问
F1000 l2tp over ipsec 对接ldap认证是否可以实现
16小时前提问
- 0关注
- 0收藏，45浏览
zhiliao_Gixe
九段
可行性结论
H3C F1000系列防火墙支持L2TP over IPSec场景下对接LDAP（如AD域）做用户认证，通过AAA域绑定LDAP认证方案实现。
关键配置步骤（以AD域LDAP为例）
1. 配置LDAP认证方案
进入系统视图
system-view
配置LDAP认证方案，名称自定义
ldap scheme ldap_ad
LDAP服务器IP（AD域控地址）
server ip 192.168.1.10
绑定DN（域管理员账号，用于查询用户）
bind-dn cn=administrator,cn=users,dc=h3c,dc=com
绑定密码
bind-password simple Admin@123
用户搜索基准DN
search-base-dn dc=h3c,dc=com
用户属性（AD默认sAMAccountName）
user-attribute sAMAccountName
2. 配置AAA域，绑定LDAP认证
配置ISP域，名称自定义
domain l2tp_ldap
authentication ppp ldap-scheme ldap_ad
authorization ppp ldap-scheme ldap_ad
3. 配置L2TP，引用AAA域
启用L2TP
l2tp enable
配置L2TP组
l2tp-group 1
allow l2tp virtual-template 1 remote l2tp_client
绑定认证域
domain l2tp_ldap
4. 配置IPSec策略保护L2TP流量（UDP 1701端口）
配置ACL匹配L2TP流量
acl number 3000
rule 0 permit udp source-port eq 1701 destination-port eq 1701
配置IPSec策略（野蛮模式/主模式按需选择，此处略基础IPSec配置）
ipsec policy l2tp_ipsec 1 isakmp
security acl 3000
proposal 1
ike-profile l2tp_ike
5. 接口应用IPSec策略
interface GigabitEthernet 1/0/1
ipsec policy l2tp_ipsec
验证命令
display l2tp session
display aaa online-fail-record
display ldap scheme
详细案例可参考新华三官网《F1000系列 L2TP over IPSec AD认证配置举例》。
H3C F1000系列防火墙支持L2TP over IPSec场景下对接LDAP（如AD域）做用户认证，通过AAA域绑定LDAP认证方案实现。
关键配置步骤（以AD域LDAP为例）
1. 配置LDAP认证方案
进入系统视图
system-view
配置LDAP认证方案，名称自定义
ldap scheme ldap_ad
LDAP服务器IP（AD域控地址）
server ip 192.168.1.10
绑定DN（域管理员账号，用于查询用户）
bind-dn cn=administrator,cn=users,dc=h3c,dc=com
绑定密码
bind-password simple Admin@123
用户搜索基准DN
search-base-dn dc=h3c,dc=com
用户属性（AD默认sAMAccountName）
user-attribute sAMAccountName
2. 配置AAA域，绑定LDAP认证
配置ISP域，名称自定义
domain l2tp_ldap
authentication ppp ldap-scheme ldap_ad
authorization ppp ldap-scheme ldap_ad
3. 配置L2TP，引用AAA域
启用L2TP
l2tp enable
配置L2TP组
l2tp-group 1
allow l2tp virtual-template 1 remote l2tp_client
绑定认证域
domain l2tp_ldap
4. 配置IPSec策略保护L2TP流量（UDP 1701端口）
配置ACL匹配L2TP流量
acl number 3000
rule 0 permit udp source-port eq 1701 destination-port eq 1701
配置IPSec策略（野蛮模式/主模式按需选择，此处略基础IPSec配置）
ipsec policy l2tp_ipsec 1 isakmp
security acl 3000
proposal 1
ike-profile l2tp_ike
5. 接口应用IPSec策略
interface GigabitEthernet 1/0/1
ipsec policy l2tp_ipsec
验证命令
display l2tp session
display aaa online-fail-record
display ldap scheme
详细案例可参考新华三官网《F1000系列 L2TP over IPSec AD认证配置举例》。
可以实现。
H3C SecPath F1000系列防火墙（Comware V7平台）完全支持在L2TP over IPsec场景下，对接LDAP（如Windows AD域）进行用户认证。
核心配置思路是：创建一个AAA域，将其PPP认证和授权方案都指向LDAP方案，然后在L2TP的虚拟模板接口（Virtual-Template）下调用这个域。
⚙️ 配置案例（命令行CLI）
1. 配置LDAP认证方案
bash
2. 配置AAA域，绑定LDAP认证
bash
注意：
authorization（授权）命令在一些较老版本中可能不支持。如果不支持，L2TP用户认证通过后，将由防火墙的本地授权决定其权限。
3. 配置L2TP，引用AAA域
bash
4. 配置IPSec策略保护L2TP流量（UDP 1701端口）
bash
🔑 关键点：用户授权方式
暂无评论
F1000 L2TP‑over‑IPSec 对接 LDAP 认证说明
✅结论：F1000（V7 版本）L2TP‑over‑IPSec 本身 PPP 接入不支持直接 LDAP 认证H3C。 底层原理：L2TP 的 PPP 认证模块只支持 local / RADIUS / HWTACACS，ISP 域下
authentication ppp不能直接调用 ldap‑scheme；LDAP 只能用于 SSL VPN 的认证，不能直接用于 L2TP PPP 认证H3C。
两种可行实现方案
方案 A（推荐）：LDAP 对接 RADIUS 代理（AD‑NPS/iMC‑EIA）
LDAP (AD) → NPS/EIA (RADIUS) → F1000 防火墙；防火墙 L2TP‑over‑IPSec 做 RADIUS PPP 认证。
逻辑：NPS 去 LDAP 做账号校验，把结果转为 RADIUS 报文返回防火墙，L2TP PPP 调用 RADIUS 方案完成认证。这是官方标准落地方式。
方案 B（备选）：放弃 L2TP，改用 SSL VPN
F1000 SSL VPN 原生直接支持 LDAP 认证，authentication sslvpn ldap‑scheme xxx，直接读取 AD‑LDAP 账号密码，不需要 RADIUS 代理H3C。
⚠️踩坑提醒：很多人直接在 ISP 域写
authentication ppp ldap‑scheme xxx，命令可以敲进去，但实际不生效，L2TP 拨号会直接失败。ldap‑scheme 仅用于 ssl‑vpn portal 认证，不支持 PPP 类型的 L2TP 接入。
方案 A 完整配置案例（L2TP‑over‑IPSec + RADIUS 代理 LDAP）
组网说明
- F1000 外网接口 G1/0/1 Untrust，公网 IP：200.1.1.1；内网 G1/0/2 Trust。
- Windows NPS 服务器（对接 AD‑LDAP）地址：192.168.1.10，和防火墙路由互通。
- NPS 配置：把认证请求转发后端 LDAP‑AD，NPS 充当 RADIUS 服务器。
- L2TP 客户端地址池：
10.20.0.0/24。 - IKE 预共享密钥：
H3C@123456
防火墙侧只配置 RADIUS，LDAP 账号校验全部交给 NPS。
1、RADIUS 方案配置（F1000）
system‑view
#创建RADIUS方案，指向NPS服务器（NPS后端对接LDAP‑AD）
radius‑scheme RADIUS‑NPS
primary authentication 192.168.1.10 key simple H3C@radius
primary accounting 192.168.1.10 key simple H3C@radius
user‑name‑format without‑domain
quit
#创建VPN地址池
ip pool L2TP_POOL 10.20.0.2 10.20.0.200
dns‑list 223.5.5.5 114.114.114.114
quit
#ISP域，PPP认证调用RADIUS方案（L2TP的VT虚拟模板使用此域）
domain l2tp‑ad
authentication ppp radius‑scheme RADIUS‑NPS local
authorization ppp radius‑scheme RADIUS‑NPS local
accounting ppp radius‑scheme RADIUS‑NPS
authorization‑attribute ip‑pool L2TP_POOL
quit
2、Virtual‑Template 虚拟模板 + L2TP LNS 配置
#虚拟模板接口，L2TP PPP接入
interface Virtual‑Template 1
ip address 10.20.0.1 255.255.255.0
ppp authentication‑mode pap chap
#绑定ISP域l2tp‑ad，PPP认证走RADIUS（NPS代理LDAP）
ppp domain l2tp‑ad
remote address pool L2TP_POOL
quit
l2tp enable
l2tp‑group 1 mode lns
undo tunnel authentication
allow l2tp virtual‑template 1
quit
3、IPSec 策略配置（L2TP over IPSec，野蛮模式，预共享密钥）
ike proposal 10
encryption‑algorithm aes‑256
authentication‑algorithm sha2‑256
dh group14
quit
ike peer L2TP‑PEER pre‑shared‑key simple H3C@123456
ike‑proposal 10
quit
ipsec proposal 10
esp encryption‑algorithm aes‑256
esp authentication‑algorithm sha2‑256
quit
ipsec policy‑template L2TP_TEMP 10
proposal 10
remote‑peer ike‑peer L2TP‑PEER
quit
ipsec policy L2TP_POLICY 10 isakmp template L2TP_TEMP
quit
#外网接口应用IPSec策略
interface GigabitEthernet 1/0/1
ipsec policy L2TP_POLICY
quit
4、安全域 & 安全策略
security‑zone name Trust
import interface GigabitEthernet1/0/2
security‑zone name Untrust
import interface GigabitEthernet1/0/1
security‑policy ip
#放行IKE/IPSec、L2TP报文
rule permit_vpn_tunnel
source‑zone untrust
destination‑zone local
service ike esp ah l2tp
action pass
#放行VPN客户端访问内网
rule permit_l2tp_client_to_inner
source‑zone l2tp‑ad
destination‑zone trust
action pass
NPS 服务器侧配置要点（对接 LDAP‑AD）
- NPS 注册到 AD 域；
- RADIUS 客户端添加防火墙 IP，共享密钥和防火墙 radius‑scheme 密钥保持一致；
- 配置网络策略：身份验证方法 PAP/CHAP，用户组选择 AD‑LDAP 对应用户组；
- 允许域账号（LDAP 账号）做 RADIUS 认证。
客户端配置
Windows/iNode 客户端选择 L2TP‑over‑IPSec，预共享密钥填写H3C@123456，用户名密码填写 AD 的 LDAP 账号密码。
排错命令
display radius‑scheme statistics RADIUS‑NPS
display l2tp tunnel
display l2tp session
display ipsec sa
display domain name l2tp‑ad
如果直接想用 LDAP，不走 RADIUS 代理（只能 SSL‑VPN）
如果你可以接受改用 SSL VPN，F1000 原生支持 LDAP 直接认证，不需要 NPS 代理，示例片段：
ldap‑scheme LDAP‑AD
server ip 192.168.1.10
admin‑dn cn=admin,dc=test,dc=com
password simple xxx
search‑base dc=test,dc=com
user‑object‑class person
user‑name‑attribute sAMAccountName
quit
domain sslvpn‑ldap
authentication sslvpn ldap‑scheme LDAP‑AD local
authorization sslvpn ldap‑scheme LDAP‑AD local
quit
关键总结
- ❌F1000 L2TP‑over‑IPSec PPP 不能直接 LDAP 认证，ISP 域
authentication ppp不识别 ldap‑scheme，这是 V7 平台底层限制H3C。 - ✅标准生产方案：LDAP‑AD + Windows‑NPS /iMC‑EIA 做 RADIUS 代理，防火墙 L2TP 调用 RADIUS 方案。
- ✅如果不想部署 NPS 代理，业务允许，直接改用 SSL VPN，原生支持 LDAP 账号校验。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论