l2tp over ipsec acl和inode路由如何配置

总部内网：192.168.100.0/24
L2TP 客户端虚拟地址池：192.168.20.0/24（终端上线分配 192.168.20.x）
客户端家用路由做 NAT 上网，Inode 内置 L2TP over IPsec 发起 VPN 接入总部 H3C 网关
目标：VPN 接入后，家用电脑可正常访问总部 192.168.100.0/24
一、ACL 用途拆分
IPSec ACL：放行 L2TP 流量（UDP500/4500、ESP 协议），用来建立 IPSec 加密隧道
域间策略 ACL：放行 VPN 网段 192.168.20.0/24 访问总部内网 192.168.100.0/24
无需配置两端业务网段互指 IPSec 保护流（L2TP over IPSec 采用隧道模式全域封装，不需要业务感兴趣流 ACL）
二、完整配置（H3C MSR/ER/G2/GR 系列通用）
1. 提前定义地址池（给 Inode L2TP 客户端分配 192.168.20.0/24）
bash
# L2TP地址池
ip pool l2tp-pool
network 192.168.20.0 mask 255.255.255.0
gateway-list 192.168.20.254
dns-list 223.5.5.5 114.114.114.114

# 虚拟模板，L2TP三层接口
interface Virtual-Template 1 mode l2tp
ip address 192.168.20.254 255.255.255.0
remote address pool l2tp-pool
ppp authentication-mode chap
2. IPSec 放行 ACL（外网接口放行 IPSec 协商报文，必配）
在外网连接互联网的接口（假设为 G0/0）放行：
bash
acl number 3000
rule permit udp any any eq 500
rule permit udp any any eq 4500
rule permit esp any any
rule permit ah any any

interface GigabitEthernet 0/0
packet-filter 3000 inbound
作用：家用路由器 NAT 环境下，UDP500/4500 用来完成 IPSec NAT-T 协商，否则 NAT 后面的 Inode 无法建立 IPSec 隧道。
3. 内网访问放行 ACL（安全域策略，放行 VPN 网段访问总部内网）
假设：
外网域：Internet
内网域：Trust
VPN 虚拟接口默认归属 VPN 安全域
bash
# 放行VPN网段访问总部内网
acl number 3100
rule permit source 192.168.20.0 0.0.0.255 destination 192.168.100.0 0.0.0.255

security-zone policy interzone VPN Trust inbound
packet-filter 3100 permit
4. 路由配置（总部路由 + Inode 客户端回程路由）
4.1 总部路由器路由（核心）
总部内网网段 192.168.100.0/24 本身直连无需额外路由；
VPN 客户端网段 192.168.20.0/24 已经绑定在 Virtual-Template1，路由器天然存在直连路由，不需要手动添加静态路由。
4.2 下发给 Inode 客户端的回程路由（重点：让电脑能访问 192.168.100.0/24）
两种实现方式，推荐方案 A 自动下发：
方案 A：L2TP 虚拟模板推送静态路由给客户端（自动下发，无需手动在 PC 添加路由）
bash
interface Virtual-Template 1 mode l2tp
# 推送给客户端：访问192.168.100.0/24 下一跳为VPN网关192.168.20.254
route-static 192.168.100.0 255.255.255.0 192.168.20.254
Inode 客户端拨号成功后，系统会自动生成这条路由，电脑即可访问总部内网。
方案 B：如果方案 A 下发路由失效，PC 手动添加路由（备用）
以 Windows CMD 管理员执行：
cmd
route add 192.168.100.0 mask 255.255.255.0 192.168.20.254 metric 10
5. L2TP+IPSec 基础配套完整配置
bash
# 开启L2TP
l2tp enable
l2tp-group 1
tunnel name l2tp-vpn
allow l2tp virtual-template 1

# IPSec策略模板（预共享密钥模式，适配Inode L2TP over IPSec）
ike proposal 10
encryption-algorithm aes-256
authentication-algorithm sha2-256
dh group14

ike peer inode pre-shared-key simple 自定义密钥123456
ike-proposal 10

ipsec proposal l2tp-ipsec
esp encryption-algorithm aes-256
esp authentication-algorithm sha2-256

ipsec policy-template l2tp-template 10
proposal l2tp-ipsec
remote-peer any
ike-peer inode

ipsec policy l2tp-policy isakmp template l2tp-template

# 外网接口绑定IPSec策略
interface GigabitEthernet 0/0
ipsec apply policy l2tp-policy
三、ACL 完整作用总结
ACL3000（绑定外网口 inbound）
放行 ESP、UDP500/4500，解决家用路由 NAT 场景下 IPSec NAT-T 协商失败，是 Inode 在家拨号能连上 VPN 的前提。
ACL3100（域间策略）
放行 VPN 网段 192.168.20.0/24 访问总部内网 192.168.100.0/24，防止防火墙拦截业务互访。
L2TP over IPSec 不需要配置 IPSec 感兴趣流 ACL，区别于普通站点到站点 IPSec。
四、Inode 客户端关键设置
VPN 类型选择：L2TP over IPSec
IPSec 认证：预共享密钥，和路由器 pre-shared-key 保持一致
勾选「经由 NAT 接入」（家用路由必须开启此选项）
认证账号密码使用路由器本地账户 / 域账号。
五、常见不通排查点
家用路由器没有开启 UDP500、4500 端口转发 或者开启了严格防火墙，IPSec 协商失败 → 家用路由关闭防火墙测试。
总部内网设备（192.168.100.x）存在防火墙，未放行 192.168.20.0/24 网段，能建立 VPN 但是 ping 不通内网主机。
客户端没有收到下发的 192.168.100.0/24 路由，手动在 Windows 添加静态路由验证。
安全域放反方向，VPN→Trust inbound 放行，不要配置 outbound。
六、极简路由逻辑
客户端拨号拿到地址：192.168.20.x
网关推送路由：访问 192.168.100.0/24 走 VPN 隧道网关 192.168.20.254
总部路由器收到去往 192.168.100.0 的数据包，转发内网；回程去往 192.168.20.x 匹配 VT1 虚拟接口回隧道。