、。ENT_LNS(config)#aaa new-modelENT_LNS(config)#username admin password juniperENT_LNS(config)#radius-server host 10.10.1.2 key ciscoENT_LNS(config)#aaa authentication login default localENT_LNS(config)#aaa authentication ppp default group radiusENT_LNS(config)#aaa authorization network default group

13、radiusENT_LNS(config)#vpdn enableENT_LNS(config)#vpdn-group myl2tpENT_LNS(config-vpdn)#accept-dialinENT_LNS(config-vpdn-acc-in)#protocol l2tpENT_LNS(config-vpdn-acc-in)#virtual-template 1ENT_LNS(config-vpdn-acc-in)#exitENT_LNS(config-vpdn)#terminate-from hostname ISP_LACENT_LNS(config-vpdn)#l2tp tun

14、nel password 0 juniperENT_LNS(config-vpdn)#local name ENT_LNSENT_LNS(config)#interface Virtual-Template1 ENT_LNS(config-if)#ip unnumbered FastEthernet0/0ENT_LNS(config-if)#encapsulation pppENT_LNS(config-if)#ppp authentication chap8、在企业端配置ACS。在Network Configuration中添加AAA Client，将认证协议选为Radius(Cisco IOS/PIX)。在User Setup中添加用户，用户名为完整用户名(例如：wanglinlin)，密码为用户自定义。编辑Group Setup，按下图所示进行设置。图片附件: 5副本.gif (2006-7-28 18:17, 14.73 K)点击“Interface Configuration”，在“Advanced Options”中选中“IP Pools”，这样就会在“System Configuration”中出现“IP Pool Server”选项，如下图所示。图片附件: 6副本.gif (2006-7-28 18:17, 16.1 K)点击“I