PPTPL2TP协议详解以及应用部署 - 图文(6)

简单l2tp隧道

默认情况下，windows系统中L2TP是与IPSEC功能相结合的，如果只想简单的使用L2TP隧道，需要在远程客户端系统中禁用L2TP与IPSEC的结合功能，这时就需要修改远程客户端的注册表了。 在

\\HKEY_MACHINE\\SYSTEM\\CurrentContorlSet\\Services\\RasMan\\Parameters增加名称为prohibitipsec，类型为REG_DWORD，值为1的键值，保存之后重新启动计算机才有效。

修改虚拟专用网络的VPN类型为L2TP IPSec VPN，其他参数与PPTP隧道的参数一致

然后连接虚拟专用网络leadsec，L2TP服务器的虚拟地址为10.10.10.1，分配给远程L2TP用户的虚拟ip为10.10.10.52。所以PPTP用户和L2TP用户共享地址池中地址，L2TP用户使用地址池中的后一段。在新版本的防火墙中，PPTP和L2TP用户的虚拟地址将分别设置。

查看L2TP客户端的路由，添加了一条默认路由，网关是10.10.10.52.并且度量值为1，所以到目的网络的数据包没有明细路由的都选择使用L2TP隧道

L2TP服务端新增了一条路由，出接口是ppp0

l2tp ipsec vpn

使用预共享密钥认证

1.客户端的配置与\简单l2tp隧道\的配置区别 删除注册表中

\\HKEY_MACHINE\\SYSTEM\\CurrentContorlSet\\Services\\RasMan\\Parameters中，名称为prohibitipsec的键值，重启客户端主机。因为客户端默认prohibitipsec的键值是不存在的，所以这步可以省略。

2.在虚拟专用网络中修改开启使用预共享密钥身份认证，并且该密钥与服务器的保持一致

L2tp服务器配置需要增加ipsec隧道的配置 开启ipsec模块

配置远程VPN，这里需要注意的是因为windows认证野蛮模式不安全，所以远程VPN中必须选择主模式

配置客户端隧道，注意这里使用的是传输模式。传输模式只保护有效负载，不对原始ip加密，所以这里的本地保护子网即是建立隧道的端口地址

隧道建立之后

IPSEC隧道中有L2TP的流量

建立隧道的接口收到的包是经过ESP封装的

L2TP服务器的虚拟接口收到的是原始数据报

需要注意的是，虽然流量经过了IPSEC隧道，但是IPSEC隧道监控处显示的流量一直为0

L2TP隧道监控处显示的加密强度是NONE，因为是通过ipsec进行加密处理的，与MPPE没有关系

使用证书认证

1.相比预共享密钥的认证，使用证书进行认证更可靠并且可用性更高。安装一个证书服务器，至于怎么安装，这里就不详细说了。一般情况下证书服务器部署在企业局域网中，所以远程用户需要使用证书服务的时候，可以先使用PPTP隧道连接企业的局域网，这样就可以进行证书的申请和安装了

2.先假设远程用户1与PPTP服务器的隧道已经建立成功，并且可以成功访问证书服务器172.16.1.2。浏览器访问http://172.16.1.2/certsrv，申请一个证书